VPN Filter Update: Mehr Geräte bedroht als angenommen

Die Router-Malware VPN Filter bedroht mehr Geräte als angenommen. Und: Nicht nur Netzwerkgeräte, sondern auch Endpoints könnten infiziert werden.

Sicherheitsforscher von Cisco Talos haben am Donnerstag neue Erkenntnisse zur Router-Malware VPN-Filter veröffentlicht. Ein Stage 3-Modul mit dem Namen „ssler“ erweitere die Gefahr über das Netzwerkgerät hinaus auf die Geräte, die an den betreffenden Router gekoppelt sind. Gelingt es der Malware, auch diese Endpoints zu infizieren, gilt das gesamte Netzwerk als infiltriert. Außerdem entdeckten die Sicherheitsforscher eine Erweiterung des Befehls „kill“, der die Spuren der Malware verwischt und Geräte unnutzbar macht.

Als betroffen galten bis zuletzt vor allem Geräte der Hersteller Netgear, TP-Link, Linksys und Mikrotik, die in erster Linie bei privaten Nutzern, Selbstständigen und kleinen Firmen im Einsatz sind. Cisco Talos erklärte jetzt, auch Router von ASUS, D-Link, Huawei, Ubiquiti, UPVEL, and ZTE könnten infiziert werden. Cisco Talos veröffentlichte eine neue Übersicht über alle gefährdeten Gerätetypen (siehe Tabelle).

VPN Filter - Betroffene Geräte

Hersteller geben Empfehlungen

Einige Hersteller geben indes Hinweise zum Umgang mit dem Sicherheitsproblem. D-Link und Netgear beispielsweise gehen davon aus, mit bereits verfügbaren Firmware-Varianten die Lücke schließen zu können, und raten zum Einspielen der neuesten Firmware-Version. TP-Link rät Nutzern seiner Geräte, die ab Werk eingestellten Werte für den Administrator-Benutzer zu ändern sowie Remote-Management-Funktionen nach Möglichkeit abzustellen.

FBI: Begrenzte Gefahr nach Neustart

Wie berichtet vermutet Cisco Talos hinter VPN Filter staatliche Akteure und deutet im Kontext eine Verantwortlichkeit der russischen Regierung – beziehungsweise des russischen Geheimdienstes – an. Nach dem Bekanntwerden des Angriffs auf rund 500.000 Netzwerkgeräte war es dem FBI nach eigenen Angaben gelungen, die Gefahr einzudämmen. Die amerikanische Sicherheitsbehörde hat Kontrolle über jenen Server erlangt, über den die Malware Informationen zur Neuinstallation bezieht, wenn sie zu Teilen entfernt worden ist. Wer nun ein infiziertes Gerät neustartet, wird die Malware zwar nicht los, sie verbindet sich aber nurmehr mit einer Seite des FBI, das auf diesem Wege infizierte Geräte identifizieren kann. Dies bedeutet allerdings nicht zwingend, dass die Malware langfristig unschädlich bleibt, wie das US-Justizministerium erklärt.