Linux-Malware BrickerBot zerschießt IoT-Geräte

BrickerBot nennt sich eine neue IoT-Malware, die befallene Geräte so weit verändert, dass diese nicht mehr funktionieren. Laut den Sicherheitsforschern von Radware scannt der Schädling das Internet nach Linux-basierten Routern oder anderen Geräten, die lediglich mit einem Default-Passwort gesichert sind, über die eigentlich nur Administratoren auf die Geräte zugreifen können sollten.

Sobald der Bot ein Gerät mit einem “Factory-Passwort” entdeckt, führt der Bot verschiedene Kommandos aus, die sämtliche Dateien auf dem Gerät löschen, den Speicher korrumpieren und die Internet-Verbindung trennen. Bei günstigeren Consumer-Geräten ist dann häufig eine Reparatur nicht mehr wirtschaftlich. Die Geräte sind damit “bricked”, also zugemauert.

Die Forscher von Radware sprechen dabei von einem PDoS-Attacke, einem Permanent Denial-of-Service. Die Experten hatten eine “Falle” ins Netz gestellt und auf dieser Installation dann mehr als 2200 Angriffsversuche mit PDoS-Malware entdeckt, die aus zwei Botnetzen erfolgten: BrickerBot 1 und BrickerBot 2. BrickerBot 1 war über die gesamte Welt verteilt scheint aber inzwischen still gelegt zu sein. Doch BrickerBot 2 hingegen das zudem noch zerstörerischer sein soll und teilweise auch Server angreift, scheint noch aktiv zu sein. Beide Malware-Varianten wurden etwa zeitgleich ab dem 20. März verbreitet.

Was die Angreifer mit dieser PDoS-Attacke bezwecken, ist noch unklar. Wie die Experten von Radware erklären, sind diese Netzwerke offenbar Varianten des Mirai Bots, das sich ebenfalls aus versklavten Geräten zusammensetzt. Doch hier haben die Hacker das Ziel eine Armee von Geräten unter Kontrolle zu bringen, die dann für Denial-of-Service-Attacken genutzt werden können.

Der Radware-Experte Pascal Geenens erklärt gegenüber Ars Technica, dass es möglicherweise ein Hacker sein könnte, der einen Konkurrenten ausschalten und das Mirai-Botnet auf diese drastische Weise bekämpfen möchte. Doch nach der Analyse von BrickerBot 2, habe er diese Theorie wieder verworfen, weil die zweite Variante einfach jedes Linux-basierte Gerät angreift und nicht nur Systeme, die von Mirai gekapert werden, die BusyBox-basiert sind. Zudem verwendet BrickerBot 2 TOR-Nodes, um die eigenen IP-Adressen zu verschleiern. Jedoch ist die Wirkung von BrickerBot 2 dadurch eingeschränkt, dass in dem Gerät ein Telnet-Service aktiv sein muss, der über das vom Hersteller gesetzte Default-Passwort verfügt.

In einem Advisory rät Radware als Schutz gegen das Botnet, Default-Passwörter zu ändern und falls nicht nötig, Telnet zu deaktivieren.

Vor wenigen Tagen hatten die Sicherheitsexperten von Palo Alto eine ähnlich strukturierte Malware entdeckt, die sich ebenfalls auf Linux-basierte Geräte eingeschossen hatte. Amnesia jedoch zerstört die befallene Hardware nicht, sondern versucht ein Botnet aufzubauen. Amnesia soll laut den Sicherheitsexperten die erste Linux-Malware sein, die Sandbox-Funktionen umgehen kann. Zudem löscht sich Amnesia selbst, um nicht von Sicherheitstools entdeckt zu werden.