• IT-Karriere:
  • Services:

DNS: Gehackte Router zeigen Coronavirus-Warnung mit Schadsoftware

Gehackte Router leiten bekannte Domains auf eine gefälschte Warnung der WHO um und versuchen, ihren Opfern eine Schadsoftware unterzujubeln.

Artikel veröffentlicht am ,
Schadsoftware statt Vireninfos der WHO
Schadsoftware statt Vireninfos der WHO (Bild: Mohamed Hassan/Pixabay)

Plötzlich zeigen verschiedene, bekannte Webseiten wie disney.com, aws.amazon.com oder xhamster.com einen Warnhinweis der Weltgesundheitsorganisation (WHO) zum Coronavirus an und lassen nur noch den Download einer Info-App zu. Die Webseite und der Hinweis sind jedoch eine Fälschung, mit der Angreifer ihre Opfer zur Installation einer Schadsoftware verleiten wollen.

Stellenmarkt
  1. SCHOTT Schweiz AG, St. Gallen (Schweiz)
  2. Diehl Defence GmbH & Co. KG, Überlingen am Bodensee

Um den Hinweis einblenden zu können, übernehmen die Angreifer den Router, ändern die DNS-Einstellungen und leiten die Domains auf ihren gefälschten Warnhinweis zum Coronavirus um. Laut der Sicherheitsfirma Bitdefender sollen die Angreifer bisher vor allem Router in den USA und Deutschland angegriffen haben.

Mit ihrer Kampagne docken die Angreifer an die Ängste rund um das aktuelle Thema Coronavirus an und versprechen auf einem WHO-Banner "die neuesten Informationen und Anweisungen zum Coronavirus (Covid-19)."

Doch statt der Info-App verbirgt sich hinter dem Downloadbutton die Schadsoftware Oski, die es unter anderem auf die im Browser gespeicherten Zugangsdaten, Cookies, den Browserverlauf und dort abgelegte Zahlungsinformationen sowie in Wallets abgelegte Digitalwährungen abgesehen hat. Die Schadsoftware wird über Bitbuckets von AWS ausgeliefert. Laut Bitdefender sind die Angreifer seit 18. März 2020 aktiv. Allein eines der mindestens vier Bitbuckets konnte in den vergangenen Tagen über 1.000 Downloads verzeichnen.

Um den Warnhinweis anzuzeigen, übernehmen die Angreifer verschiedene Routermodelle von D-Link oder Linksys. Wie dies geschieht, ist derzeit unbekannt. Bitdefender vermutet einen Brute-Force-Angriff, also das Durchprobieren von Passwortkombinationen. Es könnte jedoch auch sein, dass die Angreifer eine Sicherheitslücke ausnutzen.

  • Gefälschter Warnhinweis führt zu Schadsoftware. (Quelle: Bitdefender)
Gefälschter Warnhinweis führt zu Schadsoftware. (Quelle: Bitdefender)

Anschließend ändern die Angreifer die DNS-Server auf 109.234.35.230 und 94.103.82.249 ab. Diese leiten etliche bekannte Domains auf die Webseite mit dem Warnhinweis um. Unter den Betroffenen Domains sind neben disney.com, aws.amazon.com und xhamster.com auch goo.gl, bit.ly, washington.edu, imageshack.us, ufl.edu, pubads.g.doubleclick.net und redditblog.com. Damit keine verschlüsselte Verbindung zu den Webseiten aufgebaut wird, soll laut Bitdefender zudem Port 443 auf dem Router geschlossen werden. Die Webseiten können dann nur noch unverschlüsselt über Port 80 aufgerufen werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (Samsung Galaxy A51 128 GB für 299,00€)
  2. (aktuell u. a. WD Eements 10 TB für 179,00€, Crucial X8 1 TB externe SSD für 149,00€, Zotac...
  3. (aktuell u. a. Dell XPS 15 Gaming-Notebook für 2.249,00€, Asus TUF Gaming-Laptop für 599,00€)
  4. 59,99€ (zzgl. 5€ Versand, Release am 3. April)

johnripper 26. Mär 2020 / Themenstart

Im Artikel wird DLink und Linksys genannt. Also nix "Providerschrott". Chinaschrott...

ElMario 26. Mär 2020 / Themenstart

...sorgen immer für Unterhaltung.

WhiteWisp 26. Mär 2020 / Themenstart

Sehr gute Auflistung :D

Kommentieren


Folgen Sie uns
       


Tesla baut Gigafactory in Brandenburg - Bericht

Wald weg, Wasser weg, Tesla da? Wir haben Grünheide besucht.

Tesla baut Gigafactory in Brandenburg - Bericht Video aufrufen
    •  /