NEWS
Ein bislang undokumentiertes Botnet namens „AryStinger“ hat weltweit mindestens 4.300 veraltete Router kompromittiert. Die Geräte scannen im Auftrag des Angreifers Netzwerke, leiten Datenverkehr weiter, führen Befehle aus und dienen als Proxy oder Tunnel für weitere Angriffe.
Nach Informationen des Threat-Intelligence-Teams XLab von Qianxin sind überwiegend ältere D-Link-Geräte betroffen. Rund 75 Prozent der Infektionen entfallen auf das Modell DIR-850L, weitere 13 Prozent auf DIR-818LW. Fast die Hälfte der gekaperten Geräte steht in Südkorea, gefolgt von China und Schweden. Zur Verbreitung nutzt AryStinger teils über zehn Jahre alte Schwachstellen in nicht mehr oder nur eingeschränkt unterstützten Routern.
Neben der ressourcenschonenden, auf C basierenden Version, die den SSH-Server Dropbear als Backdoor nutzt und Geräte für verteilte Scans sowie Verkehrsweiterleitung einsetzt, beobachteten die Forscher eine fortgeschrittenere, in Go geschriebene Variante. Diese zielt vor allem auf NAS-Systeme und unterstützt interne wie externe Netzwerkreconnaissance, Befehls- und Payload-Ausführung sowie die Integration von Open-Source-Penetrationstesting-Tools. Angreifer können darüber Shell-Befehle sowie Quellcode in Go, Java und Python ausführen. Das Ausmaß der NAS-Infektionen ist bislang unbekannt.
Was jetzt zu tun ist:
- End-of-Life-Geräte ersetzen durch aktiv unterstützte Modelle
- Firmware-Updates installieren und Remote-Management deaktivieren
- Standardpasswörter ändern
Autor: Michael Niers
