Die Lücke, über die Ihr Router gekapert wird, wurde 2021 geschlossen

CVE-2021-35394 ist fünf Jahre alt. Die Lücke steckt im Realtek Jungle SDK, einem Softwarebaustein, den Dutzende Hersteller in Router, Access Points und Aufnahmegeräte eingebaut haben, ohne ihn je selbst geschrieben zu haben. Gepatcht wurde sie 2021. Ein großer Teil der Geräte in Privathaushalten hat diesen Patch nie bekommen, und die Angreifer wissen das.

Nozomi Networks Labs ging einem Anstieg der Angriffsversuche auf diese Lücke nach und stieß auf ein Botnetz, das noch niemand benannt hatte. Sie nennen es Cling. Das untersuchte Exemplar bringt Exploits für acht verschiedene Schwachstellen mit und greift damit über Realtek hinaus auf Router von LB-LINK und Linksys, Geräte von Eir und FiberHome sowie Überwachungsrekorder von TBK und MVPower zu. Einmal drin, kopiert es sich an zwei versteckte Orte, hängt sich in die Startdateien des Geräts, damit ein Neustart es nicht entfernt, und tauscht sogar den Befehl wget aus, damit das Gerät herunterlädt, was der Betreiber will.

Der raffinierte Teil ist die Befehlsübermittlung. Etwa alle fünf Sekunden fragt das Schadprogramm 13 öffentliche STUN-Server an, also jene gewöhnlichen Maschinen, über die Videoanrufe herausfinden, wie sie sich durch einen Heimanschluss hindurch erreichen. Die Antworten scheinen von Google zu kommen. Tun sie nicht: Die Adresse ist gefälscht, und der Befehl steckt in einem Feld, das eigentlich eine Zufallskennung enthalten sollte. Für das Netzwerk sieht das aus wie jemand in einem Videoanruf. Tatsächlich kann es scannen, Tunnel aufbauen, Datenverkehr weiterleiten und sich an Überlastungsangriffen beteiligen.

Auf Ihrem PC zeigt sich davon nichts. Das Gerät ist das Opfer, und es hat keinen Bildschirm. Suchen Sie auf der Herstellerseite nach Firmware für genau Ihr Modell, schalten Sie die Fernverwaltung aus dem Internet ab, falls sie aktiv ist, und betrachten Sie einen Router, der seit Jahren keine Updates mehr bekommt, als Fall für den Austausch statt für die Weiternutzung. Der Netzwerkscan von Tendvane listet auf, was tatsächlich mit Ihrem Heimnetz verbunden ist, und das ist meist der Moment, in dem Leuten die Kamera im Flur wieder einfällt.