Weiteres Botnetz aus IP-Kameras entdeckt

Trend Micro hat vor einem Botnetz aus IP-Kameras gewarnt. Es ähnelt den Sicherheitsforschern zufolge den bereits bekannten IoT-Botnetzen Mirai und Hajime und wird von ihnen Persirai genannt. Auch hier ist der Namensgeber die zum Aufbau des Botnetzes verwendete Malware. Erstmals entdeckt wurde Persirai bereits Anfang März vom Sicherheitsforscher Pierre Kim.

Für Persirai nutzen die Hintermänner laut Trend Micro eine ungepatchte Sicherheitslücke in einer Software, die in über 1000 unterschiedlichen Modellen von IP-Kameras verwendet wird und die in mindestens 120.000 in Betrieb befindlichen IP-Kameras steckt. Die IP-Kameras mit fehlerhafter Software wurden offenbar vorrangig in China und Thailand verkauft, sie finden sich in nennenswerter Anzahl aber auch in den USA, Mexiko, Brasilien, Südkorea, Japan, Großbritannien und Italien.

Über die Lücke lässt sich ohne Anmeldedaten auf das Web-Interface zugreifen, Schadcode einschleusen und ausführen. Die so übernommenen Kameras werden den Forschern zufolge wie bei den Botnetzen Mirai und Hajime für DDoS-Angriffe benutzt. Dass die eigentliche Persirai-Malware ausschließlich im Arbeitsspeicher verbleibt, erschwert die Erkennung erheblich.

Die Hacker blockieren zudem auch die von ihnen ausgenutzte Lücke. So verhindern sie, dass andere Angreifer die kompromittierten Kameras kapern. Ein Neustart der Kameras beendet Trend Micro zufolge zwar einen laufenden Angriff, danach ist aber die Lücke wieder angreifbar.

Die Kontrollserver nutzen die Top-Level-Domain “IR”. Die wurde von einem iranischen Forschungsinstitut nur an iranische Bürger ausgegeben. Laut Trend Micro enthält der Malware-Code einige “persische Zeichen”, was dem Schadprogramm seinen Namen eingebracht hat.

[mit Material von Stefan Beiersmann, ZDNet.de]