Mirai-Botnet-Variante nutzt Four-Faith-Router-Fehler aus, um DDoS-Angriffe zu starten

Eine neue Mirai-Variante nutzt seit Anfang November 2024 Schwachstellen in Industrieroutern von Four-Faith aus und ist damit ein deutliches Beispiel für die wachsende Gefahr, die von Botnetzen ausgeht. Dieses neueste Botnetz mit dem Namen „Gayfemboy“ (ein Begriff, der sich von den anstößigen Verweisen auf den Quellcode ableitet) unterstreicht die anhaltende Bedrohung durch Distributed-Denial-of-Service-Angriffe (DDoS) und unterstreicht die Notwendigkeit robuster Cybersicherheitsabwehrmaßnahmen.

Mit 15.000 täglich aktiven IPs in Regionen wie China, Iran, Russland, der Türkei und den USA hat dieses Botnetz verheerende Ausmaße angenommen. Seine Fähigkeit, sowohl Zero-Day-Schwachstellen als auch eine lange Liste von über 20 bekannten Sicherheitslücken auszunutzen, ist für Unternehmen und Privatanwender gleichermaßen ein Weckruf.

Die ausgenutzte Schwachstelle: CVE-2024-12856

Im Mittelpunkt der jüngsten Kampagne des Botnetzes steht CVE-2024-12856, eine Schwachstelle zur Befehlsinjektion, die die Four-Faith-Routermodelle F3x24 und F3x36 betrifft. Der Fehler, der einen CVSS-Score von 7,2 aufweist, ermöglicht es Angreifern, Router auszunutzen, die mit unveränderten Standardanmeldeinformationen konfiguriert sind.

Seit ihrer Entdeckung im November 2024 wird diese Schwachstelle aktiv ausgenutzt, um bösartige Payloads zu verbreiten, darunter Reverse Shells und eine Mirai-basierte Malware-Variante. Indem sie Industrierouter ins Visier nehmen, können Angreifer hochvernetzte Geräte nutzen und so die Reichweite und Effektivität ihres Botnetzes steigern.

Eine mehrgleisige Angriffsstrategie

Die Mirai-Variante verwendet eine Kombination aus Taktiken, um Geräte zu infizieren und ihre Wirkung zu maximieren:

1. Erster Zugriff über schwache Anmeldeinformationen
   Das Botnetz sucht nach Geräten mit schwachen Telnet-Anmeldeinformationen oder Werkseinstellungen, ein häufiges Sicherheitsversehen in vielen IoT- und Industriesystemen.
2. Ausnutzung einer langen Liste von Schwachstellen
   Über CVE-2024-12856 hinaus nutzt das Botnetz über 20 weitere Schwachstellen aus, darunter auch Fehler aus dem Jahr 2013, wie zum Beispiel:
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Mirai-basierte Malware-Funktionen
   Nach der Bereitstellung wendet die Malware Techniken an, um:
   • Schädliche Prozesse verbergen.
   • Führen Sie Befehle aus, um neue anfällige Geräte zu lokalisieren.
   • Aktualisieren Sie die Malware-Nutzlast kontinuierlich.
   • Starten Sie gezielte DDoS-Angriffe.

Ausmaß und Auswirkungen der Angriffe

Das Botnetz orchestrierte täglich DDoS-Angriffe auf Hunderte von Zielen und erreichte dabei Bandbreitenspitzen von 100 Gbit/s. Obwohl diese Angriffe oft nur 10 bis 30 Sekunden dauern, kann der plötzliche Datenverkehr die Server überlasten, Dienste stören und erheblichen Schaden anrichten.

Insbesondere im Oktober und November 2024 kam es zu einem Anstieg der Botnet-Aktivität, wobei die Malware aggressiv nach Geräten suchte und diese kompromittierte.

Die umfassendere Botnet-Bedrohung

Diese neueste Mirai-Variante ist Teil eines größeren Trends von Cyberkriminellen, die Schwachstellen in IoT- und Industriegeräten ausnutzen, um Botnetze aufzubauen . Zu ähnlichen Kampagnen zählen:

• Warnung von Juniper Networks : Böswillige Akteure zielen auf Session Smart Router (SSR)-Produkte mit Standardkennwörtern ab, um die Mirai-Malware zu verbreiten.
• Akamai-Bericht : Mirai-Infektionen nutzen Schwachstellen zur Remotecodeausführung in DigiEver-DVRs als Waffe.

Diese Vorfälle spiegeln eine beunruhigende Realität wider: Solange Geräte falsch konfiguriert oder nicht gepatcht sind, werden Angreifer sie weiterhin ausnutzen, um ihre Botnet-Armeen zu vergrößern.

So schützen Sie sich vor Mirai-Botnetzen und DDoS-Angriffen

Angesichts der anhaltenden und sich weiterentwickelnden Bedrohung durch Mirai-basierte Botnetze ist es für Unternehmen und Benutzer von entscheidender Bedeutung, umfassende Sicherheitsmaßnahmen zu ergreifen:

1. Standardanmeldeinformationen ändern
   Ersetzen Sie werkseitig voreingestellte Passwörter auf allen Geräten durch starke, eindeutige Anmeldeinformationen.
2. Geräte regelmäßig patchen und aktualisieren
   Halten Sie die Router-Firmware und -Software auf dem neuesten Stand, um bekannte Schwachstellen wie CVE-2024-12856 zu beheben.
3. Implementieren Sie die Netzwerksegmentierung
   Isolieren Sie IoT- und Industriegeräte von kritischen Netzwerken, um die seitliche Bewegung einzuschränken.
4. Überwachen Sie ungewöhnlichen Datenverkehr
   Verwenden Sie Intrusion Detection Systems (IDS) und anomaliebasierte Überwachungstools, um ungewöhnliche Verkehrsmuster zu erkennen, die auf DDoS-Aktivitäten hinweisen.
5. Implementieren Sie Anti-DDoS-Lösungen
   Cloudbasierter DDoS-Schutz kann Angriffe mit hoher Bandbreite absorbieren und abschwächen, bevor diese Ihr Netzwerk erreichen.
6. Beschränken Sie Telnet und Remote-Zugriff
   Deaktivieren Sie den Telnet-Zugriff und beschränken Sie die Remoteverwaltungsschnittstellen ausschließlich auf vertrauenswürdige IPs.

DDoS-Bedrohungen entwickeln sich weiter

Die neueste Variante des Mirai-Botnetzes ist mehr als nur eine weitere Malware-Variante – sie ist ein Vorbote der zunehmenden Raffinesse von DDoS-Bedrohungen. Indem Angreifer Schwachstellen in industriellen Routern und IoT-Geräten ausnutzen, erstellen sie Botnetze mit größerer Reichweite und zerstörerischem Potenzial.

Um diesen Bedrohungen einen Schritt voraus zu sein, müssen Organisationen und Einzelpersonen wachsam bleiben, ihre Geräte sichern und proaktive Cybersicherheitspraktiken ergreifen. Wie diese Kampagne zeigt, können selbst scheinbar kleine Schwachstellen massive Auswirkungen haben, wenn sie nicht behoben werden.