Categories: Workspace

Ausfall der Telekom-Router: Schwachstelle war schon länger bekannt

Lion Nagenrauft, Cyber Security Analyst beim Münchner Unternehmen iT-CUBE Systems hat ein erstes Fazit einer Analyse des Angriffs auf etwa 900.000 von der Deutschen Telekom seinen Kunden zur Verfügung gestellten Routern gezogen. Ihm zufolge sind, wie vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits angedeutet, neben der Telekom auch mehrere andere Internetprovider in anderen Ländern betroffen, darunter Türk Telekom, Talktalkgroup, Dodo und Movistar. Sie alle hätten versäumt zu überprüfen, ob ein Exploit für das Router-Modell Eir D1000 Wireless, der am 7. November 2016 in einer bekannten Schwachstellendatenbank veröffentlicht wurde, auch bei den von ihnen eingesetzten Routern funktioniert. „Die Telekom hat es verpasst, einen der größten Angriffe der deutschen IT-Geschichte auf ihre Kunden zu verhindern“, so Nagenrauft.

Der Angriff auf die Router zielte auf eine Sicherheitslücke innerhalb des Fernwartungsprotokolls. Dazu wurde ein am 7. November veröffentlichtes Metasploit-Modul zum Einsatz, also eine Software, die die Schwachstelle automatisiert ausnutzen kann. Der Angriff soll Router mit Schadsoftware infizieren, um sie in das Botnetz Mirai zu integrieren. Aufgrund seiner Untersuchungen vermutet Nagenrauft, dass „nicht nur die Angreifer mit eigenen Systemen nach verwundbaren Routern suchen, sondern dass infizierte Router ebenfalls nach neuen Opfern suchen.“

Nur wenige Minuten nach der Einrichtung versuchten bereits mehrere Angreifer Port 7547 auf dem Testsystem von IT-Cube Systems anzusprechen. (Screenshot: iT-CUBE Systems)

Nagenrauft kritisiert aber nicht nur die Untätigkeit und Nachlässigkeit der Telekom und der anderen Provider im Vorfeld des Angriffs, sondern auch den Umgang mit dem Angriff, vor allem die lange Zeit die verging, bis das Problem identifiziert wurde. Als über den Angriff bekannt wurde, dass Port 7547 (der Port der Fernwartungsschnittstelle), betroffen ist, habe er auf einem Testsystem den Port für potenzielle Angreifer geöffnet, um die von ihnen gesendeten Pakete mitschneiden und dann analysieren zu können. Dazu wurden sogenannte Honeypots mit dynamischen DSL-IP-Adressen wie „85.102.4.123.dynamic.ttnet.com.tr“ und „189.58.196.6.dynamic.adsl.gvt.net.br“ verwendet. „Es hat nicht einmal fünf Minuten gedauert und drei verschiedene Angreifer waren bereits in unserem Honeypot gelandet“, erklärt der Security-Experte.

Die Analyse der Schadsoftware durch IT-Cube Systems zeigt: Port 7547 wird von der Schadsoftware deaktiviert, um weitere Angriffe abzublocken und den Herstellern die Fernwartungsmöglichkeit zu nehmen. (Screenshot: IT-Cube Systems)

[Mit Material von Peter Marwan, silicon.de]

ZDNet.de Redaktion

Recent Posts

Microsoft nennt weitere Details zu kostenpflichtigen Patches für Windows 10

Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…

2 Stunden ago

Microsoft verschiebt erneut Copilot Recall

Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…

20 Stunden ago

GenKI im Job: Mitarbeitende schaffen Tatsachen

Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.

22 Stunden ago

97 Prozent der Großunternehmen melden Cyber-Vorfälle

2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…

22 Stunden ago

„Pacific Rim“-Report: riesiges, gegnerisches Angriffs-Ökosystem

Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…

1 Tag ago

DeepL setzt erstmals auf NVIDIA DGX SuperPOD mit DGX GB200-Systemen

NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.

1 Tag ago