Vom weißen zum schwarzen Ritter?

Der Cybersecurity-Spezialist Radware warnt vor dem immensen Zerstörungspotential des Botnets Hajime, das bisher einem sogenannten White Hat Hacker zugeordnet wird. Zwar habe der Entwickler des Bots diesen offensichtlich nach wie vor unter Kontrolle und bisher auch keine bösen Absichten erkennen lassen, so Radware, doch das Potential dieses Botnets sei verlockend. So könnten andere Hacker versuchen, Hajime zu hijacken und für ihre eigenen Zwecke zu gebrauchen. Zudem stelle sich die Frage, warum der Entwickler das Botnet so aggressiv ausbaut, wenn er damit keine bösen Absichten verfolgt.

Hajime fährt eigene Updates für neue Funktionalitäten

Hajime ist ein sehr ausgefeiltes, gut durchdachtes und flexibles Botnetz, das sich selbst updaten kann, um seinen "Mitgliedern" schnell und sicher neue Funktionalitäten zu verleihen.

Es befällt wie Mirai IoT-Geräte mit offenen Telnet-Ports. Deutlich intelligenter als Mirai nutzt Hajime zwar ebenfalls Default Benutzernamen und Passwörter populärer IoT-Geräte, berücksichtigt dabei aber auch das Login Banner des Zielgeräts. So kann es Credentials wesentlich gezielter einsetzen und neue Geräte mit weniger Versuchen infizieren, was die Wahrscheinlichkeit einer temporären Sperre nach x Fehlversuchen deutlich reduziert. Zudem versucht Hajime, eventuell vorhandene Firewall-Regeln zu löschen, die dem ISP einen Zugriff ermöglichen – etwa zu Management- oder Update-Zwecken. Eine UPnP-IGD-Implementierung ermöglicht die Generierung dynamischer Port-Forwarding-Regeln in UpnP-fähigen Geräten, so dass Hajime auch in abgesicherten Heimnetzwerken effizient operieren kann.

Auch wenn bisher keine bösartigen Absichten erkennbar sind, warnt Radware vor einer Vielzahl von Einsatzmöglichkeiten.

Hajime könnte benutzt werden für:

• Massive DDoS-Attacken
• Hochgradig verteiltes Vulnerability Scanning – mit Hilfe von Hajime können mehrere 10.000 oder gar 100.000 infizierte Geräte verwendet werden, um andere Systeme sehr schnell auf neu bekannt gewordene Sicherheitslücken zu scannen – lange bevor diese gepatcht werden.
• Massive Überwachung – Hajime kann RTSP Streams infizierter Kameras abfangen
• IoT Bricker – Mit der gleichen Technik wie der kürzlich von Radware entdeckte Brickerbot hat Hajime das Potential, befallene Systeme dauerhaft unbrauchbar zu machen. Über den Update-Kanal wäre es ein Leichtes, Hajime auf allen Opfersystemen um entsprechende, destruktive Befehlssequenzen zu erweitern. Mithilfe von geoip könnte man so beispielsweise gezielt alle infizierten Kameras in einer definierten Region lahmlegen.

written and post by Herbert Wieler