Security: Zwei neue Exploits auf Routern entdeckt

Unsichere Router sind aktuell von gleich zwei Versionen von Malware bedroht. Die eine verteilt Spam über soziale Medien, die andere leitet Anfragen auf manipulierte Webseiten um.

Artikel veröffentlicht am 27. Mai 2015, 17:06 Uhr, Jörg Thoma

Über infizierte Router werden gefälschte Follower erstellt und verkauft. (Bild: ESET)

Gleich zwei Malware-Varianten bedrohen aktuell schlecht konfigurierte oder ungepatchte Router. Die Malware verwandelt sie entweder in eine Spam-Schleuder für soziale Medien oder leitet Anfragen von legitimen Webseiten auf manipulierte um.

Die erste Malware ist bereits seit 2014 in Umlauf und wurde jetzt mit dem Namen Moose/Linux versehen. Sie versucht, sich über offene Telnet-Ports Zugriff auf Router zu verschaffen. Dabei verwendet sie bekannte Standard-Logins oder versucht, einen Zugang über Bruteforce zu erhalten. Bei Erfolg wird eine Datei namens Elan2 auf Routern mit Linux-basierten Systemen installiert.

Falsche Konten bei sozialen Medien

Danach beginnt Moose/Linux weiter nach offenen Telnet-Verbindungen zu suchen. Außerdem durchsucht die Malware den unverschlüsselten Datenverkehr nach Cookies für Facebook, Google, Google Play, Instagram, Twitter oder Youtube, die es als Zugang zu sozialen Netzwerken nutzen kann. Die Hauptaufgabe der Malware besteht aber offenbar darin, ein Netz von HTTPS-Proxys aufzuspannen, über die mehrere Command-and-Control-Server mit diversen sozialen Medien kommunizieren können. Dieses Netz wird über den Port 2318 aufgebaut. Infizierte Geräte identifizieren sich gegenseitig auf Port 10073.

Über die mit Moose/Linux infizierten Geräte werden Konten in sozialen Medien erstellt, denen wiederum von anderen erstellten gefolgt wird. Die Entdecker der Malware, Olivier Bilodeau und Thomas Dupuy von der kanadischen Abteilung des IT-Sicherheitsunternehmens Eset Canada Reseach, beobachteten in einem Fall eine Zunahme von 40 Followern in wenigen Stunden. Die generierten Follows werden dann an kommerzielle Webseiten verkauft.

Ein Neustart des Routers löscht Moose/Linux. Anwender können sich schützen, indem sie den Telnet schließen.

Exploit Kit nutzt aktuelle Schwachstellen aus

Die zweite Malware tauchte kürzlich als Exploit Kit im Netz auf. Es verbreitet sich über verseuchte Webseiten. Über verschlüsselten Javascript-Code versucht das Exploit Kit, die IP-Adresse des Routers ausfindig zu machen. Danach klappert die Malware eine Liste bekannter Schwachstellen für den entdeckten Router ab. Einmal infiziert, werden die DNS-Einstellungen des Routers so geändert, dass Nutzer beim Ansurfen populärer Webseiten auf solchen landen, die mit Werbung oder sogar weiterer Malware gespickt sind. Außerdem lasse sich der manipulierte Router für DDoS-Angriffe oder Phishing-Attacken nutzen, schreibt der IT-Sicherheitsforscher Kafeine.

Gegen das Exploit Kit helfen aktuelle Versionen der Firmware und vor allem ein eigenes starkes Passwort für den Zugang zum Router.