Symantec meldet Angriff auf private DSL-Router

Symantec, Hersteller von Sicherheitssoftware, beschreibt in seinem Sicherheitsblog, dass erstmals ein privat genutzter DSL Router von außen manipuliert worden ist. Galt dies bisher nur als Theorie, so wurde jetzt in Mexiko ein Fall bekannt, in dem die sogenannten Drive-by Pharming-Methode aktiv angewandt worden ist.


	Anzeige

Manipulierte DNS-Einstellungen

Bei dieser Form der Attacke reicht bereits schon das Ansehen einer Website oder einer E-Mail mit dem Schadcode aus, um den darin eingebetteten HTML- oder JavaScript-Code zu aktivieren. Dieser Code kann die Domain Name Server (DNS) Einstellungen des Routers, die für die Namensauflösung von Websites im weltweiten Netz zuständig sind, manipulieren. Surft der Internetnutzer dann im Netz, greift der Router auf die gefälschten DNS-Einstellungen des Angreifers zurück und kann den Surfer zu gefälschten Websites - etwa von Banken - führen. Der so veränderte DSL-Router gerät damit unter die Kontrolle des Angreifers.

Umleitung auf gefälschte Websites

In freier Wildbahn entdeckten die Symantec Experten die Attacke in Mexiko, wo Grußkarten-Mails aufgetaucht waren, die auf die Website gusanito.com verwiesen. Dort sollten angeblich elektronische Grüße warten. Ein in der E-Mail eingebetteter Grafik-Tag führte eine HTTP-GET Request Anfrage aus, durch die schließlich der Zugriff auf den Router gelang. Die Attacke ist besonders leicht möglich, wenn der Internetnutzer das Standardkennwort des Routers nicht verändert hat. Bei dem betroffenen Router war allerdings zur Änderung der DNS-Einstellungen noch nicht mal eine Passwortabfrage notwendig. Den Hersteller des in Mexiko populären Routers nannte Symantec jedoch nicht. Das Ergebnis der Routermanipulation: Statt auf die Internetseite einer bekannten mexikanischen Bank wurde der Internetsurfer auf die Seiten der Angreifer umgeleitet. Dort ist es ein Leichtes, die persönlichen Kontenzugangsdaten abzugreifen.

Symantec geht davon aus, das es bereits andere ähnliche Fälle gegeben hat, doch zum ersten Mal sei so ein Fall jetzt dokumentiert worden. Als ersten Schritt zur Verhinderung solcher Angriffe empfiehlt das Sicherheitsunternehmen die Änderung des Router-Kennwortes. Es sollte so gewählt werden, das es nicht so leicht zu erraten ist.