Blanke Zerstörungswut: Malware zerstört in Stunden 600.000 Router

Manchmal dauert es, Licht ins Dunkel hinter seltsamen Vorfällen zu bringen. So wird jetzt erst klarer, dass tatsächlich eine Malware dafür verantwortlich war, dass im letzten Oktober plötzlich hunderttausende Router eines Providers fast zeitgleich ausfielen.

Ursache lange unklar

Betroffen war dabei das US-Unternehmen Windstream. Im vergangenen Herbst wurden dessen Nutzerforen plötzlich massenhaft mit Meldungen überflutet, in denen davon berichtet wurde, dass die Zugangsrouter nicht mehr funktionieren. Nicht einmal Neustarts oder komplette Resets halfen, das Einzige, was noch funktionierte, waren die roten Status-LEDs.

Während schon das Forum heiß lief, dürfte der Kundendienst völlig überrannt worden sein. Weil so viele Ausfälle binnen eines extrem kurzen Zeitraums zustande kamen, warfen Nutzer dem Provider vor, ein fehlerhaftes Update für die Router-Firmware auf seine Kunden losgelassen zu haben. So recht kam man mit der Fehlersuche allerdings nicht weiter und es blieb nichts anderes, als hunderttausenden Kunden neue Zugangsrouter zu schicken.


Sicherheitsforscher der Black Lotus Labs haben nun allerdings einige Indizien gefunden, dass das Problem tatsächlich von einer Malware ausgelöst wurde. Der Analyse zufolge waren alle betroffenen Systeme vor ihrem Ausfall mit jeweils der gleichen Autonomous System Number (ASN) verbunden. Dabei handelt es sich um einzigartige Nummern für die Netze einzelner Provider oder Unternehmen.

Speicher komplett überschrieben

Die gleiche ASN tauchte in einem weiteren Fall auf, in dem aus diesem Netzwerk Schadcode verbreitet wurde. Das Schema ähnelte dabei dem Windstream-Vorfall. Der Angreifer verwischte bewusst dabei seine Spuren, indem er statt eines eigens entwickelten Toolkits eine handelsübliche Malware mit dem Namen Chalubo verwendete.

Alles deutet daher darauf hin, dass ein Angreifer aus völlig unklaren Motiven heraus für eine massive Sabotage unter Windstream-Kunden gesorgt hat. Den Informationen der Sicherheitsforscher zufolge wurden so binnen 72 Stunden rund 600.000 Router unbrauchbar gemacht und mussten ersetzt werden. Dafür drang der Schadcode offenbar über eine Schwachstelle in den Router vor und überschrieb einfach den gesamten Speicher, sodass letztlich auch keine Spuren der Malware selbst mehr zu finden waren.


Siehe auch: