Geheimnisvoller Wurm befällt Linksys-Router

Da Home-Router aktuell wohl zu den Lieblingszielen von Kriminellen gehören, sind nun auch Geräte des Herstellers Linksys an der Reihe. Diese werden aktuell von einer Wurm-Welle befallen. Eine entsprechende Warnung hat das Sans Insitute veröffentlicht. Dieses verzeichnete bei eigenen Recherchen rund tausend entsprechender Systeme, die von einer Malware befallen wurden. Hier handelt es sich um Linksys-Produkte der Serien E1000, E1200 und E2400. Allerdings, so hieß es, könnten weltweit weitaus mehr Geräte befallen sein, möglicherweise auch andere Typen.

Denn der Schädling versucht, sich selbst möglichst schnell zu verbreiten. Sobald ein Router infiziert ist, lassen die Schadroutinen Scans durch das Internet laufen, um weitere Geräte zu finden, in die sie eindringen können. Ein weiterer Scan beschränkt sich parallel auf einen bestimmten Block von IP-Adressen. Dahinter vermuten die Sicherheits-Forscher die Suche nach einer Command-and-Controll-Infrastruktur. Weiterhin sorgt er für eine Umstellung der DNS-Anfragen auf Server von Google - vermutlich um spezielle Einstellungen bei einzelnen Providern zu umgehen.

Etwas seltsam mutet an, dass die Malware sich nicht fest auf den befallenen Geräten verankert, sondern nur im Arbeitsspeicher zu finden ist. Nach einem Neustart der befallenen Router ist der Schadcode verschwunden. Allerdings wird vermutet, dass es sich hier erst einmal nur um ein Modul handelt, das möglichst schnell eine große Menge von Geräten befallen soll und später über das Nachladen von Modulen mit weitergehenden Funktionen ausgestattet wird.

Die Sicherheitsforscher wissen aktuell noch nicht, welche Lücke in der Firmware bei einer Infektion ausgenutzt wird. Allerdings scheint diese in den neuesten Firmware-Versionen bereits behoben zu sein, denn entsprechend aktuell gehaltene Geräte gehören bisher nicht zum Kreis der Infizierten. Daher wird den Besitzern von Linksys-Routern ein Neustart ihrer Geräte und die anschließende Aktualisierung der Firmware angeraten.