Hunderttausende Geräte völlig ungeschützt am Netz

Über das Internet sind eine Vielzahl von Geräten miteinander vernetzt, die einem Angriff nicht den geringsten Widerstand entgegensetzen. Botnetze lassen sich so prinzipiell sehr einfach aufbauen. Das zeigte nun ein Hacker, der versuchsweise eine solche Infrastruktur installierte, ohne eine Malware zu benötigen, die sich mit einem Exploit in einen Rechner schreibt. Für sein "Carna"-Botnetz durchsuchte er nach eigenen Angaben das Netz lediglich nach quasi unverschlossenen Türen - also Systemen, bei denen überhaupt keine Zugangskennung abgefragt wurde oder solch einfache Kombinationen aus Nutzernamen und Passwort wie "root/root" oder "admin/admin" zum Ziel führten.

Und derer gibt es viele: Während Computer lange im Fokus der Diskussion um Sicherheit standen und inzwischen recht gut geschützt sind, gilt dies für Webcams, Router und Drucker oft nur in sehr beschränktem Umfang. Der Hacker konnte so in seinem Versuch 420.000 Systeme in sein Botnetz einbinden, das er für weitergehende Scans verwandte, um mehr über die Struktur des Internets zu erfahren.

Wie er ausführte, habe er mit seinem Versuch keinen Schaden angerichtet. Inzwischen sei Carna wieder abgeschaltet worden, ohne, dass die Funktion der fraglichen Systeme beeinträchtigt wurde. Prinzipiell ließe sich diese Möglichkeit aber auch zu kriminellen Zwecken missbrauchen, also beispielsweise für die klassischen Aufgaben eines Botnetzes wie den Versand von Spam.

Seine Erkenntnisse stellt er nun der Security-Szene zur Verfügung - mit der Hoffnung, dass dies letztlich von Nutzen für die Allgemeinheit sein wird. "Während jeder von hochklassigen Exploits und Cyberwar spricht, können einem vier einfache Telnet-Passwörter Zugang zu hunderttausenden Geräten bei Verbrauchern und ebenso zu zehntausenden Industrie-Systemen weltweit verschaffen", erklärte er.

Die Analyse habe gezeigt, dass es zahlreiche Geräte und Dienste gibt, die nie mit dem Internet verbunden werden sollten. "Als Faustregel lässt sich annehmen: Wenn es etwas gibt, von dem man annimmt, dass niemand, wirklich niemand, es mit dem Internet verbinden sollte, gibt es mindestens tausend Leute, die genau dies tun", führte der Hacker aus.