500.000 befallene Router? - VPNFilter-Malware ist noch viel schlimmer

Wer die VPNFilter-Malware schon aufgrund von rund 500.000 infizierten Routern in weit über 50 Ländern als schlimm empfand, dürfte bald noch mehr ins Grübeln geraten. Denn neue Analysen ergaben, dass der Schädling noch weitaus gefährlicher ist, als aufgrund der bisherigen Attacken anzunehmen war. Die Sicherheitsforscher von Cisco Talos haben die Malware tiefergehend untersucht und unter anderem herausgefunden, dass weitaus mehr Systeme befallen werden können als angenommen. Aufgrund der Ausbreitung hatte man Router von Linksys, MikroTik, Netgear, TP-Link und QNAP als gefährdet eingestuft. Es zeigt sich nun aber, dass auch Modelle von ASUS, D-Link, Huawei, Ubiquiti, UPVEL und ZTE befallen werden können. Im ersten Bericht zu der Malware war insgesamt noch von 16 anfälligen Systemen die Rede, inzwischen ist die Zahl auf 71 gestiegen.

Nicht besser wird die Sache dadurch, dass die Malware im Grunde aus mehreren Stufen besteht. Kürzlich dachte man noch, mit der erfolgreichen Übernahme des Kontrollservers und Neustarts der Router, mit denen der dateilose Schädling aus dem Speicher verschwindet, sei die Sache getan. Dem ist aber keinesfalls so und es kann eigentlich jederzeit wieder losgehen.

Immer neue Varianten wahrscheinlich

Denn VPNFilter ist modular aufgebaut. Die Infektions-Routinen stellen dabei eine Stufe dar, eine weitere dient mit verschiedenen anflanschbaren Exploits als Türöffner. Der dritte Teil ist dann die eigentliche Payload mit Schadroutinen, die unterschiedlich bestückt werden können. Das ist ein Zeichen dafür, dass VPNFilter auf dem Schwarzmarkt verkauft und von verschiedenen Betreibern mit immer unterschiedlichen Zwecken, Kontrollservern und Exploits eingesetzt werden kann.

Daher kann man damit rechnen, dass VPNFilter in der nächsten Zeit immer wieder Botnetze für verschiedene Aufgaben und Dienstherren aufbaut. Daher wäre es für die kommende Zeit noch weitaus wichtiger, die zahlreichen Homerouter möglichst immer zeitnah mit Firmware-Updates auszustatten - was in der Praxis allerdings nur sehr selten geschieht.

Nach neuestem Stand sieht die Liste anfälliger Systeme nun so aus:

Durch VPNFilter-Malware betroffene Router
Asus:		Mikrotik:		Netgear:
RT-AC66U (neu)		CCR1009 (neu)		DG834 (neu)
RT-N10 (neu)		CCR1016		DGN1000 (neu)
RT-N10E (neu)		CCR1036		DGN2200
RT-N10U (neu)		CCR1072		DGN3500 (neu)
RT-N56U (neu)		CRS109 (neu)		FVS318N (neu)
RT-N66U (neu)		CRS112 (neu)		MBRN3000 (neu)
D-Link:		CRS125 (neu)		R6400
DES-1210-08P (neu)		RB411 (neu)		R7000
DIR-300 (neu)		RB450 (neu)		R8000
DIR-300A (neu)		RB750 (neu)		WNR1000
DSR-250N (neu)		RB911 (neu)		WNR2000
DSR-500N (neu)		RB921 (neu)		WNR2200 (neu)
DSR-1000 (neu)		RB941 (neu)		WNR4000 (neu)
DSR-1000N (neu)		RB951 (neu)		WNDR3700 (neu)
Huawei:		RB952 (neu)		WNDR4000 (neu)
HG8245 (neu)		RB960 (neu)		WNDR4300 (neu)
Linksys:		RB962 (neu)		WNDR4300-TN (neu)
E1200		RB1100 (neu)		UTM50 (neu)
E2500		RB1200 (neu)		QNAP:
E3000 (neu)		RB2011 (neu)		TS251
E3200 (neu)		RB3011 (neu)		TS439 Pro
E4200 (neu)		RB Groove (neu)		Andere mit QTS-Firmware betriebene NAS
RV082 (neu)		RB Omnitik (neu)		TP-Link:
WRVS4400N		STX5 (neu)		R600VPN
Ubiquiti:		UPVEL:		TL-WR741ND (neu)
NSM2 (neu)		Diverse Modelle (neu)		TL-WR841N (neu)
PBE M5 (neu)				ZTE:
				ZXHN H108N (neu)