Mobile-Menu

Über 6.000 Geräte infiziert Neues Botnetz attackiert TP-Link-Router

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Cato Networks (EU) B.V
PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Das Sicherheitsteam von Cato Networks hat ein neues Botnetz namens „Ballista“ entdeckt. Dieses ziele auf TP-Link-Router ab und verbreitee sich durch eine Sicherheitslücke automatisch über das Internet. Betroffene Geräte sind dem Hersteller zufolge auch schon in ein anderes bekanntes Botnetz integriert worden.

Das Botnetz „Ballista“ zielt auf Router des Herstellers TP-Link ab und verbreitet sich über das Internet. Bislang sind über 6000 Geräte infiziert.(Bild: Midjourney / KI-generiert)
Das Botnetz „Ballista“ zielt auf Router des Herstellers TP-Link ab und verbreitet sich über das Internet. Bislang sind über 6000 Geräte infiziert.
(Bild: Midjourney / KI-generiert)

Das Cyber Threats Research Lab (CTRL) von Cato Networks berichtet, ein Botnetz namens „Ballista“ entdeckt zu haben, welches gezielt Router des Herstellers TP-Link angreife. Für den Erstzugriff nutze es die Sicherheitslücke CVE-2023-1389 (CVSS 8.8) aus, die die Firmware-Versionen der Router vor 1.1.4 Build 20230219 betrifft. Bei der Sicherheitslücke handelt es sich um eine Command-Injection-Schwachstelle in der Web-Verwaltungsoberfläche der Archer-Router von TP-Link, die auf einer fehlenden Bereinigung der Benutzereingaben im Länderformular des Endpunkts „/cgi-bin/luci;stok=/locale“ beruht. Dies führt zu einer nicht authentifizierten Befehlsausführung mit Root-Rechten. Die Sicherheitslücke ermöglicht es Cyberangreifern, beliebige Befehle auf betroffenen Geräten auszuführen.

Erstmals entdeckt haben das Botnetz die Sicherheitsforscher am 10. Januar 2025. Bis zum 17. Februar hätten sie mehrere Zugriffsversuche beobachtet. Besonders betroffen sei das Modell „Archer AX21“, auch bekannt als „AX1800“.

Wie agiert Ballista?

Bei diesen von Cato beobachteten Zugriffsversuchen hätten die Akteure eine Nutzlast eingeschleust, die einen Klartext-Shell-Dropper namens „dropbpb.sh“ herunterlade und ausführe. Dieser würde dann Malware-Binärdateien auf dem infizierten Gerät herunterladen und ausführen. Bei der Analyse fiel den Sicherheitsexperten von Cato zudem auf: Das Botnetz verschleiere seine Aktivität indem es seine Taktiken anpasse. Es wechsle zum Beispiel die Tor-Domains.

Nach der Infektion richte die Malware einen verschlüsselten Command-and-Control-Kanal (C2) auf dem Port 82 ein. Über diesen Kanal könne sie kompromittierte Geräte vollständig steuern und in das Ballista-Botnet aufnehmen. Dies ermögliche unter anderem:

  • die Ausführung von Shell-Befehlen
  • Denial-of-Service.Angriffe
  • den Zugriff auf sensible Dateien im System

Ballista attackiere verschiedene Branchen. Im Visier des Botnetzes befinden sich Cato zufolge Organisationen aus den Bereichen Fertigung, Gesundheitswesen, Dienstleistungen und Technologie. Bisher habe CRTL über 6.000 potenziell gefährdete Geräte identifiziert. Diese würden sich unter anderem in den USA, Australien, China und Mexiko befinden. Cato vermutet aufgrund der IP-Adresse des C2-Servers und italienischen Strings in der Malware einen italienischen Bedrohungsakteur. Das Botnetz zeige zwar Ähnlichkeiten zu anderen bekannten Botnetzen wie Mirai, es agiere jedoch eigenständig. Wie Hersteller TP-Link jedoch berichtet, seien die betroffenen Router AX21 durch Ausnutzung bereits in das Miari-Botnet aufgenommen worden. In demselben Bericht veröffentlicht TP-Link die Sicherheitsupdates, die CVE-2023-1389 schließen.

Die Router des chinesischen Herstellers stehen in den USA schon seit letztem Jahr unter genauerer Beobachtung. Im Dezember berichtete das Wall Street Journal über ein potentielles Verbot der Geräte aufgrund von Sicherheitsbedenken.

(ID:50366450)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte