Original-URL des Artikels: https://www.golem.de/news/sicherheitsluecke-300-000-router-auf-falsche-dns-server-umgeleitet-1403-104908.html    Veröffentlicht: 04.03.2014 12:01    Kurz-URL: https://glm.io/104908

Sicherheitslücke

300.000 Router auf falsche DNS-Server umgeleitet

Eine neue Angriffsmethode nutzt Sicherheitslücken in vielen Heimroutern aus. Die Nutzer könnten durch veränderte DNS-Einstellungen auf manipulierte Seiten umgeleitet werden.

Sicherheitsforscher haben einen Angriff auf mehrere hunderttausend Heimrouter vor allem in Asien und Europa entdeckt. Wie Sicherheitsexperten von Team Cymru berichteten, änderten die Angreifer die DNS-Einstellungen in Geräten der Hersteller D-Link, Micronet, Tenda, TP-Link und Zyxel. Dadurch könnten die Nutzer auf manipulierte Webseiten umgeleitet werden. Die meisten gehackten Geräte wurden in Vietnam, Indien, Italien und Thailand festgestellt.

Normalerweise beziehen die Heimrouter die Adressen der DNS-Server vom Provider, um die alphanumerischen Namen von Internetservern (wie www.golem.de) in numerische IP-Adressen (wie 176.74.59.148) aufzulösen. Im vorliegenden Falle wurden die Einstellungen so geändert, dass die DNS-Serveradressen 5.45.75.11 und 5.45.75.36 aufgerufen wurden. Die Sicherheitsforscher berichteten jedoch, dass die beiden DNS-Server bislang noch keine Auffälligkeiten zeigten und Anfragen auf die richtigen Seiten weiterleiteten. Möglicherweise könnten die eigentlichen Angriffe noch später erfolgen. Die Forscher registrierten innerhalb einer Woche den Zugriff von rund 300.000 individuellen IP-Adressen auf die Server. Wie viele Geräte tatsächlich betroffen sind, ist wegen der Vergabe dynamischer Adressen jedoch unklar.

Ähnliche Attacke auf Bankkunden in Polen

Laut Team Cymru waren die gehackten Geräte anfällig für mehrere Angriffsarten. Dazu zählte eine jüngst bekanntgewordene "ROM-0"-Lücke in der Firmware von Zyxel-Geräten, mit der das Login umgangen werden konnte. Ebenfalls wurde Cross-Site-Request-Forgery (CSRF) genutzt, eine Angriffstechnik, die in der Vergangenheit schon häufiger gegen Router genutzt wurde und die auch im Zusammenhang mit der jüngst bekanntgewordenen Fritzbox-Lücke stehen könnte.

Zudem verwiesen die Sicherheitsforscher auf einen ähnlichen Angriff, der in Polen entdeckt worden war. In diesem Fall wurden DNS-Einstellungen verändert, um an die Zugangsdaten von Online-Banking-Kunden zu gelangen. Von dieser Attacke waren offenbar rund 80 Nutzer vor allem in Polen und Russland betroffen.

Probleme könnten die betroffenen Nutzer auch bekommen, wenn der manipulierte DNS-Server plötzlich abgeschaltet würde. Dann könnten keine Internetseiten mehr aufgerufen werden. Diese Gefahr drohte in der Vergangenheit auch Nutzern, deren Rechner mit der Malware DNS-Changer infiziert war. In diesem Fall wurden die Anfragen ebenfalls auf falsche DNS-Server umgeleitet, die schließlich vom FBI abgeschaltet wurden.  (fg)


Verwandte Artikel:
E-Mail-Clients für Android: Kennwörter werden an App-Entwickler übermittelt   
(06.03.2018, https://glm.io/133172 )
Fritzbox 7583: AVM zeigt neuen Router für diverse Vectoring-Techniken   
(23.02.2018, https://glm.io/132954 )
Singapur: Qualcomm will Übernahme durch Auslandstrick verhindern   
(06.03.2018, https://glm.io/133160 )
Für LTE und VDSL: D-Link hätte Hybrid-Router fast an die Telekom verkauft   
(27.02.2018, https://glm.io/133028 )
Zyxel: WLAN-Überwachungskamera mit Telefonanschluss   
(16.06.2008, https://glm.io/60399 )

© 1997–2020 Golem.de, https://www.golem.de/