Persirai-Botnet: Hacker nutzen IP-Kameras für DDoS-Angriffe

Die Angreifer profitieren von einer ungepatchten Zero-Day-Lücke. Davon sind mehr als 1000 verschiedene IP-Kamera-Modelle betroffen. Als Folge können Unbefugte ohne gültige Anmeldedaten auf das Web-Interface zugreifen und Schadcode einschleusen und ausführen.

Trend Micro hat ein neues IoT-Botnetz namens Persirai entdeckt. Es besteht ausschließlich aus IP-Kameras. Insgesamt sind mehr als 1000 verschiedene Kamera-Modelle, die auf Produkten mehrerer Original Equipment Manufacturer (OEM) basieren, anfällig für die Persirai-Malware. Die gekaperten Kameras werden den Forschern zufolge ähnlich wie bei den Botnetzen Mirai und Hajime für Distributed-Denial-of-Service-Angriffe (DDoS) benutzt.

Botnetz-WarnschildPer Gerätesuchmaschine Shodan fand Trend Micro rund 120.000 IP-Kameras weltweit, die sich theoretisch dem Persirai-Botnetz hinzufügen lassen. Das Unternehmen geht davon aus, dass viele der betroffenen Nutzer gar nicht wissen, dass ihre Kameras über das Internet angreifbar sind.

Die Hintermänner von Persirai greifen das Web-Interface der Kameras über den geöffneten TCP-Port 81 sowie eine Zero-Day-Lücke an, die es ihnen erlaubt, die Abfrage der Anmeldedaten zu umgehen. „Nach der Anmeldung kann der Angreifer Befehle einschleusen und die IP-Kamera zwingen, sich mit einer Download-Website zu verbinden“, heißt es im Trend-Micro-Blog. Danach werde ein schädliches Shell-Skript heruntergeladen und ausgeführt, wobei die eigentliche Malware ausschließlich im Arbeitsspeicher verbleibe, was eine Erkennung erschwere.

Die gehackten Kameras nehmen schließlich Kontakt zu einem Befehlsserver der Angreifer auf. Darüber erhalten sie die für die DDoS-Attacken benötigten Anweisungen. Die Server nutzen die Top-Level-Domain „IR“, die von einem iranischen Forschungsinstitut ausgegeben werde und auf iranische Bürger beschränkt sei, so Trend Micro weiter. Zudem enthalte der Malware-Code einige spezielle persische Zeichen.

Darüber hinaus blockieren die Hacker auch die Zero-Day-Lücke, um zu verhindern, dass andere Angreifer die bereits kompromittierten Kameras kapern. Trend Micro zufolge beendet ein Neustart der Kameras zwar einen laufenden Angriff, die Zero-Day-Lücke wird dadurch aber wieder geöffnet. Hacker könnten also erneut versuchen könnten, die Kontrolle zu übernehmen.

Entdeckt wurde die Zero-Day-Lücke bereits Anfang März vom Sicherheitsforscher Pierre Kim. Er registrierte zu dem Zeitpunkt 1250 betroffene Kameramodelle und 185.000 anfällige Kameras. Trend Micro weist darauf hin, dass für eine von seinen Forschern getestete Kamera laut Hersteller ein Firmware-Update mit einem Patch zur Verfügung stehen sollte. Die Kamera habe jedoch gemeldet, es sei bereits die aktuellste Firmware installiert.

ANZEIGE

Sie haben Optimierungsbedarf bei Ihren Logistikprozessen?

Die Lösung lautet: Dokumentenmanagement. Erfahren Sie im kostenlosen E-Book, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Ihre Logistikprozesse zu verbessern – von der Artikelnummer bis zur Zustellung. Lesen Sie außerdem, wie Sie ein DMS auch im laufenden Betrieb zeit- und kostensparend implementieren können.

[mit Material von Danny Palmer, ZDNet.com]

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Hacker, IoT, Security, Sicherheit, Trend Micro

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Persirai-Botnet: Hacker nutzen IP-Kameras für DDoS-Angriffe

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *