Router-Malware: VPN Filter bricht HTTPS-Verbindungen auf
Die Router-Malware VPN Filter kann mehr als bislang angenommen. Die Software soll neben einem Selbstzerstörungsmodul auch eines zum Aufbrechen verschlüsselter Verbindungen haben.
Eine Malware, die sich auf mindestens 500.000 Routern weltweit eingenistet hat, soll ein deutlich umfangreicheres Spektrum an Funktionen bieten als bislang bekannt. Ciscos Talos-Team glaubt nach weiteren Analysen, dass die infizierten Geräte per Man-in-the-Middle-Angriff verschlüsselte Verbindungen attackieren können.
Cisco beschreibt mehrere neue Module der Malware, die nach einer Infektion nachgeladen werden. Das bestätigt die These eines umfassenden, professionell gesteuerten Angriffs. Diese Module sind vermutlich nicht auf allen der 500.000 infizierten Geräte aktiv, sondern werden zur Spionage oder zur weiteren Kompromittierung infizierter Personen oder Unternehmen ausgenutzt.
Das Modul ssler wird genutzt, um Webseiten, wenn möglich, den HTTPS-Schutz zu entziehen und bösartigen Code unterzuschieben. Webseiten können dem Einsatz von HSTS entgegenwirken. Der Befehl dst verändert dabei Einstellungen der Iptables-Firewall und kann diese auf bestimmte IP-Adressen anwenden. Mit dump werden alle HTTP-Header durchlaufender Domains abgespeichert. Mit site können bestimmte Webseiten für die Injektion von Javascript markiert werden, mit hook wiederum wird die Zieladresse des Payloads bestimmt.
Modul als Selbstzerstörungsknopf
Ein weiteres Modul mit dem Namen dstr kann genutzt werden, um das infizierte Gerät betriebsunfähig zu machen. Dazu werden zahlreiche Dateien gelöscht, die für einen ordnungsgemäßen Betrieb notwendig sind. Unter anderem werden die auf dem Gerät abgelegten Client-Zertifikate gelöscht. Ebenfalls möglich ist die Installation eines Paket-Sniffers.
Von der Malware befallen sind zahlreiche Geräte der Hersteller Asus, D-Link, Huawei, Linksys, Mikrotik, Netgear, Qnap, TP-Link, Ubiquiti, Upvel und ZTE. Cisco bietet eine vollständige Übersicht aller bekannten Geräte am Ende dieses Blogposts an. Auf einigen Routern soll die Malware Persistenz erlangen können, also auch einen Reboot der Geräte überleben. Im Zweifel sollten Kunden bei den Herstellern der Geräte nach Instruktionen oder Updates fragen.
Hauptsache es sieht nach etwas aus!
Hauptsache es sieht nach etwas aus!
auch für Golem, bzw. die Redakteure, die die Bilder auswählen.
Für Man in the Middle reicht schon ein SoC - die Verschlüsselung wird ja nicht geknackt...
gute info danke, genau das hab ich mir naemlich auch gedacht...