Forscher findet mit Botnetz 1,2 Millionen unsichere Geräte
Mit einem Botnetz hat ein anonymer Sicherheitsforscher insgesamt 1,2 Millionen Geräte weltweit ermittelt, die ohne Passwort oder über die vom Hersteller vorgegebenen Passwörter zugänglich sind. Seine Botnetz-Software “Carna” infizierte für das Projekt Internet Census 2012 rund 420.000 der offenen Geräte.
Das eigentliche Ziel des Projekts war es, mit den infizierten Geräten Portscans aller IPv4-Adressen durchzuführen und ihre tatsächliche Nutzung zu ermitteln. Der namenlose Forscher ging umsichtig vor und lud seine Software nur auf Geräte, auf denen sie eindeutig lauffähig war. Außerdem vermied er dauerhafte Änderungen. Das inzwischen wieder abgeschaltete Botnetz war dennoch illegal, da die Software ohne Zustimmung der Gerätebesitzer installiert wurde.
Um Zugang zu den Geräten zu bekommen, arbeitete sein Script entweder mit leeren Log-in-Daten oder mit Standardvorgaben wie root / root sowie admin / admin. Die Mehrzahl der kompromittierbaren Geräte waren privat eingesetzte Router. Es gehörten aber auch industrielle Steuerungssysteme sowie BGP-Router (Border Gateway Protocol) dazu. Angriffe auf letztere könnten ein ganzes Land vom Internet trennen.
Unsichere Geräte fanden sich praktisch überall, ließen sich nicht einem bestimmten ISP oder Land zuordnen. “Das Problem der voreingestellten oder fehlenden Passwörter ist branchenweit und ein Internet-Phänomen”, schreibt der namenlose Forscher.
Die mit seinem Projekt ermittelten Daten hat er vollständig veröffentlicht. In komprimierter Form erfordern sie einen Download von 568 GByte, der sich zu 9 Terabyte Logdateien entpackt. “Wir hoffen, dass andere Forscher die von uns gesammelten Daten nützlich finden”, schreibt der Projektbetreiber weiter. “Und dass diese Veröffentlichung mehr Aufmerksamkeit darauf lenkt – während alle von aufwendigen Exploits und Cyberkrieg reden -, dass vier einfache dumme voreingestellte Telnet-Passwörter genügen, um Zugang zu Hunderttausenden Verbrauchergeräten sowie Zehntausenden Industriegeräten weltweit zu gewähren.”
Tatsächlich entdeckte das Projekt mit “Aidra” auch eine kurz zuvor in Umlauf gebrachte Botnetz-Software. Sie arbeitete ganz ähnlich, wurde aber eindeutig mit bösartiger Absicht entwickelt.
[mit Material von Michael Lee, ZDNet.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.