IT-Praxis Newsletter Nr. 10/2022
Sonntag, 20. März 2022
Cyclops Blink Botnet greift ASUS-Router an
Der taiwanesische Hersteller Asus hat eine Warnung herausgegeben, die sich an Nutzer seiner Router richtet. Offenbar infiziert seit einigen Wochen das Cyclops Blink Botnet weltweit Netzwerkgeräte.
Das Cyclops Blink Botnet wird der russischen Spionage- und Cyber-Angriffsgruppe Sandworm zugeschrieben. Die Vorläufer der Cyclops Blink-Malware gibt es seit drei Jahren, wobei die Akteure bisher VPNFilter ersetzten. Sicherheitsforscher haben 2018 herausgefunden, dass diese Malware rund 500.000 Router in Privathaushalten und kleinen Büros infiziert hat.
NCSC, CISA, FBI und NSA haben festgestellt, dass die Sandworm-Gruppe eine neue Cyclops Blink-Malware verwendet. Die Cyclops Blink-Malware hat inzwischen etwa ein Prozent der Netzwerk-Firewall-Geräte des Netzwerkgeräteherstellers Watchguard infiziert. Die Malware ist in der Lage, einen legitimen Firmware-Update-Mechanismus in infizierten Geräten so zu missbrauchen, dass sie persistent ist, d. h. sie überlebt Neustarts.
In einer koordinierten Meldung warnen nun ASUS und Trend Micro, dass die Cyclops Blink-Malware über ein spezielles Modul verfügt, das auf mehrere ASUS-Router abzielt. Dieses Modul ermöglicht es der Malware, den Flash-Speicher auszulesen, um Informationen über wichtige Dateien, ausführbare Programme, Daten und Bibliotheken zu stehlen. Die Malware erhält dann den Befehl, sich im Flash-Speicher einzunisten und dort dauerhaft zu verbleiben, da dieser Speicherplatz selbst bei Werksresets nicht gelöscht wird. Die Details zum ASUS-Modul von Cyclops Blink hat Trend Micro einen Artikel veröffentlicht, in dem die Funktionsweise der Malware erläutert wird: https://www.trendmicro.com/en_us/research/22/c/cyclops-blink-sets-sights-on-asus-routers--.html.
Es scheint noch keine Firmware-Updates für betroffene Geräte zu geben, die die von der Cyclops Blink-Malware ausgenutzten Schwachstellen schließt. ASUS schlägt aktuell als Workaround vor, Geräte auf die Werkseinstellungen zurückzusetzen, die neueste Firmware zu installieren und ein sicheres Passwort für den Zugriff auf die Verwaltungsoberfläche zu verwenden. Zudem sollte die Fernverwaltung deaktiviert werden.
