Brite wegen Angriffen auf Telekom-Router verhaftet

Knapp drei Monate nach dem umfangreichen Angriff auf Telekom-Router wurde jetzt auf einem Flughafen in Großbritannien ein mit europäischem Haftbefehl gesuchter britische Staatsbürger verhaftet, der die Angriffe organisiert haben soll. Ihm wird Computersabotage in einem besonders schweren Fall vorgeworfen. Die Staatsanwaltschaft Köln will seine Auslieferung nach Deutschland erreichen. Wird er der vollendeten Computersabotage für schuldig befunden, droht ihm eine Haftstrafe zwischen 6 Monaten und 10 Jahren. Die Deutsche Telekom denkt zudem über zivilrechtliche Maßnahmen gegen den Angreifer nach.

Von den Angriffen auf bestimmte, von der Telekom ihren Kunden zur Verfügung gestellte Typen von DSL-Routern, waren im November über eine Million Kunden betroffen. Im Anschluss setzte eine heftige Diskussion darüber ein, wer für die Abwehr derartiger Attacken zuständig sein soll und wer im Vorfeld was versäumt hat.

Die ging aber weitgehend daran vorbei, dass sowohl Router-Hersteller als auch Netzwerkbetreiber Patches für bekannte Sicherheitslücken oft gar nicht entwickeln oder erst mit Verzögerungen zur Verfügung stellen. Außerdem wurde dabei weitgehend übergangen, dass die Mehrzahl der Anwender selbst einfachste Sicherheitsmaßnahmen nicht umsetzt. Tipps, wie sie sich absichern könne, haben die Kollegen der silicon.de-Schwestersite ZDNet zusammengestellt.

Die Festnahme ist ein Ergebnis von Ermittlungen des Bundeskriminalamts, dessen Beamte auch vor Ort mitwirkten. Die verwendete Malware hatte zuvor das Bundesamt für Sicherheit in der Informationstechnik (BSI) untersucht. Die Zentral- und Ansprechstelle Cybercrime NRW (ZAC NRW) geht von einer “Gefährdung kritischer Infrastrukturen” aus. An den Ermittlungen beteiligten sich neben deutschen, britischen und zypriotischen Behörden auch Europol und Eurojust.

Ziel des Hackerangriffs war es laut der Staatsanwaltschaft Köln, Router in mehreren Ländern mit Schadsoftware zu infizieren und sie dann in ein Botnet zu überführen. Das wiederum sollte dann für diverse Angriffe – insbesondere DDoS-Attacken, vermietet werden. Das dabei bestimmte DSL-Router der Telekom in großer Zahl ausfielen, war wohl eher ein Betriebsunfall als Absicht.

Bei den betroffenen Routern der Telekom-Kunden wurden vor allem Fehler im Fernwartungsprotokoll und beim IP-Port für die automatische Konfiguration ausgenutzt. Die Schadsoftware konnte sich allerdings aufgrund mangelhafter Programmierung nicht dauerhaft auf den betroffenen Speedport-Routern der Telekom festsetzen. Die Telekom hat das Einfallstor für Angreifer inzwischen mit einem Update beseitigt. Dazu wurde bei den Geräten TCP-Port 7547 für Zugriffe aus dem Internet gesperrt, er ist nun nur noch aus dem internen Netzwerk der Telekom erreichbar.

[mit Material von Bernd Kling, ZDNet.de]