Linksys-Router von Internetwurm "The Moon" befallen!

[Alpha10]

Sicherheitsexperten haben einen Wurm endeckt der sich in Routern der Firma Linksys einnistet und versucht weitere Router zu infizieren.

In den Binärdateien des aufgespürten Programms befinden sich wohl einige Bilder, die eine Verbindung zu dem Science-Fiction-Film "Moon" aus dem Jahr 2009 nahelegen sollen. Eines der gefundenen Bilder ist das Logo der fiktiven Firma "Lunar Industries Ltd.", welchen nur in diesem Film vorkommt. Daher haben die Endecker den Wurm auch "The Moon" genannt.

"The Moon" wird auf den Routern selbst ausgeführt und versucht sich über die Ports 80 und 8080 weiter zu verbreiten. Dazu kontaktiert der Schädling bestimmte IP-Bereiche von Internet-Providern, um dort einen weiteren Linksys-Router mit derselben Schwachstelle ausfindig zu machen. Duch diese Methode war der Wurm bei einem US-Provider in Wyoming auch zuerst aufgefallen, dort hatte sich ein Kunde wegen einer viel zu langsamen Internetverbindung beschwert, der Wurm hatte fast die gesammte Bandbreite beansprucht.

Das Problem bei den Linksys-Routern steckt in einem schlecht gesicherten Zugang für die Fernwartung des Geräts (HNAP). Ãœber diese Schnittstelle lassen sich Skripte und auch Binärprogramme in den Router einplanzen. "The Moon" macht dies in mehreren Schritten, die eigentliche Schadsoftware ist 2MB groß.

Nach ersten Erkentnissen schädigt der Wurm nicht dauerhaft die Firmware des Routers, die Schadroutine ist verschwunden wenn der Router 1x neu gestartet wird, dies schätz aber nicht vor neuem Befall. Abhilfe schafft hier die Fernwartung komplett zu deaktivieren, eine Lösung von Herstellerseite kann nur durch ein Firmwareupdate erfolgen welches noch nicht bereit steht.

Bekannte betroffene Modelle: Linksys E900, E1000, E4200, E3200, E3000, E2500, E2100L, E2000, E1550, E1500, E1200

Quelle: www.golem.de

Schlagworte: Linksys, Cicso, Routerlücke, Linksys-Router, Wurm, Schädling, Virus

[Alpha10]

Update!  Die aktuelle Firmware für die Router  - Version 2.0.06 - ist nicht betroffen auch nicht die alternative Firmware OpenWRT.