xlabs_v1 Botnetz: Android-Geräte werden zu DDoS-Waffen

Sicherheitsanalysten des Unternehmens Hunt.io haben eine neue Bedrohung für IoT-Geräte identifiziert, die gezielt Schwachstellen in der Unterhaltungselektronik ausnutzt. Das als „xlabs_v1“ bezeichnete Botnetz ist eine Variante der bekannten Mirai-Malware und hat es auf Android-basierte Hardware wie Smart-TVs, Set-Top-Boxen und Android-TV-Boxen abgeshen. Die Forscher warnen vor der zunehmenden Professionalisierung solcher Netzwerke, die speziell für großangelegte Cyberangriffe instrumentalisiert werden.

Ausnutzung der Android Debug Bridge

Die Infiltration der Zielgeräte erfolgt laut den aktuellen Untersuchungen über die Android Debug Bridge (ADB). Diese Schnittstelle, die ursprünglich für Entwicklungs- und Diagnosezwecke vorgesehen ist, bietet Angreifern einen Einstiegspunkt, sofern sie ungeschützt über das Internet erreichbar ist. Einmal infiziert, werden die Geräte Teil eines Netzwerks, das primär für Distributed-Denial-of-Service-Angriffe (DDoS) eingesetzt wird.

Eine technische Besonderheit von xlabs_v1 ist das Fehlen einer dauerhaften Persistenz auf den infizierten Systemen. Nach Informationen der Sicherheitsforscher bleibt die Malware nach einem Neustart des Geräts nicht im System verankert. Dies erfordere für die Hintermänner eine kontinuierliche Neuinfektion der Geräte, um die Schlagkraft des Botnetzes aufrechtzuerhalten.

Kommerzielles Angriffsmodell und Zielgruppen

Da Kriminelle zunehmend Sicherheitslücken in Android-Systemen ausnutzen, um Geräte für ihre Zwecke zu kapern, wird der richtige Schutz immer wichtiger. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihre Geräte wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Hinter dem Betrieb von xlabs_v1 steht den Erkenntnissen zufolge ein Akteur, der unter dem Pseudonym „Tadashi“ agiert. Dieser betreibe das Botnetz als sogenannten DDoS-for-hire-Dienst, bei dem Kunden Rechenleistung für koordinierte Attacken mieten können. Das Portfolio der verfügbaren Angriffsmethoden sei breit gefächert und umfasse TCP-, UDP- sowie Raw-Protokolle. Besonders hervorzuheben sind dabei spezialisierte UDP-Pakete, die den Datenverkehr von Anwendungen wie RakNet oder OpenVPN imitieren, um herkömmliche Sicherheitsmechanismen zu umgehen.

Als primäres Ziel der über das Netzwerk geführten Angriffe wurden Gaming-Server identifiziert. Die Betreiber nutzen die kompromittierte Infrastruktur, um gezielte Überlastungen bei Spieleplattformen herbeizuführen.

Effizienzsteigerung durch Profiling und Verdrängung

Um die Effektivität der Angriffe zu maximieren, führt die Schadsoftware eine automatisierte Bandbreiten-Profiling-Routine durch. Hierbei öffnet das Botnetz 8.192 parallele TCP-Sockets zu verschiedenen Speedtest-Servern. Dieser Vorgang dient dazu, die exakte Kapazität der Internetverbindung des jeweils infizierten Geräts zu bestimmen, damit die Angriffsressourcen präzise gesteuert werden können.

Wer sich mit der Sicherheit seiner vernetzten Hardware befasst, sollte auch die Aktualität der installierten Software nicht vernachlässigen. Erfahren Sie in diesem Gratis-Report, wie regelmäßige Updates dabei helfen, gefährliche Sicherheitslücken dauerhaft zu schließen und Malware zu verhindern. Kostenlosen Update-Ratgeber für Android-Systeme herunterladen

Zudem zeigt das Botnetz ein aggressives Verhalten gegenüber konkurrierenden Akteuren in der IoT-Landschaft. Die Malware verfügt über ein integriertes „Killer“-Subsystem, dessen Aufgabe es ist, andere Botnetze auf demselben Gerät aufzuspüren und deren Prozesse zu beenden. Durch diese Eliminierung von Mitbewerbern stellt xlabs_v1 sicher, dass die volle Systemleistung und Bandbreite des gekaperten Android-Geräts exklusiv für die eigenen DDoS-Operationen zur Verfügung steht.

Experten sehen in dieser Entwicklung eine Fortsetzung des Trends, bei dem ehemals einfache IoT-Würmer zu hochspezialisierten Werkzeugen für die Cyberkriminalität weiterentwickelt werden. Die Entdeckung unterstreiche die Notwendigkeit, Schnittstellen wie ADB auf Endgeräten konsequent abzusichern oder zu deaktivieren, sofern sie nicht zwingend benötigt werden.

de | wissenschaft | 69904715 |