Geld verdienen mit fremden Geräten:
Angreifer kapern D-Link & Co.
Eine weltweite Proxyjacking-Kampagne hat eine Reihe verschiedenster Geräte in 34 Ländern kompromittiert, um mit fremden Internetanschlüssen Geld zu verdienen. Betroffen waren unter anderem Systeme von D-Link.
Pawns.app ermöglicht es Nutzern unter anderem, ihre Internetbandbreite gegen Bezahlung anderen zur Verfügung zu stellen. Dabei wird der Internetverkehr Dritter über den Anschluss des jeweiligen Teilnehmers geleitet und der User bekommt dafür einige Cent gutgeschrieben. Die Betreiber der Kampagne nutzten dieses Prinzip aus, indem sie die Software auf zahlreichen fremden Geräten installierten und die dabei entstandenen Einnahmen auf ihr eigenes Konto leiteten.
GreyNoise stieß bei der Untersuchung verdächtiger Aktivitäten in einem nicht näher benannten Unternehmen auf die Kampagne. Die Sicherheitsforscher identifizierten anschließend mindestens 143 betroffene Geräte weltweit. Um Zugriff auf die Systeme zu erhalten, nutzten die Angreifer mehrere bekannte Sicherheitslücken aus.
Darüber hinaus beobachteten die Forscher Angriffsversuche auf digitale Videoüberwachungsgeräte von Hikvision und Dahua. Welche Sicherheitslücken die Täter dabei ausnutzten, ließ GreyNoise offen. In einigen Fällen richteten die Angreifer zusätzlich eine SSH-Schlüsselauthentifizierung ein. Damit könnten sie sich auch dann erneut Zugang verschaffen, wenn der ursprüngliche Angriffsweg geschlossen wird.
Das FBI hatte bereits vor der Nutzung solcher Netzwerke für groß angelegte Angriffe auf Zugangsdaten gewarnt. Bei sogenannten Credential-Stuffing-Angriffen versuchen Täter, gestohlene Kombinationen aus Benutzernamen und Passwörtern auf zahlreichen Plattformen auszuprobieren. Um das Risiko zu senken, sollten Betreiber internetverbundener Geräte Sicherheitsupdates zeitnah installieren, sichere Passwörter verwenden und unnötige Zugriffe aus dem Internet unterbinden.
Siehe auch:
- Angreifer installierten die Software Pawns.app heimlich auf fremden Geräten
- GreyNoise entdeckte die Proxyjacking-Kampagne bei weltweiten Netzwerken
- Die Täter leiteten die Einnahmen für bereitgestellte Bandbreite an sich weiter
- Weltweit wurden mindestens 143 verwundbare Systeme von Kriminellen gekapert
- Ziel der Angriffe waren unter anderem Videosysteme von Hikvision und Dahua
- Über eingerichtete SSH-Schlüssel sicherten sich die Täter dauerhaften Zugang
Legitime App umfunktioniert
Die Angreifer installierten dafür die eigentlich legitime Anwendung Pawns.app ohne Zustimmung der Besitzer auf verwundbaren Netzwerkspeichern, Videoüberwachungssystemen und anderen internetverbundenen Geräten. Entdeckt wurde die Kampagne vom Sicherheitsunternehmen GreyNoise.Pawns.app ermöglicht es Nutzern unter anderem, ihre Internetbandbreite gegen Bezahlung anderen zur Verfügung zu stellen. Dabei wird der Internetverkehr Dritter über den Anschluss des jeweiligen Teilnehmers geleitet und der User bekommt dafür einige Cent gutgeschrieben. Die Betreiber der Kampagne nutzten dieses Prinzip aus, indem sie die Software auf zahlreichen fremden Geräten installierten und die dabei entstandenen Einnahmen auf ihr eigenes Konto leiteten.
GreyNoise stieß bei der Untersuchung verdächtiger Aktivitäten in einem nicht näher benannten Unternehmen auf die Kampagne. Die Sicherheitsforscher identifizierten anschließend mindestens 143 betroffene Geräte weltweit. Um Zugriff auf die Systeme zu erhalten, nutzten die Angreifer mehrere bekannte Sicherheitslücken aus.
Darüber hinaus beobachteten die Forscher Angriffsversuche auf digitale Videoüberwachungsgeräte von Hikvision und Dahua. Welche Sicherheitslücken die Täter dabei ausnutzten, ließ GreyNoise offen. In einigen Fällen richteten die Angreifer zusätzlich eine SSH-Schlüsselauthentifizierung ein. Damit könnten sie sich auch dann erneut Zugang verschaffen, wenn der ursprüngliche Angriffsweg geschlossen wird.
Technik im Blick behalten
Proxyjacking ist nicht grundsätzlich auf Schadsoftware oder illegale Dienste beschränkt. Allerdings können auch seriöse Proxy-Netzwerke missbraucht werden, wenn der Datenverkehr über unzureichend kontrollierte Teilnehmeranschlüsse läuft. Die Besitzer der betroffenen IP-Adressen riskieren dadurch beispielsweise Sperren bei Online-Diensten oder den Verdacht, an kriminellen Aktivitäten beteiligt zu sein.Das FBI hatte bereits vor der Nutzung solcher Netzwerke für groß angelegte Angriffe auf Zugangsdaten gewarnt. Bei sogenannten Credential-Stuffing-Angriffen versuchen Täter, gestohlene Kombinationen aus Benutzernamen und Passwörtern auf zahlreichen Plattformen auszuprobieren. Um das Risiko zu senken, sollten Betreiber internetverbundener Geräte Sicherheitsupdates zeitnah installieren, sichere Passwörter verwenden und unnötige Zugriffe aus dem Internet unterbinden.
Siehe auch:
Thema:
Christian KahleRedakteur für Forschung, Energie und Raumfahrt
Begleitet die IT-Branche seit dem Dotcom-Boom, Informatik studierte er in Berlin. Sein Spektrum reicht von Quantencomputern über Solarstrom bis zur Raumfahrt.
