Internetausfall bei der Telekom: Schwachstelle seit längerem bekannt

von Jonas Wagner am 2. Dezember 2016, 12:52 Uhr

Seit dem vergangenen Sonntag berichten Kunden der Deutschen Telekom, dass sie keinen Zugang zum Internet mehr haben und auch das Festnetztelefon nicht mehr funktioniert. Betroffen sind knapp eine Million Nutzer. Mittlerweile ist der Öffentlichkeit auch die Sicherheitslücke bei der Deutschen Telekom bekannt geworden, die von den Angreifern verwendet wurde.

Die Telekom hatte vermeintlich schnell reagiert und bereits Montagmorgen ein Software-Update ausgeliefert, das das Problem lösen sollte. Vermeintlich, weil die Sicherheitslücke, die von den Angreifern verwendet wurde, bereits seit längerem bekannt war. Die Telekom hatte jedoch keine präventiven Aktionen unternommen.

Der Analyst Lion Nagenrauft von iT-CUBE Systems aus München hat eine Analyse des Angriffs auf etwa 900.000 von der Deutschen Telekom durchgeführt. Demnach war die Lücke dem Unternehmen schon seit mehreren Wochen bekannt. Das hatte auch bereits zuvor das Bundesamt für Sicherheit in der Informationstechnik (BSI) angedeutet.

Neben der Telekom waren auch mehrere andere Internetprovider in anderen Ländern betroffen, darunter Türk Telekom, Talktalkgroup, Dodo und Movistar. Sie alle hätten versäumt zu überprüfen, ob ein Exploit für das Router-Modell Eir D1000 Wireless, der am 7. November 2016 in einer bekannten Schwachstellendatenbank veröffentlicht wurde, auch bei den von ihnen eingesetzten Routern funktioniert. „Die Telekom hat es verpasst, einen der größten Angriffe der deutschen IT-Geschichte auf ihre Kunden zu verhindern“, so Nagenrauft.

Der Angriff auf die Router zielte auf eine Sicherheitslücke innerhalb des Fernwartungsprotokolls. Dazu wurde ein am 7. November veröffentlichtes Metasploit-Modul zum Einsatz, also eine Software, die die Schwachstelle automatisiert ausnutzen kann. Der Angriff soll Router mit Schadsoftware infizieren, um sie in das Botnetz Mirai zu integrieren. Aufgrund seiner Untersuchungen vermutet Nagenrauft, dass „nicht nur die Angreifer mit eigenen Systemen nach verwundbaren Routern suchen, sondern dass infizierte Router ebenfalls nach neuen Opfern suchen.“

Telekom hätte viel früher reagieren können und müssen

Nagenrauft kritisiert aber nicht nur die Untätigkeit und Nachlässigkeit der Telekom und der anderen Provider im Vorfeld des Angriffs, sondern auch den Umgang mit dem Angriff, vor allem die lange Zeit die verging, bis das Problem identifiziert wurde. Als über den Angriff bekannt wurde, dass Port 7547 (der Port der Fernwartungsschnittstelle), betroffen ist, habe er auf einem Testsystem den Port für potenzielle Angreifer geöffnet, um die von ihnen gesendeten Pakete mitschneiden und dann analysieren zu können. Dazu wurden sogenannte Honeypots mit dynamischen DSL-IP-Adressen wie „85.102.4.123.dynamic.ttnet.com.tr“ und „189.58.196.6.dynamic.adsl.gvt.net.br“ verwendet. „Es hat nicht einmal fünf Minuten gedauert und drei verschiedene Angreifer waren bereits in unserem Honeypot gelandet“, erklärt der Security-Experte.

[Mit Material von Andreas Donath, Ubergizmo.de]