{"id":204982,"date":"2018-06-03T08:42:59","date_gmt":"2018-06-03T06:42:59","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=204982"},"modified":"2024-10-04T21:08:13","modified_gmt":"2024-10-04T19:08:13","slug":"vpn-botnetz-versucht-ein-comeback-ukraine-im-visier","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/06\/03\/vpn-botnetz-versucht-ein-comeback-ukraine-im-visier\/","title":{"rendered":"VPNFilter-Botnetz versucht ein Comeback, Ukraine im Visier"},"content":{"rendered":"

[English<\/a>]Cyber-Kriminelle versuchen erneut ein Router-basierendes VPN-Botnetz aufzubauen, nachdem die erste Variante von US-Beh\u00f6rden abgeschaltet wurde. Der Angriff wird der staatlichen russischen APT28-Gruppe zugeschrieben, die nach dem UEFA Champions League-Endspiel vom 26. Mai 2018 einen Angriff auf die IT-Struktur der Ukraine plant.<\/p>\n

<\/p>\n

Worum geht es?<\/h2>\n

\"\"Die Sicherheitsfirma Talos hatte k\u00fcrzlich in einem Blog-Beitrag<\/a> Informationen zu einem riesigen Botnet mit dem Namen VPNFilter ver\u00f6ffentlicht. Dieses bef\u00e4llt Router und NAS-Ger\u00e4te, 500 Millionen Ger\u00e4te waren befallen.<\/p>\n

Popul\u00e4re Router, auch in Deutschland befallen<\/h2>\n

Deutschland<\/strong> lag in der Zahl der Infektionen<\/strong> auf Platz 2<\/strong>, hinter der Ukraine, da hierzulande einige der infizierbaren Router von Linksys, Mikrotik und Netgear, TP-Link VPN-Systeme sowie QNAP-NAS-Ger\u00e4te im Einsatz sind. Ursache ist ungepatchte Firmware \u2013 bei Mikrotik ist die benutzte L\u00fccke bereits im M\u00e4rz 2017 geschlossen worden.<\/p>\n

Das FBI hat dann die C&C-Server beschlagnahmt und das Botnet abgeschaltet. Ende Mai 2018 hatte ich im Blog-Beitrag Sicherheitsinfos zum 31. Mai 2018<\/a> \u00fcber das VPN-Botnetz berichtet.<\/p>\n

Comeback des VPNFilter Botnet<\/h2>\n

Das VPNFilter Botnet versucht aktuell wohl ein Comeback. Sicherheitsforscher von JASK<\/a> (Polen) und GreyNoise Intelligence haben am Freitag berichtet, dass die gleichen Cyber-Kriminellen, die die erste Variante des VPNFilter-Botnets aufgebaut haben, versuchen, ein neues VPNFilter-Botnet aufzubauen. Das geht aus Beobachtungen hervor, die man bei der \u00dcberwachung der Infrastruktur gemacht hat.<\/p>\n

Aktuell sind aber wohl nur Router in der Ukraine im Visier. Denn alle Scans des Botnets suchen nach Mikrotik-Routern mit offenen Port 2000, die in ukrainischen Netzwerken eingesetzt werden.<\/p>\n

Die Sicherheitsforscher sehen darin die Vermutung best\u00e4tigt, dass die Staatshacker der russischen APT28-Gruppe hinter dem Angriff stehen. Denn die in den Exploits verwendeten Ans\u00e4tze werden nur von staatlichen Akteuren eingesetzt.<\/p>\n

Infos zur VPNFilter-Malware<\/h2>\n

Die VPNFilter-Malware, die ITO-Ger\u00e4te infiziert, gilt als eine der fortschrittlichsten Arten von IoT-Malware und enth\u00e4lt wohl drei Arten sogenannter Payloads.<\/p>\n