Mirai hat einen Bug: DDoS-Malware lässt sich mit Malware angreifen

Die Mirai-Malware, die in der letzten Zeit für spektakuläre DDoS-Attacken verantwortlich war, verfügt ihrerseits über eine Sicherheitslücke, die ihr zum Verhängnis werden könnte. Die effektivste Maßnahme, um Mirai-Botnetze auszuschalten, wäre aber auch wieder illegal. Nachdem die Malware bei den ursprünglichen Autoren ihren Dienst versehen hatte, haben diese ihre Quellcodes einfach frei ins Netz gestellt. Seitdem tauchen immer wieder neue Varianten und Botnetze auf, die weitergehende Angriffe starten. Besonders auffällig wurde hier die Attacke gegen den DNS-Dienstleister Dyn, durch die viel weitergehende Probleme verursacht wurden.

Die Schwierigkeit besteht darin, dass von Mirai so genannte IoT-Geräte befallen und missbraucht werden - konkret in diesem Fall meist Sicherheitskameras und digitale Videorecorder. Hier kann man nicht darauf hoffen, dass viele Nutzer die Infektion bemerken und vor Ort an einer Entfernung des Schädlings arbeiten, wie es bei PC-Malware der Fall wäre.

Hetzt die Malware auf sie!

Die Offenlegung des Quellcodes gab aber auch gutwilligen Entwicklern die Möglichkeit einer Analyse und schnell wurde eine Stelle ausfindig gemacht, an der sich die Malware mit einem Pufferüberlauf angreifen ließe. Dies kann genutzt werden, um den Schadcode zum Absturz zu bringen. Allerdings müsste man dann damit rechnen, dass die fraglichen Geräte schnell wieder mit funktionierenden Mirais infiziert werden - immerhin ist deren Anfälligkeit noch nicht beseitigt worden.

Eine Malware, die loszieht und Mirai angreift, könnte aber in einem zweiten Schritt einfach die missbrauchten Telnet-Zugänge schließen. Das hätte zur Folge, dass der Angriffsvektor für die Malware abgeschaltet wäre, aber auch die Besitzer der Systeme keinen Zugang mehr erhalten würden. Damit wäre der Einsatz einer solchen Anti-Malware-Malware im Grunde nicht weniger illegal als der Einsatz von Mirai.

Insofern betonte man seitens der Entwickler, dass ein solcher Wurm auch nur als Konzept zu Forschungszwecken zu verstehen sei. Allerdings räumte man schon ein, dass man einen Einsatz durchaus für gerechtfertigt hielte, wenn es darum ginge, einen aktuell laufenden massiven Angriff abzuwenden. Im jeweiligen konkreten Fall kann man dies durchaus als gute Idee verstehen - man sollte allerdings auch darüber nachdenken, welche Folgen es haben kann, wenn das Beispiel auf allen Seiten Schule macht und sich eines Tages vielleicht diverse Malware-Varianten gegenseitig im Netz bekriegen.