Command Injection Mirai-Botnetz kompromittiert veraltete D-Link-Router

Die Wahrscheinlichkeit, dass D-Link-Router, die mit den Firmware-Versionen 240126 oder 240802 laufen, angegriffen werden, ist hoch. Zum einen, weil die Geräte ihr End-of-Life erreicht haben. Zum anderen, weil für eine Schwachstelle ein PoC vorliegt.

Eine Command-Injection-Schwachstelle in den Firmware-Versionen 240126 und 240802 der D-Link-Routerfamilie DIR-823X wird aktiv ausgenutzt. EUVD-2025-14821 / CVE-2025-29635 (CVSS-Score 7.2, EPSS-Score^* 58.94) ermöglicht es einem autorisierten Angreifer, beliebige Befehle auf entfernten Geräten auszuführen, indem er über die entsprechende Funktion eine POST-Anfrage an den Formular-Handler „/goform/set_prohibiting“ der Weboberfläche der Router sendet und dadurch die Remote-Befehlsausführung auslöst.

Russische Hackergruppe APT28

Verfassungsschutz warnt vor Angriffen auf TP-Link-Router

Mirai-Botnetz nutzt PoC aus

Die CISA hat EUVD-2025-14821 / CVE-2025-29635 am 24. April 2026 in ihren KEV-Katalog auf­genommen. Diese Ankündigung folgt ein gutes halbes Jahr, nachdem die Router im Sep­tember 2025 ihr End-of-Life erreicht haben. Deshalb wird D-Link keine Patches mehr für die Si­cher­heits­lücke liefern, die nun in den Firmware-Versionen 240126 und 240802 gefunden wurde. Dies macht die Geräte zu interessanten Zielen für Cyberkriminelle, da diese oftmals gezielt nach EoL-Geräten suchen, die noch im Betrieb sind, aber möglicherweise Schwach­stellen enthalten, aber nicht gepatcht werden können, um darüber Angriffe zu starten.

Wie Akamai berichtet, stecke das berüchtigte Mirai Botnet hinter den Angriffen. Die beiden Sicherheitsforscher Wang Jinshuai und Zhao Jiangting hätten im März 2025 die Funktion „sub_42232C“ der Firmware, die die POST-Parameter liest und daraus resultierend Sperregeln setzt und Systembefehle aufruft, einem Reverse Engineering unterzogen und festgestellt, dass eine vom Angreifer gesteuerte Eingabe für die MAC-Adresse („macaddr“) mittels der C-Stan­dard­funktion „snprintf“ in einen Befehlspuffer kopiert und anschließend an die Funktion „sys­tem()“ übergeben werde. Dies ermögliche die Ausführung von Befehlen aus der Ferne (Remote Code Execution) durch eine speziell präparierte POST-Anfrage an den Endpunkt „/go­form/set_prohibiting“. Dazu haben sie einen Proof of Concept (PoC) veröffentlicht, der Anfang März 2026 dafür genutzt wurde, um die Mirai-Variante „tuxnokill“ auf den anfälligen Geräten zu installieren.

IoT-Geräte gefährdet

Neue Mirai-Botnet-Variante entdeckt

Mirai ist ein seit 2016 aktives Botnetz, das vor allem IoT-Geräte wie Router und IP-Kameras kapert. Es entstand durch massenhaftes Ausnutzen von Standardpasswörtern über Telnet und greift heute auch bekannte Schwachstellen an. Nachdem der Quellcode der Malware ver­öf­fent­licht wurde, entstanden neue Varianten, mit denen große DDoS-Angriffe durchgeführt wurden. Sich davor zu schützen ist aufwendig. Veraltete Geräte müssen ersetzt werden, Firmware aktua­li­siert werden, eindeutige starke Passwörter vergeben werden, Remotever­wal­tung, Telnet und UPnP müssen deaktiviert werden und strikte Portfilterung und Netzsegmentierung eingeführt werden. Bei Verdacht auf eine Kompromittierung helfen ein Factory Reset, das Neuaufsetzen und das Blockieren verdächtiger Verbindungen.

Wird ein Router in das Mirai-Botnetz aufgenommen, steht er unter Fernsteuerung und kann Befehle des Command and Control ausführen. Er könnte für DDoS-Angriffe missbraucht wer­den, das Internet nach weiteren Opfern scannen, neue Payloads nachladen und als Proxy für weitere Straftaten dienen. Diese Aktionen verursachen hohe Auslastung, Paketverluste und können zu Ausfällen im eigenen Netz führen. Unternehmen sollten Geräte mit veralteter D-Link-Firmware durch aktuell unterstützte Modelle ersetzen.

Kein Patch, kein Workaround

Schwachstelle in veralteten D-Link-Routern aktiv ausgenutzt

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50829339)