Schwerwiegendes Backdoor-Problem in wichtigen Netzwerk-Systemen

Es ist eine Sache, wenn Geräte mit Sicherheitslücken auf den Markt kommen und dann gepatcht werden müssen. Wesentlich schlimmer ist es, wenn der Hersteller nachträglich massive Sicherheits-Probleme in seine Produkte hineininstalliert. So geschah es gerade beim Anbieter Zyxel. Dieser hat es geschafft, die jüngste Firmware-Version 4.60 mit einer Backdoor auszuliefern, für die nun eine enorme Zahl von über hun­dert­tau­send Geräten anfällig sind. Entdeckt wurde das Problem vom niederländischen Sicherheitsforscher Niels Teusink, der für das Security-Unternehmen Eye tätig ist.

Konkret handelt es sich bei der Backdoor um einen fest eingebetteten Administrator-Account mit dem Nutzernamen "zyfwp" und einem recht einfachen Passwort. Das User-Konto ist in der normalen Nutzer-Übersicht der Administrationsoberfläche nicht zu sehen und dürfte von den Entwicklern bei Zyxel zu Testzwecken installiert worden sein. Vor der Auslieferung der neuen Firmware wurde er aber nicht entfernt und die Qualitätskontrolle hat das Problem ebensowenig erkannt.

Freie Fahrt für Spionage und Ransomware

Quasi jeder mit Kenntnis über die Zu­gangs­da­ten kann so Vollzugriff auf die be­trof­fe­nen Ge­rä­te erlangen. Das ist insbesondere auch des­halb ein großes Problem, da neben Switches auch Systeme betroffen sind, die Zu­gangs­punk­te zu Firmennetzen darstellen oder VPN-Dienste für externe Mitarbeiter be­reit­stel­len. Angreifer bekommen so quasi eine sehr be­que­me Möglichkeit, sich eigene Zugangswege in das tiefste Innere von Firmennetzen zu ge­stal­ten. Und in Firewalls können Unbefugte schlicht vorgeben, welcher Traffic ins Netz gelassen oder blockiert wird.

Teusink hat bei Scans nach den Zugangsmöglichkeiten rund 3000 Systeme ausgemacht, die zu IP-Adressen gehören, die in den Niederlanden vergeben wurden. Weltweit ließen sich über hunderttausend Zyxel-Systeme ausfindig machen, die aktuell über den fraglichen Account angreifbar sind. Administratoren, in deren Infrastrukturen sich entsprechende Systeme befinden, sollten schnell handeln und Zugänge zu dem fraglichen Account manuell sperren. Denn nicht nur gezielte Attacken von Konkurrenten sind hier möglich, auch die immer noch sehr aktiven Ransomware-Gruppen dürften sich freuen, einen so bequemen Ansatz für ihre Erpressungs-Kampagnen zu bekommen.

Siehe auch: