Das Internet startete ins Wochenende, aber nicht gerade auf die beste Weise. Mehrere große Websites, darunter Twitter, Netflix, Reddit und Spotify, begannen Zugriffsfehler zu zeigen, obwohl mit ihren Infrastrukturen nichts falsch war. Der neue Cyberangriff traf Dyn, eines der wichtigsten Unternehmen für die Verteilung von DNS. Der Angriff konzentrierte sich besonders auf die USA, und die Daten der letzten 72 Stunden deuten auf ein Botnetz hin, das auf einer Schadsoftware namens Mirai basiert.
Es war bekannt, dass ein weiterer Cyberangriff die Infrastruktur des Internets treffen würde. Egal wie groß die letzten Ereignisse auch waren, das Gefühl verschwand nie, dass die Verantwortlichen „trainierten“ und sich auf etwas Enormes vorbereiteten. Nun, anscheinend passierte dieses „Etwas“ am vergangenen Freitag, als das halbe Internet in den USA und ein Teil Europas einfach verschwand. Dutzende sehr prominente Websites waren betroffen, die alle möglichen Genres und Dienste umfassten. Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, Nachrichtenportale… die Liste geht weiter. Das Auffälligste ist, dass der Angriff nicht auf diese Websites gerichtet war, sondern darauf zielte, das System zu kompromittieren, das uns den Zugang zu ihnen ermöglicht. Mit anderen Worten: Dyn, das DNS-Verteilungsunternehmen, wurde angegriffen, das viele von uns früher als DynDNS kannten.
Der DDoS-Angriff auf Dyn
Laut dem von Dyn selbst veröffentlichten Bericht begann der DDoS-Angriff kurz vor 11:10 (UTC/GMT) am vergangenen Freitag und wurde elf Stunden später für „gelöst“ erklärt. Man glaubte zweimal, den Angriff eingedämmt zu haben, aber die durchschnittliche Pause betrug etwa drei Stunden. Die Auswirkungen des Angriffs trafen Dyns Server an der Ostküste der USA, obwohl praktisch fast das gesamte Land und ein Teil Europas betroffen waren. Im Laufe der Zeit konnten mehrere Sicherheitsfirmen feststellen, dass das für den Cyberangriff verantwortliche Botnetz auf der Malware Mirai basierte. Wenn der Name bekannt klingt, liegt das daran, dass es sich um dieselbe Malware handelt, die gegen das Portal Krebs on Security und bei dem rekordverdächtigen DDoS eingesetzt wurde, der den französischen Anbieter OVH lahmlegte. Mirais besondere Fähigkeit besteht darin, Geräte wie Überwachungskameras, Babyfon und anderes Zubehör des berühmten Internets der Dinge in eine Armee von Zombies zu verwandeln, die verheerende Macht entfalten können. Wenn das nicht genug ist: Die für die Mirai-Malware verantwortliche Person, die das Pseudonym „Anna-sempai“ trägt, veröffentlichte ihren Code in den letzten Septemberwochen. Obwohl das nicht bedeutet, dass dasselbe Botnetz an allen drei Angriffen beteiligt war, ist die Beteiligung von Mirai in allen Fällen sehr deutlich.
Mirai und das Internet der Dinge
Das Sicherheitsunternehmen Flashpoint teilte weitere Details über die „Zombies“ mit, die Dyn angriffen. Obwohl die Möglichkeit nicht ausgeschlossen wurde, dass mehrere kombinierte Botnetze am Angriff beteiligt waren, warnte Flashpoint, dass Geräte auf Basis der Hardware des chinesischen Unternehmens XiongMai Technologies am stärksten betroffen waren. Das erinnert uns an den Mangel an Sicherheit und Verantwortung seitens der Hersteller, die ihre Produkte nicht richtig schützen. All diese Zubehörteile werden mit einem internen Werkspasswort (hardcoded) verkauft, das der Benutzer nicht ändern kann, und schlimmer noch: Sie lassen den Zugriff über Telnet oder SSH offen – Leckerbissen auf dem Silbertablett für Malware. Ein einfacher Scan nach verwundbarer Hardware ermöglichte es Flashpoint, mehr als eine halbe Million zu finden, und niemand weiß, wie viele eine Malware mit Ausdauer finden könnte. Genau das hatte Martin McKeay von Akamai nach dem OVH-Angriff vorhergesagt: Internet-Blackouts.
Was bedeutet das für die Zukunft?
Die harte Wahrheit ist, dass das nicht enden wird. Sobald Mirais Fähigkeiten vollständig verstanden sind, kann es vielleicht eingedämmt werden, aber die Verantwortlichen für die Angriffe sind sehr intelligent und müssen nur ihren Code nehmen, um etwas noch Listigeres zu schaffen. Vielleicht ist es an der Zeit, das Internet der Dinge auf die Anklagebank zu setzen und verbindliche Zertifizierungen einzuführen, die die Hersteller befolgen müssen, um sicherzustellen, dass ihre Produkte eine bereits sehr empfindliche Infrastruktur nicht gefährden. Natürlich bedeutet das höhere Kosten. Die Idee, defekte und unsichere Hardware zu ersetzen, wird auf ganzer Linie Widerstand hervorrufen, aber die Mechanik von „Patches und Schadensbegrenzung“ stößt an ihre Grenzen.
Krebs on Security
Flashpoint
