Eleven11bot: Plötzlich tritt ein neues Botnetz mit Mega-DDoS in Aktion

Ein neu entdecktes Botnetz, das aus rund 30.000 gehackten Über­wa­chungs­kameras und Videorekordern besteht, sorgt aktuell für bei­spiel­lose DDoS-Angriffe. Laut eines Sicherheitsexperten von Nokia han­delt es sich sogar um die bisher größten Attacken dieser Art.

Angriffslustige Videorekorder

Das unter dem Namen "Eleven11bot" geführte Botnetz wurde Ende Februar erstmals beobachtet, als Nokias Deepfield Emergency Response Team eine große Anzahl geografisch verstreuter IP-Adressen identifizierte, die massive DDoS-Angriffe durchführten. Die bisher größte verzeichnete Attacke erreichte am 27. Februar eine Spitzenlast von 6,5 Terabit pro Sekunde (Tbps). Zum Vergleich: Der zuvor stärkste bekannte Angriff lag bei 5,6 Tbps.

Diese Art von Attacken, sogenannte hypervolumetrische DDoS-Angriffe, überfluten nicht nur einzelne Server, sondern ganze Netzwerke mit extremen Datenmengen und führen zur Blockierung oder massiven Verlangsamung von Online-Diensten. Neben Kommunikationsdienstleistern sind auch Gaming-Plattformen betroffen. Teilweise dauern die Störungen mehrere Tage an.


Die Schätzungen über die wahre Größe des Botnetzes variieren stark. Während Nokia von etwa 30.000 infizierten Geräten spricht, geht die Shadowserver Foundation von über 86.000 aus. Das Sicherheitsunternehmen Greynoise hingegen schätzt die Zahl auf weniger als 5.000. Diese Unsicherheiten resultieren aus technischen Schwierigkeiten bei der exakten Identifizierung der beteiligten Geräte.

HiSilicon-Chips betroffen

Laut dem Sicherheitsexperten Jérôme Meyer stammen viele der IP-Adressen aus Geräten, die zuvor nicht für DDoS-Angriffe genutzt wurden. Besonders betroffen sind Überwachungskameras und digitale Videorekorder mit HiSilicon-Chips, darunter auch TVT-NVMS 9000-Geräte.

Experten gehen davon aus, dass "Eleven11bot" eine Weiterentwicklung der berüchtigten Mirai-Malware ist. Mirai sorgte bereits 2016 für rekordverdächtige Angriffe und wurde berühmt, als es die Website KrebsOnSecurity für fast eine Woche lahmlegte. Die Malware nutzt Schwachstellen in IoT-Geräten, um diese in Botnetze einzubinden. Um die Malware genau identifizieren zu können, wird es aber wohl nötig sein, ein infiziertes Gerät in die Hand zu bekommen.


Siehe auch: