Notausschalter besiegelt Ende des IoT-Botnets Mozi

Eins der produktivsten Internet of things (IoT)-Botnets verschwand Ende September 2023. Dieses Botnet nutzte bis dahin jedes Jahr Schwachstellen in hunderttausenden IoT-Geräten wie Internet-Routern oder digitalen Videorecordern aus – unter anderem auch in Deutschland. Mozi konnte damit DDoS-Angriffe starten, Daten exfiltrieren oder beliebige Befehle ausführen. Bereits vor dem Aus von Mozi beobachtete ESET über das User Datagram Protocol (UDP) einen unerwarteten Rückgang der Botnet-Aktivitäten. Dieser begann in Indien und setzte sich sieben Tage später auch in China fort. Einige Wochen danach identifizierte und analysierte das ESET-Team den Kill Switch, der das Ende von Mozi besiegelte. „Der Untergang eines der produktivsten IoT-Botnets ist ein faszinierender Fall für die Cyber-Forensik. Dieser liefert uns interessante technische Erkenntnisse darüber, wie solche Botnets in der freien Wildbahn entwickelt, betrieben und zerstört werden“, sagt ESET-Forscher Ivan Bešina.

Per Update zum Aus

Durch ein manipuliertes Update verloren die Mozi-Bots ihre Funktionalität. Am 27. September 2023 entdeckten die Forscher eine Konfigurationsdatei in einer UDP-Nachricht, in der der typische Inhalt fehlte. Sie fungierte stattdessen als Kill Switch. Dieser stoppte die ursprüngliche Mozi-Malware, deaktivierte bestimmte Systemdienste, ersetzte die ursprüngliche Mozi-Datei durch sich selbst, führte bestimmte Router-/Gerätekonfigurationsbefehle aus und deaktivierte den Zugriff auf verschiedene Ports. Trotz der drastischen Funktionseinschränkung blieben die Mozi-Bots bestehen, was auf eine geplante Abschaltung hindeutet. Die Analyse des Kill Switch ergab eine starke Verbindung zwischen dem ursprünglichen Quellcode des Botnets und der letzten Konfigurationsdatei, was für eine Abschaltung durch die Ersteller der Malware hindeutet – aus eigenem Antrieb oder unter Zwang.

Verursacher nicht eindeutig identifiziert

„Es gibt zwei mögliche Verursacher für diese Zerschlagung. Dies wäre zum einen der ursprüngliche Ersteller des Mozi-Botnets selbst. Zum anderen deuten Indizien darauf hin, dass chinesische Strafverfolgungsbehörden möglicherweise den oder die ursprünglichen Akteure zur Zusammenarbeit gezwungen haben. Die Tatsache, dass erst Indien und dann China ins Visier genommen wurden, zeigt womöglich, dass die Zerschlagung absichtlich durchgeführt wurde“, erklärt Bešina.

Roger Homrich

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

18 Stunden ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

18 Stunden ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

1 Tag ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

2 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Tagen ago