Abo
  • Services:

Brian Krebs: Wer die Hersteller des IoT-DDoS-Botnets sind

Das IoT-DDoS-Botnetz Mirai sorgt derzeit für die größten bekannten DDoS-Angriffe mit einer Kapazität von mehr als 1 Tbit/s. Der Sicherheitsforscher Brian Krebs hat analysiert, wer die unsicheren Geräte herstellt.

Artikel veröffentlicht am ,
Standardzugangsdaten für IP-Kameras von Mobotix sind im Quellcode des Mirai-Botnetzes enthalten.
Standardzugangsdaten für IP-Kameras von Mobotix sind im Quellcode des Mirai-Botnetzes enthalten. (Bild: Mobotix)

Der Sicherheitsforscher Brian Krebs hat Details zum Botnet veröffentlicht, dass seine Webseite vor zwei Wochen angegriffen hat. Zuvor wurde der Quellcode des Botnets in einem Hackerforum veröffentlicht, was eine genauere Analyse der verwendeten Taktiken ermöglicht.

Stellenmarkt
  1. ENSO Energie Sachsen Ost AG, Dresden
  2. Hanseatisches Personalkontor, Dachau (Erdweg)

Die Malware scannt offenbar das Netz nach Geräten ab, die mit Standardeinstellungen und ohne Firewall betrieben werden. Auch Network Adress Translation (Nat) hilft nicht immer, weil einige Geräte Portfreigaben über Upnp (Universal Plug and Play) einrichten und somit trotzdem über das Internet auffindbar sind.

Bei den Geräten handelt es sich vor allem um IP-Kameras verschiedener Hersteller, darunter Dahua, Hisilicon, Mobotix und Shenzhen Anran Security Camera. Aber auch Geräte bekannterer Hersteller sind darunter, unter anderem eine Kamera von Toshiba, ein Router von ZTE und Realtek und Xerox-Drucker.

Unsichere Standardcredentials

Allen Geräten gemein ist, dass sie fest eingestellte Kombinationen aus Nutzername und Passwort verwenden. Diese können in der Regel von Nutzern geändert werden, was aber in der Praxis wohl nur wenige Anwender wirklich tun, wenn der Hersteller sie nicht zur Vergabe eines eigenen Passwortes zwingt. Einige Hersteller wollen die Nutzer aber künftig auffordern, eigene sichere Passwörter zu wählen.

Insgesamt soll es nach Angaben von Krebs Nutzernamen und Passwortkombinationen für 69 verschiedene Geräte geben. Die Malware wird in den Speicher der Kameras oder anderer verwundbarer Geräte geschrieben, ist aber nicht persistent. Nach einem Neustart ist die Schadsoftware also nicht mehr aktiv, allerdings soll es so viele Scans geben, dass Geräte teilweise bereits 5 Minuten nach dem Neustart erneut infiziert werden.

Die Malware nutzt laut Malwaretech einen Fehler in Busybox aus, und versucht dann, alle Prozesse auf den Ports 22, 23 und 80 zu blockieren, um dem eigentlichen Eigentümer des Gerätes den Zugriff zu verweigern. Dann wird der eigentliche Angriff per Syn-Flood und mit HTTP-Get-Requests gestartet.



Anzeige
Spiele-Angebote
  1. (mindestens 16,15€ bezahlen und Vegas Pro 14 EDIT und Magix Video Sound Cleaning Lab erhalten)
  2. 59,99€

M.P. 06. Okt 2016

Den gleiche Typ von Gewerbeschein, wie Brandsatzbauer für Schutzgelderpresser ... Die...

M.P. 05. Okt 2016

Du meinst also, das Internet ist irgendwann so leistungsstark, daß es in fünf...

AlexanderSchäfer 04. Okt 2016

Selbst wenn man die Logindaten kennt, muss ja noch ein Weg gefunden werden die eigene...

Seismoid 04. Okt 2016

Man muss langsam wirklich mal darüber nachdenken, ob die "Sicherheit" die Linux...

Ford Prefect 04. Okt 2016

Selbst erkannt: Das ist das ideale Verhalten für die Malware, nicht erkannt zu werden...


Folgen Sie uns
       


Super Nt - Fazit

Wir ziehen unser Test-Fazit zum Super Nt von Analogue.

Super Nt - Fazit Video aufrufen
Underworld Ascendant angespielt: Unterirdische Freiheit mit kaputter Klinge
Underworld Ascendant angespielt
Unterirdische Freiheit mit kaputter Klinge

Wir sollen unser Können aus dem bahnbrechenden Ultima Underworld verlernen: Beim Anspielen des Nachfolgers Underworld Ascendant hat Golem.de absichtlich ein kaputtes Schwert bekommen - und trotzdem Spaß.
Von Peter Steinlechner

  1. Otherside Entertainment Underworld Ascendant soll mehr Licht ins Dunkle bringen

Datenschutz: Der Nutzer ist willig, doch die AGB sind schwach
Datenschutz
Der Nutzer ist willig, doch die AGB sind schwach

Verbraucher verstehen die Texte oft nicht wirklich, in denen Unternehmen erklären, wie ihre Daten verarbeitet werden. Datenschutzexperten und -forscher suchen daher nach praktikablen Lösungen.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Soziales Netzwerk Facebook will in Deutschland Vertrauen wiedergewinnen
  2. Denial of Service Facebook löscht Cybercrime-Gruppen mit 300.000 Mitgliedern
  3. Facebook-Anhörung Zuckerbergs Illusion von der vollen Kontrolle

BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
BeA
Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
Eine Exklusivmeldung von Hanno Böck

  1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
  2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
  3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

    •  /