FBI & Partner zerschlagen Botnetz russischer Geheimdienst-Helfer

Strafverfolgungsbehörden aus mehreren Staaten haben es gemeinsam geschafft, ein Botnetz lahmzulegen, mit dem sich russische Angreifer auf zahlreichen kleinen Routern eingenistet hatten. Die Betreiber der Geräte sollen aber trotzdem auf der Hut sein.

Ubiquiti im Visier

Betroffen waren im aktuellen Fall die EdgeRouter von Ubiquiti. Bei diesen handelt es sich um preiswerte Geräte, die häufig in Privathaushalten und kleineren Büros zum Einsatz kommen, um Netzwerke aufzubauen. Auf den Geräten läuft eine Linux-Firmware, in die sich bereits vor längerer Zeit ein Botnetz-Trojaner namens Moobot einnistete.

Die so geschaffene Infrastruktur war ursprünglich dafür gedacht, Kontodaten der Nutzer auszuspionieren und den Betreibern Wege zu Geld zu eröffnen. Allerdings fanden Fachleute der US-Bundespolizei FBI heraus, dass die Infrastruktur vor mindestens zwei Jahren durch eine als APT28 bezeichnete Gruppe übernommen wurde. Diese ist schon länger bekannt und alles deutet darauf hin, dass sie in engem Kontakt zu staatlichen Stellen in Russland steht - konkret zum Geheimdienst GRU.


APT28 nutzte die Kontrolle über das Botnetz, um weitergehende Angriffe auf Behörden, Militärs und Unternehmen in der Tschechischen Republik, Italien, Litauen, Jordanien, Montenegro, Polen, der Slowakei, der Türkei, der Ukraine, den Vereinigten Arabischen Emiraten und den USA durchzuführen. Auch Einzelpersonen in der Ukraine wurden ins Visier genommen.

Weiter aufpassen!

"Das US-Justizministerium, einschließlich des FBI und internationale Partner, haben kürzlich ein aus solchen Routern bestehendes GRU-Botnetz zerschlagen", konnte nun allerdings durch das FBI mitgeteilt werden. "Die Besitzer der betroffenen Geräte sollten jedoch die im Folgenden beschriebenen Abhilfemaßnahmen ergreifen, um den langfristigen Erfolg der Unterbrechung zu gewährleisten und um ähnliche Kompromittierungen zu erkennen und zu beheben."

Die Maßnahmen umfassen verschiedene Schritte vom Zurücksetzen auf Werkseinstellungen, um die Malware auszuschalten, bis zum Update auf die jüngste Firmware-Version, die dem Botnetz-Trojaner den Zugang versperrt. Grundsätzlich sollten die Betreiber die fraglichen Geräte aber weiterhin auch im Blick behalten und prüfen, ob es erneut Anzeichen für Infektionen gibt. Dies gilt aber natürlich auch für andere Geräte, da Botnetze durchaus eine interessante Grundlage für Angreifer bieten.


Siehe auch: