1300 Routen umgeleitet: Angreifer klauen Amazon sehr viel Traffic

Amazon als großem Cloud-Betreiber wurde am gestrigen Morgen über einen Zeitraum von gut zwei Stunden der Traffic tausender IP-Adressen geklaut. Das führte unter anderem dazu, dass Nutzer einer Kryptowährungs-Seite bei einem falschen Anbieter landeten, der ihnen so Einheiten im Wert von rund 150.000 Dollar entwenden konnte. Der ganze Vorfall zeigt, wie komplex das Thema IT-Sicherheit letztlich ist und wie fragil die Strukturen sind. Denn in dem vorliegenden Fall kann man weder Amazon noch den Seitenbetreibern, die die Cloud-Infrastruktur des Handelskonzerns verwenden, einen Vorwurf machen. Diese lassen sich hier wohl mit einem Bahnhofsbetreiber und den dort ansässigen Geschäften vergleichen, die hilflos zusehen müssen, wie die Weiche eines zuführenden Gleises einfach umgestellt und der erwartete Zug auf eine andere Strecke geleitet wird.

Kompromittiert wurde in der Angelegenheit nämlich eNet, ein größerer Provider in den USA, berichtete Ars Technica. Den Angreifern gelang es, in einem von dessen Core-Routern falsche Informationen einzuschleusen. Das System verteilte die entsprechenden Routing-Informationen anschließend an weitere Knotenpunkte in den angeschlossenen Netzwerken - was ein alltäglicher Vorgang ist und benötigt wird, damit alle relevanten Router darüber informiert sind, wenn bestimmte Verbindungen offline gehen oder neue hinzukommen.

Einmal alles bitte

Von der Manipulation war in diesem Fall auch Amazons "Route 53" betroffen. Traffic der von anderen Netzen über die Peering-Punkte eNets an Amazon weitervermittelt wurde, landeten so an falschen Zielen. Betroffen waren die Verbindungen zu rund 1300 IP-Adressen, hinter denen in Amazons Cloud diverse Angebote bereitgestellt werden. Eines von diesen ist eben auch die oben bereits erwähnte Kryptowährungs-Seite MyEtherWallet.com.

Möglich war der ganze Angriff durch eine strukturelle Schwäche des Border Gateway Protocol (BGP), über das die entsprechenden Routen-Informationen vermittelt werden. Dieses beruht auf einer Vertrauens-Infrastruktur und ist entsprechend leicht angreifbar, wenn ein böser Akteur in das Netzwerk gelangt. Allerdings sind entsprechende Angriffe doch relativ selten, weil es schon einiges an Können erfordert, den abgezweigten Traffic einigermaßen sinnvoll zu behandeln. Die gestrige Umleitung der Routen konnte nach gut zwei Stunden wieder behoben werden.