Ein Botnetz namens Doorway hat 41 GB eigener Dateien offen liegen lassen, und Router mit Standardpasswörtern sind sein liebster Einstieg
Kriminelle Infrastruktur steht öfter offen, als man denkt, und wenn das passiert, ist der Papierkram aufschlussreich. Forscher von CloudSEK fanden im Oktober zwei ungeschützte Arbeitsbereiche von Angreifern und zogen daraus rund 41 GB Betriebsdaten eines Botnetzes, das sie Doorway getauft haben. Ihr Bericht vom 28. Oktober liest sich wie das Logistik-Dashboard eines Paketdienstes, nur dass die Pakete Router und Kameras sind.
Der Haupteingang ist MikroTik RouterOS, über CVE-2023-30799, eine Lücke, für die es seit drei Jahren einen Fix gibt, und über den ältesten Trick überhaupt: Standard-Admin-Zugänge, einschließlich eines leeren Passworts. Die Aufzeichnungen zeigen 7.369 erfolgreiche MikroTik-Anmeldungen auf 4.923 Geräten. Das eigene Protokoll der Betreiber behauptet 11.363 neu eingebundene Geräte und 58.920 Payload-Downloads in einer einzigen Stunde, wobei diese Zahl nicht unabhängig geprüft ist und CloudSEK seine Werte als Mindestangaben versteht. Einmal drin, richtet Doorway SOCKS-Proxys ein und macht die Internetverbindung eines Fremden still und leise zum Umschlagplatz für den Datenverkehr anderer. Allein bei einem Provider fanden sich 1.060 Kundendatensätze in der Beute.
MikroTik ist keine Marke, die die meisten Haushalte kennen, aber Internetanbieter verteilen reichlich davon, und die 59 Exploit-Module zielen auch auf Kameras, Glasfaserboxen und andere Geräte, die Provider stellen. Die Gegenmaßnahmen sind langweilig und wirksam. Ändern Sie das Admin-Passwort des Routers, wenn es noch das voreingestellte ist oder gar leer. Schalten Sie die Fernverwaltung aus dem Internet ab, deaktivieren Sie Telnet und UPnP, sofern die Einstellungen das erlauben, und installieren Sie Firmware-Updates. Ein Router, der für Fremde als Proxy arbeitet, zeigt selten mehr als eine langsamere Verbindung, also fragen Sie Ihren Anbieter, ob die Firmware aktuell ist, falls die Box von ihm stammt.
Der Netzwerkscan von Tendvane listet jedes Gerät in Ihrem Heimnetz auf, ein schneller Weg, die alte Kamera oder die vergessene Box zu finden, die seit dem Einstecken niemand aktualisiert hat.