Auf einen Blick
Die Router-Malware “KadNap” hat nach Angaben von Lumen rund 14.000 Geräte infiziert, vor allem Asus-Router. Die Schadsoftware nutzt ein dezentrales Steuerungssystem und bleibt nach einem Neustart aktiv. Für Betreiber und Nutzer steigt damit das Risiko, dass kompromittierte Router als Proxy-Infrastruktur missbraucht werden.
Das Wichtigste
- Sicherheitsforscher haben ein Botnetz mit rund 14.000 infizierten Routern identifiziert.
- Die Router-Malware “KadNap” steuert die Geräte über ein Kademlia-basiertes Peer-to-Peer-Netz statt über zentrale Server.
- Betroffen sind vor allem Asus-Router. Ein einfacher Neustart entfernt die Infektion nicht.
Forscher melden anhaltende Infektionen
Ein Botnetz mit rund 14.000 kompromittierten Routern ist nach Angaben von Black Lotus Labs von Lumen derzeit aktiv. Die Router-Malware “KadNap” befällt vor allem Geräte des Herstellers Asus und nutzt diese nach der Infektion als Teil eines Proxy-Netzes. Der Fall ist relevant, weil die Infrastruktur nicht auf wenige Steuerungsserver angewiesen ist und sich deshalb schwerer stören lässt.
Dezentrale Steuerung erschwert Eingriffe
Ars Technica und weitere Fachmedien berichten unter Berufung auf Lumen, dass “KadNap” ein Kademlia-basiertes Peer-to-Peer-System zur Steuerung verwendet. Die Malware greift demnach bekannte, nicht geschlossene Schwachstellen in Routern aus und installiert ein Skript, das nach dem Start des Geräts erneut ausgeführt wird. Dadurch reicht ein Neustart nicht aus. Die kompromittierten Router werden laut den Berichten für einen kostenpflichtigen Proxy-Dienst genutzt.
Folgen für Betreiber und Nutzer
Für Nutzer in Deutschland und der EU steigt vor allem das Sicherheitsrisiko an der Netzgrenze. Wenn ein Router kompromittiert ist, kann Datenverkehr über die eigene Internetverbindung weitergeleitet werden, ohne dass dies im Alltag sofort auffällt. Für Provider und Hersteller bedeutet der Fall zusätzlichen Druck, betroffene Geräte zu identifizieren, Firmware-Updates bereitzustellen und Kunden über notwendige Zurücksetzungen zu informieren. Welche Router-Modelle im Einzelnen betroffen sind, ist bislang nur in Teilen bekannt.
Hersteller und Netzbetreiber prüfen Gegenmaßnahmen
Als nächster Schritt dürften Hersteller, Sicherheitsfirmen und Netzbetreiber Indikatoren der Malware in Filter- und Erkennungssysteme übernehmen. Bei bereits infizierten Geräten verweisen die bisher bekannten Berichte auf eine vollständige Rücksetzung und ein Firmware-Update als notwendige Maßnahmen. Da die Steuerung dezentral organisiert ist, ist eine schnelle Abschaltung des gesamten Netzes nach bisherigem Stand nicht zu erwarten.
Der Fall zeigt ein strukturelles Problem
Der aktuelle Fall verbindet eine hohe Zahl infizierter Router mit einer Steuerung, die klassische Abschaltungen erschwert. Das erhöht den Aufwand für Bereinigung und Koordination zwischen Herstellern, Providern und Sicherheitsforschern.
