Mirai-Botnet

Was ist Mirai-Botnet?

Das Mirai-Botnet entsteht, wenn die Schadsoftware Mirai vernetzte Geräte mit Linux in ferngesteuerte Bots verwandelt. Die Schadsoftware zielt in erster Linie auf Endgeräte für Verbraucher wie IP-Kameras und Heimrouter. Erstmals im August 2016 entdeckt, wurde sie für DDoS-Angriffe mit großem Umfang und erheblicher Störwirkung eingesetzt. Einzelne Mirai-Botnetze haben Hunderttausende IoT-Geräte erfasst, und die Übernahme fällt leicht, wenn solche Geräte nur mit Standardpasswörtern geschützt sind. Die Betreiber eines dieser Botnetze nutzten es laut Gerichtsdokumenten zwischen Juli und September 2016 auch für DDoS-Angriffe gegen konkurrierende Botnetz-Betreiber. Die Angreifer steuern den Verbund über einen Command-and-Control-Server, mit dem sich jedes übernommene Gerät verbindet. Seit der Veröffentlichung des Codes wurde er von Nachahmern weiterverwendet.

Das Mirai-Botnet kompromittiert IoT-Geräte; der daraus aufgebaute Verbund kann mit DDoS-Angriffen auch Online-Dienste eines Versicherers überlasten. Dokumentierte Ziele solcher Angriffe waren 2016 die DNS-Infrastruktur eines Anbieters, ein Hosting-Anbieter und die Website eines Journalisten. Die angegriffene Organisation muss dafür selbst keine infizierten Geräte betreiben, denn der Datenverkehr stammt von fremden, übernommenen Geräten, die gemeinsam angreifen.

Wie funktioniert Mirai-Botnet?

Mirai breitet sich aus, indem die Malware das Internet fortlaufend nach IoT-Geräten absucht, die fest eingebaute oder werkseitig voreingestellte Zugangsdaten verwenden. Der Schädling ist in C und Go geschrieben und läuft auf vernetzten Geräten mit Linux. Dabei prüft sie die gefundenen Geräte auf Schwachstellen wie Standardpasswörter und kann Zugangsdaten, etwa werkseitig voreingestellte, über Protokolle wie SSH und Telnet durchprobieren. Gelingt der Zugriff, übernimmt Mirai das Gerät. Es verbindet sich anschließend mit dem Command-and-Control-Server und erhält dort Informationen über das nächste Ziel. Von dort erhält jedes Gerät auch seine Befehle, sodass der Angreifer die Geräte gemeinsam steuern kann.

Auf dem einzelnen Gerät zeigt sich die Infektion etwa als geringere Bandbreite, deshalb bemerken Besitzer sie womöglich nicht. Ein Neustart löscht den Schadcode aus dem Speicher, doch weil die Malware ständig nach verwundbaren Geräten sucht, kann ein Gerät innerhalb von Minuten erneut infiziert werden. Den eigentlichen Schaden richtet erst der Verbund aus: Die übernommenen Geräte werden gemeinsam für koordinierte DDoS-Angriffe genutzt.

Woran erkenne ich das Mirai-Botnet?

Schutz im Ernstfall

Vorbeugen

• Werkseitige Zugangsdaten von IoT-Geräten vor der Inbetriebnahme ändern und starke Passwörter vergeben; lassen sich fest eingebaute Zugangsdaten nicht ändern, das Gerät nicht offen aus dem Internet erreichbar betreiben oder durch die IT ersetzen lassen.
• IoT-Geräte nur in einem abgesicherten Netzwerk betreiben und nicht offen aus dem Internet erreichbar machen, weil Mirai das Internet nach Geräten mit voreingestellten Zugangsdaten absucht.
• Ein Inventar aller vernetzten IoT-Geräte führen, um Geräte mit Standard-Zugangsdaten zu finden. Für die eigenen Online-Dienste mit der IT klären, wie sie bei einem DDoS-Angriff erreichbar bleiben, weil der Angriffsverkehr von fremden, übernommenen Geräten stammt.

Was tun im Ernstfall

• Das betroffene Gerät vom Netzwerk trennen.
• Den Befall der IT-Sicherheit melden.
• Das Gerät durch die IT-Sicherheit analysieren lassen; ein Neustart allein genügt nicht, weil eine erneute Infektion innerhalb von Minuten möglich ist.
• Vor dem Wiederanschluss die Standard-Zugangsdaten ändern; lassen sie sich nicht ändern, das Gerät nicht wieder offen aus dem Internet erreichbar anschließen.