Ballista-Botnet: Eine Cyberbedrohung, die TP-Link Archer-Router ausnutzt

Cybersicherheitsforscher haben eine weitere Botnetz-Kampagne namens Ballista aufgedeckt, die ungepatchte TP-Link Archer-Router ins Visier nimmt. Die Kampagne, die erstmals am 10. Januar 2025 entdeckt wurde, nutzt eine bekannte Sicherheitslücke (CVE-2023-1389), um Geräte zu infiltrieren und sich im Internet zu verbreiten. Im Gegensatz zu anderen Botnetzen, die diese Schwachstelle bereits ausgenutzt haben, scheint sich Ballista aktiv zu entwickeln und stellt ein erhebliches Problem für Nutzer und Organisationen weltweit dar.

Was ist das Ballista-Botnetz?

Ballista ist eine Schadsoftware-Kampagne, die darauf abzielt, anfällige TP-Link Archer AX-21-Router zu kompromittieren. Sie nutzt CVE-2023-1389 aus, eine schwerwiegende Sicherheitslücke, die die Einschleusung von Befehlen und letztendlich die Remotecodeausführung (RCE) ermöglicht. Sobald ein Router kompromittiert ist, installiert sich Ballista, richtet einen verschlüsselten Command-and-Control-Kanal (C2) ein und verfolgt eine strukturierte Angriffssequenz, um seine Ziele zu erreichen.

Das Botnetz verbreitet sich durch die Ausführung eines Malware-Droppers namens „dropbpb.sh“, der die Hauptnutzlast auf infizierten Geräten abruft und ausführt. Diese Malware kann auf verschiedenen Systemarchitekturen aktiv sein, darunter mips, mipsel, armv5l, armv7l und x86_64. Sobald das Botnetz eingedrungen ist, führt es Befehle aus, führt Denial-of-Service-Angriffe (DoS) durch und löscht sogar Spuren seiner eigenen Präsenz, um nicht entdeckt zu werden.

Was ist das Ziel von Ballista?

Das Hauptziel von Ballista scheint darin zu bestehen, die Kontrolle über kompromittierte Geräte für verschiedene böswillige Zwecke zu erlangen. Zu den wichtigsten Funktionen gehören:

• Ausführen von Shell-Befehlen: Die Malware ermöglicht Angreifern die Remote-Ausführung von Linux-Shell-Befehlen und verschafft ihnen so umfassende Kontrolle über den infizierten Router.
• Denial-of-Service-Angriffe (DoS): Mithilfe eines als „Flooder“ bekannten Befehls kann Ballista Flood-Angriffe einleiten und so den Netzwerkbetrieb stören.
• Verbreitung auf andere Router: Die Schadsoftware kann die gleiche Schwachstelle auf anderen ungepatchten Routern ausnutzen und so ihre Reichweite deutlich erhöhen.
• Datenzugriff und -exfiltration: Es wird versucht, sensible Dateien aus dem kompromittierten System zu lesen, wodurch möglicherweise vertrauliche Informationen preisgegeben werden.
• Selbsterhaltung und Weiterentwicklung: Ballista ist so konzipiert, dass es frühere Versionen entfernt und nur die neueste Version aktiv ist. Aktuelle Updates deuten zudem darauf hin, dass das Botnetz von fest codierten IP-Adressen auf TOR-Netzwerkdomänen umgestiegen ist, was die Verfolgung und Abwehr erschwert.

Was sind die Auswirkungen?

Das Auftauchen von Ballista verdeutlicht die anhaltenden Sicherheitsprobleme für internetfähige Geräte, insbesondere für Router im Consumer-Bereich, die oft ungepatcht bleiben. Das Botnetz ist weitreichend und umfasst über 6.000 angegriffene Geräte in Brasilien, Polen, Großbritannien, Bulgarien und der Türkei. Es wird auch mit Angriffen auf Unternehmen aus den Bereichen Fertigung, Gesundheitswesen, Dienstleistung und Technologie in den USA, Australien, China und Mexiko in Verbindung gebracht.

Die Auswirkungen dieses Botnetzes gehen über die Infektion einzelner Router hinaus. Da kompromittierte Geräte für groß angelegte Cyberangriffe missbraucht werden können, könnte Ballista zu globalen Cyberbedrohungen beitragen, darunter:

• Zunahme von Botnet-gestützten Angriffen: Angesichts der wachsenden Zahl infizierter Geräte könnten Angreifer Ballista für koordinierte DoS-Angriffe nutzen und so die gezielten Dienste lahmlegen.
• Datenschutzverletzungen und Spionage: Der Zugriff auf vertrauliche Dateien kann zu einer unbefugten Datenexfiltration führen und sowohl Einzelpersonen als auch Organisationen gefährden.
• Schwachstellen in der Lieferkette: Unternehmen, die auf kompromittierte Router angewiesen sind, könnten unwissentlich Teil größerer Cyberkriminalitätskampagnen werden.
• Schwierige Verfolgung und Neutralisierung: Durch die Umstellung des Botnetzes auf die Nutzung von TOR-Netzwerkdomänen wird es schwieriger, die Angreifer zu lokalisieren und ihre Aktivitäten zu unterbinden.

Wie schützt man sich vor Ballisten?

Angesichts der Schwere der Bedrohung müssen Benutzer proaktive Schritte unternehmen, um ihre Router zu sichern:

1. Router-Firmware aktualisieren: Stellen Sie sicher, dass die Firmware des TP-Link Archer AX-21 auf die neueste Version aktualisiert ist, da Hersteller regelmäßig Patches veröffentlichen, um Sicherheitslücken zu beheben.
2. Fernverwaltung deaktivieren: Deaktivieren Sie die Fernzugriffsfunktionen, wenn sie nicht benötigt werden, um nicht autorisierte Verbindungen zu verhindern.
3. Verwenden Sie sichere Anmeldeinformationen: Vermeiden Sie standardmäßige Anmeldeinformationen und verwenden Sie komplexe Passwörter für die Routerverwaltung.
4. Überwachen Sie den Netzwerkverkehr: Ungewöhnliche Aktivitäten, wie beispielsweise Spitzen im ausgehenden Datenverkehr, können auf eine Infektion hinweisen.
5. Auf Werkseinstellungen zurücksetzen und neu konfigurieren: Wenn der Verdacht besteht, dass ein Gerät kompromittiert ist, kann ein Zurücksetzen auf die Werkseinstellungen und eine Neukonfiguration dazu beitragen, die Malware zu entfernen.
6. Implementieren Sie Firewall-Regeln: Beschränken Sie unnötigen Zugriff auf administrative Ports und blockieren Sie verdächtige IP-Adressen.

Der Weg in die Zukunft

Ballista ist nicht das erste Botnetz, das Router-Schwachstellen ausnutzt, und es wird sicherlich nicht das letzte sein. Das Vorhandensein italienischer Zeichenfolgen in den Malware-Binärdateien deutet auf einen möglichen Ursprung hin, doch aufgrund der Weiterentwicklung bleiben die wahren Betreiber unbekannt. Die Verlagerung des Botnetzes hin zu anonymisierten Netzwerken deutet darauf hin, dass es aktiv weiterentwickelt wird, was die Abwehrmaßnahmen erschwert.

Ballista unterscheidet sich zwar von anderen Botnetzen wie Mirai und Mozi, ist aber aufgrund seiner Fähigkeit zur Selbstverbreitung und Ausführung mächtiger Angriffe eine bemerkenswerte Entwicklung in der Cybersicherheitslandschaft. Sobald weitere Details ans Licht kommen, ist es entscheidend, informiert zu bleiben und die notwendigen Vorkehrungen zu treffen, um weitreichende Schäden zu verhindern.

Durch die Priorisierung von Sicherheitsupdates und die Einhaltung bewährter Methoden können Benutzer das Risiko von Ballista und ähnlichen Bedrohungen reduzieren. Der Kampf gegen Botnetze ist noch nicht abgeschlossen, aber Bewusstsein und rechtzeitiges Handeln können ihre Auswirkungen deutlich begrenzen.