Botnetz auf 14.000 Routern ist durch P2P-Technik kaum zu stören

Sicherheitsforscher haben ein besonders widerstandsfähiges Botnetz entdeckt, das sich derzeit aus rund 14.000 infizierten Routern und anderen Netzwerkgeräten zusammensetzt. Die betroffenen Geräte stammen überwiegend vom Hersteller Asus.

Meist Asus betroffen

Die zugrunde liegende Schadsoftware, die von den Forschern "KadNap" genannt wird, nutzt Sicherheitslücken in Geräten aus, die von ihren Besitzern nicht mit Updates versorgt wurden. Laut der Analyse des Sicherheitsunternehmens Lumen Black Lotus Labs handelt es sich dabei vermutlich nicht um bislang unbekannte Schwachstellen. Vielmehr hätten die Angreifer offenbar zuverlässige Exploits für bereits bekannte Sicherheitsprobleme insbesondere bei Asus-Routern entwickelt.

Das Botnetz ist seit seiner ersten Entdeckung im vergangenen August gewachsen: Damals zählten die Forscher etwa 10.000 infizierte Geräte, inzwischen sind es durchschnittlich rund 14.000. Die meisten kompromittierten Router befinden sich in den USA, kleinere Gruppen aber auch in Taiwan, Hongkong und Russland.


Besonders auffällig ist die technische Architektur des Netzwerks. KadNap nutzt ein dezentrales Peer-to-Peer-System auf Basis der sogenannten Kademlia-Struktur. Dabei kommen verteilte Hash-Tabellen zum Einsatz, die die eigentlichen IP-Adressen der Steuerungsserver verschleiern. Diese Technik macht es erheblich schwieriger, das Netzwerk aufzuspüren oder durch klassische Maßnahmen abzuschalten.

Im Gegensatz zu herkömmlichen Botnetzen gibt es bei dieser Struktur keinen zentralen Server, der alle infizierten Geräte steuert. Stattdessen fragen die einzelnen Geräte andere Teilnehmer im Netzwerk nach den benötigten Informationen. Die Daten werden dabei über viele Knoten verteilt gespeichert. Fällt ein Teil des Netzwerks aus, können andere Knoten die Aufgaben übernehmen.

Ähnliche Technologien werden seit Jahren in Peer-to-Peer-Netzwerken wie BitTorrent verwendet. Sie gelten als besonders robust, weil sie auch bei Ausfällen einzelner Geräte weiter funktionieren. Im Fall von KadNap dient diese Technik dazu, die Infrastruktur der Angreifer möglichst schwer angreifbar zu machen.

Bezahlter Proxy-Service

Trotz dieser Struktur glauben die Forscher, eine Möglichkeit gefunden zu haben, den Datenverkehr zu den Betreibern zu blockieren. Hinweise auf kompromittierte Systeme wurden zudem öffentlich bereitgestellt, damit Betreiber von Netzwerken entsprechende Verbindungen sperren können.

Die infizierten Geräte werden derzeit für einen kostenpflichtigen Proxy-Dienst genutzt. Dabei wird der Internetverkehr von Kunden über die privaten Internetanschlüsse der unwissenden Router-Besitzer geleitet. Das ermöglicht anonymes Surfen mit scheinbar unauffälligen, privaten IP-Adressen.

Nutzer, die einen Befall vermuten, sollten ihre Geräte auf Werkseinstellungen zurücksetzen, aktuelle Firmware installieren, sichere Administrator-Passwörter verwenden und Fernzugriffe deaktivieren. Ein einfacher Neustart reicht nicht aus, da sich die Schadsoftware beim Start des Routers automatisch erneut aktiviert.


Siehe auch: