Was bei der Telekom-Störung genau passiert ist

Am ersten Adventssonntag konnte man in Deutschland mitbekommen, was passiert, wenn Hackern ein Missgeschick unterläuft. In vielen Haushalten war das Internet ausgefallen. Grund war wohl ein weltweiter Cyberangriff, Kriminelle hatten es auf Router abgesehen, also jene weißen Kästchen, die Computer, Telefone und Fernseher mit dem Internet verbindet. Die Hacker wollten die Router unter ihre Kontrolle bringen, um sie zu einer Angriffswaffe zu orchestrieren. Doch bei einigen Modellen der Telekom ging das schief: Rund 900.000 Router ließen sich nicht übernehmen, quittierten stattdessen den Dienst. Eine kleine Unachtsamkeit der Hacker reichte also aus, um immerhin fast eine Million Haushalte in Deutschland vom Internet abzuschneiden. Wie groß diese Attacke tatsächlich war, wie sie abgelaufen ist und was für eine Gefahr dahintersteckt – das analysieren derzeit Sicherheitsforscher und Informatiker. Sie nutzen dafür Sensornetze, die in die Weiten des Internets hinauslauschen, sie nehmen die anfälligen Router auseinander, und natürlich analysieren sie auch den Code, mit dem die Hacker angegriffen haben. Im aktuellen Fall war dieser Code ein alter Bekannter. Sicherheitsexperten berichten auf dem Portal badcyber.com, dass die eingesetzte Schadsoftware einige Ähnlichkeiten mit „Mirai“ aufweist, einem Schädling, der sich im Internet der Dinge breitmacht. Schwachstelle steckt im TR-069-Protokoll Mirai attackiert schlecht gesicherte Überwachungskameras, Kühlschränke oder Fernseher, die direkt mit dem Netz verbunden sind. Die Hintermänner dieser Attacken können die Geräte dann unbemerkt zu einem Botnet verbinden. Mit diesem Botnet wiederum können sie Abermillionen Datenpäckchen auf ein Ziel abfeuern, etwa auf eine Website, und diese damit in die Knie zwingen. Erst am 21. Oktober griff das Mirai-Botnet einen neuralgischen Punkt im Netz an, woraufhin Websites wie Amazon, Twitter oder Netflix an der amerikanischen Ostküste für Stunden nicht erreichbar waren. Mittlerweile wird diese Waffe sogar zur Miete angeboten. Und weil man für mehr Feuerkraft auch mehr Geld verlangen kann, arbeiten Kriminelle daran, das Botnet zu vergrößern. Die Hacker hinter der aktuellen Attacke haben anscheinend den Mirai-Code so verändert, dass er eine Schwachstelle in manchen Routern ausnutzt und diese ebenfalls kapert. Die Schwachstelle steckt im sogenannten TR-069-Protokoll. Es dient Internetanbietern dazu, auf die Router zuzugreifen und sie zu warten. Wie seit mindestens Anfang November bekannt ist, kann dieses Protokoll von Hackern genutzt werden, um Schadsoftware auf die Router zu schleusen. Das Problem: Internetprovider stellen die Router oft so ein, dass jedermann die Schnittstelle dieses Protokolls übers Internet erreichen kann, was Sicherheitsexperten seit langem kritisieren. Wenn Router zu Zombies werden „Ich war überhaupt nicht überrascht, dass diese Schwachstelle ausgenutzt wurde, aber es hat mich schon gewundert, wie schnell es ging“, sagt Haya Shulman vom Darmstädter Fraunhofer-Institut für Sichere Informationstechnologie. Shulman hat sich den Code der aktuellen Attacke angeschaut. Er ähnelt Mirai etwa darin, wie er sich unkenntlich macht, oder darin, wie er die Internetadressen bestimmt, über die er nach Hackerbefehlen sucht. Die Schadsoftware ist so aufgebaut, dass sie sich über das TR-069-Protokoll auf dem Router einnistet und dann nach anderen Routern sucht, um diese zu infizieren. Dazu verschicken die bereits befallenen Router ständig Anfragen an alle möglichen Geräte im Internet, um zu prüfen, ob diese über das Protokoll angreifbar sind. Die Telekom-Router waren nicht angreifbar. Der Schädling konnte sie nicht infizieren. Allerdings hatten sie eine andere, bisher unbekannte Schwachstelle, welche die Hacker anscheinend versehentlich nutzten: Bekamen die Router zu viele Anfragen über das TR-069-Protokoll aus dem Internet, quittierten sie irgendwann ihren Dienst. Am Anfang der ersten Adventswoche hat die Telekom die Software dieser Router aufgefrischt. Sie horchen nun nicht mehr nach allen Befehlen, die per Internet über das Wartungsprotokoll auf sie einprasseln. Das heißt aber nicht, dass die Attacke nach dem Software-Update beendet war. Woher man weiß, dass ein Botnet dahintersteckt Die SCADACS-Gruppe der Freien Universität (FU) Berlin betreibt ein Sensor-Netz, mit dem Mitarbeiter ins Internet lauschen. Es besteht aus Internet-Anschlüssen, die jedes ankommende Datenpaket speichern und analysieren. Im Zuge der Attacke bekamen sie die vielen Anfragen über das TR-069-Protokoll mit. Als der Angriff am Sonntag seinen Höhepunkt erreicht hatte, verfingen sich 1200 solcher Datenpakete pro Stunde im Netz der Forscher. Anders ausgedrückt: Jeder der Internetanschlüsse, aus denen das Sensor-Netz besteht, bekam etwa alle 90 Sekunden eine Anfrage über das Protokoll. Am Donnerstag waren es zwar nur noch halb so viele, aber damit immer noch tausendmal mehr als an normalen Tagen. Die Informatiker konnten auch erkennen, aus wie vielen Quellen die Anfragen kamen. „Mit der Zeit hat sich die Anzahl der Anfragen, aber auch die Zahl der Quellen schnell erhöht“, sagt Johannes Klick von der FU Berlin. Das deute auf ein Botnet hin, bei dem sich immer mehr Geräte infizieren und anfangen, nach anderen Geräten zu suchen. Laut den Analysen der Forscher kamen die meisten Datenpakete während des Angriffs aus Brasilien und Großbritannien. Dort und in anderen Ländern scheint die Attacke ein Erfolg gewesen zu sein. Die Malware machte die Tür hinter sich zu Interessant ist nun die Frage, wie viele Router die Hacker unter ihre Kontrolle gebracht haben. Schließlich sind diese nun Angriffswaffen für die nächste große Attacke. Johannes Ullrich vom „Internet Storm Center“, einer Organisation, die Angriffe im Internet aufdeckt und untersucht, schätzt, dass nun etwa ein bis zwei Millionen weitere Router zum Botnet gehören. Das ist eine Schätzung, die ebenfalls auf einem Sensor-Netz beruht, welches das Internet aushorcht. Potentiell gefährdet waren vor dem Angriff etwa 60 Millionen Geräte weltweit. So viele waren nämlich erreichbar für Angriffe über das TR-069-Protokoll. Mittlerweile seien es nur noch 40 Millionen, sagt Johannes Klick. Was ist mit dem Rest passiert? Ein Teil dieser Geräte ist wohl durch das Botnet infiziert worden, denn sobald die Schadsoftware sich einnistet, reagieren die Router nicht mehr auf das Protokoll – eine clevere Methode der Hacker, die Sicherheitslücke hinter sich zu schließen. Ein anderer Teil der Geräte wurde wahrscheinlich durch die Internetbetreiber abgesichert, wie es etwa in Deutschland geschehen ist: Hier sehen die Forscher in ihren Analysen so gut wie gar keine Router mehr, die diesen Protokollen lauschen. Ein Zeichen, dass die Absicherungsmaßnahmen der Telekom wirken. Die Hintermänner des Angriffs zu finden ist ausgesprochen schwierig. Zum einen ist der Mirai-Quellcode frei im Netz verfügbar. „Der Code wurde publiziert, weil sein Besitzer nach der großen Attacke vom 21. Oktober nicht erkannt werden wollte“, sagt Haya Shulman. Auch andere sollen den Code benutzen, damit seine Spuren schwerer zu verfolgen sind. Man könnte alternativ nach den Computern suchen, die das Botnet steuern. „Aber die verstecken sich oft hinter vielen Schichten gekaperter Rechner, also ist es schwer, die eigentliche Quelle zu finden“, erklärt Shulman. Johannes Ullrich nennt noch eine andere Methode: „Man kann versuchen, Textnachrichten an die Computer zu schicken, die das Botnet steuern“, sagt er. So käme man eventuell mit den Hintermännern in Kontakt. Aber man kommuniziere dann mit Leuten, die den Finger am Abzug einer der mächtigsten Angriffswaffen im Netz haben. Und da könne es schnell passieren, sagt Ullrich, dass man selbst zum Ziel des nächsten Angriffs werde.