NEWS
Ein neues, als Dysphoria bezeichnetes IoT-Botnet umfasst nach Angaben von QiAnXin XLab mehr als 200000 kompromittierte Geräte und wird online als „legitimer Stress-Tester“ angeboten – tatsächlich wird es für Distributed-Denial-of-Service-(DDoS)-Angriffe und Relay-Operationen genutzt.
Nach Informationen von XLab basiert Dysphoria auf einer weiterentwickelten Variante der Malware-Familien jackskid und fbot. Sie verbreitet sich über schwache Telnet- und SSH-Anmeldedaten sowie bekannte Schwachstellen in Routern, Kameras und verschiedenen IoT-Geräten. Auf kompromittierten Geräten kann die Malware „Universal Plug and Play“ (UPnP) missbrauchen, um 155 Port-Forwarding-Regeln zu erstellen und Dienste für eingehende Verbindungen zu öffnen. Das erstmals am 25. März beobachtete Netzwerk erhielt seitdem mehrfach Updates und technische Weiterentwicklungen, wodurch die Anzahl infizierter Geräte stetig zunimmt.
Die aktuelle Version nutzt Ethereum ENS- und Solana SNS-Domains, um Infrastrukturinformationen abzurufen. Die Adressen ihrer Command-and-Control-(C2)-Server versteckt die Malware in angeblichen IPv6-Zeichenfolgen, die mithilfe eines speziellen Transformationsalgorithmus wiederhergestellt werden. Dadurch wird die Infrastruktur schwerer zu erkennen und zu stören. Neben C2-Mechaniken unterstützen neue Versionen mehrere Blockchain-Domain-Systeme und trennen die Funktionen zwischen DDoS-Komponenten und Relay- beziehungsweise Proxy-Knoten. Die Betreiber bewerben das Netzwerk auf ihrer Clearnet-Website als legitimen Stresstester mit einer maximalen DDoS-Kapazität von 4 Tbit/s.
Was jetzt/immer zu tun ist:
- Firmware aller Geräte stets auf dem neuesten Stand halten
- Standard-Administratorpasswort ändern
- Fernzugriffe, falls möglich, deaktivieren
Autor: Michael Niers
