Internet Storm Center: So massiv werden vernetzte Geräte attackiert

Auch wenn entsprechende Meldungen Aufmerksamkeit erregen, ist es eigentlich gar nicht nötig, dass tausende Zugangsdaten zu vernetzten Geräten ins Netz gestellt werden. Angriffe finden auch so in riesiger Menge statt, wie ein aktuelles Experiment von Sicherheitsforschern zeigt. Ein gutes Jahr nach dem ersten großen IoT-Zwischenfall durch das Mirai-Botnetz haben sich die Attacken auf entsprechende Systeme auf hohem Niveau normalisiert. Wie hoch die Last auf die Systeme ist, zeigen Versuchsreihen, die am Internet Storm Center durchgeführt wurden. Dabei kam als Honeypot eine handelsübliche vernetzte Überwachungskamera zum Einsatz.

Das Produkt des Herstellers Anrai bietet, wie viele andere Geräte in dem Bereich, wenig Sicherheitsvorkehrungen. Insbesondere steht ein Telnet-Zugang zur Verfügung, der stets mit dem gleichen Passwort ausgestattet ist: "xc3511". Dieses kursiert bereits seit einiger Zeit in den einschlägigen Foren und gehört damit sicherlich zum Standard-Umfang der Zugangsprüfungen durch IoT-Malware.

Trommelfeuer auf die Firmware

Die Überwachung des Netzwerkverkehrs der Anrai-Kamera zeigte entsprechend, dass das System im Durchschnitt alle 2 Minuten mit den passenden Zugangsdaten attackiert wurde. Die Sicherheitsforscher führten alle 5 Minuten einen Reset durch, da die meisten Malware-Varianten direkt die Zugangsdaten änderten oder den Telnet-Zugang ganz abschalteten, sobald sie sich eingenistet hatten.

Nicht einmal zwei Tage lief das Experiment und die Kamera war zwar einen großen Teil dieser Zeit online, benötigte aber eben alle paar Minuten auch jeweils 30 Sekunden für einen Reboot. In dieser Zeit wurden etwas über 10.000 Verbindungen verzeichnet, die zum Telnet-Port des Gerätes gingen. Zugriffe mit dem korrekten Passwort kamen dabei von 1.254 verschiedenen IP-Adressen - also wohl von anderen infizierten IoT-Geräten, von denen aus Botnetze immer weiter aufgebaut wurden.

Angesichts dessen, dass es hier letztlich nur um einfache Telnet-Verbindungen ging, sorgten die Malware-Kontakte auch für einen nicht unerheblichen Datenverkehr. Insgesamt knapp 3 Gigabyte liefen während der fast 46 Stunden über die Anbindung.

Download RogueKiller - Malware aufspüren und entfernen