Strafverfolger zerschlagen russisches Spionagenetz aus Routern; setzt eure Ubiquiti Router zurück

[English]Noch ein kleiner Nachtrag vom Wochenende. Internationale Strafverfolger (FBI, BKA etc.) haben ein mutmaßlich russisches Spionagenetzwerk zerschlagen, welches Router des Herstellers Ubiquiti befallen hat. Das Spionagenetzwerk wurde nun zwar abgeschaltet. Aber Nutzer von Ubiquiti-Routern sollten nun reagieren und die Geräte erstens mit einem eigenen Passwort versehen und zudem auf den aktuellen Firmwarestand bringen.

Die Meldung über die Zerschlagung eines Spionagenetzwerks wurde bereits vorige Woche Donnerstag, den 15. Februar 2024, veröffentlicht. Im Beitrag Justice Department Conducts Court-Authorized Disruption of Botnet Controlled by the Russian Federation's Main Intelligence Directorate of the General Staff (GRU) teilt das US-Justizministerium mit, dass ein US-Gericht im Januar 2024 die Genehmigung zur Zerschlagung des Spionagenetzwerks erteilt habe.

SOHO-Router von Ubiquiti befallen

Das Spionagenetzwerk bestand aus Hunderten von SOHO-Routern (Small Office/Home Office), und wurde von der GRU-Militäreinheit 26165, auch bekannt als APT 28, Sofacy Group, Forest Blizzard, Pawn Storm, Fancy Bear und Sednit, genutzt, um eine Vielzahl von Straftaten zu verschleiern und zu ermöglichen.

Zu diesen Straftaten gehörten ausgedehnte Spearphishing- und ähnliche Kampagnen zum Sammeln von Zugangsdaten gegen Ziele, die für die russische Regierung von nachrichtendienstlichem Interesse sind, wie US-amerikanische und ausländische Regierungen sowie Militär-, Sicherheits- und Unternehmensorganisationen. Die Aktivitäten der Einheit 26165 führte in den letzten Monaten zu einer Beratung des privaten Sektors im Hinblick auf die Cybersicherheit und zu einer Warnung der ukrainischen Regierung.

Moobot-Malware-Netz übernommen

Dieses Botnetz unterscheidet sich von früheren Malware-Netzwerken des GRU und des russischen Föderalen Sicherheitsdienstes (FSB), dadurch, dass der GRU es nicht von Grund auf neu erstellt hat. Stattdessen stützte sich die GRU auf die "Moobot"-Malware, die mit einer bekannten kriminellen Gruppe in Verbindung gebracht wird. Cyberkriminelle, die nicht der GRU angehören, installierten die Moobot-Malware auf Ubiquiti Edge OS-Routern, die noch öffentlich bekannte Standard-Administratorpasswörter verwendeten. Die GRU-Hacker nutzten dann die Moobot-Malware, um ihre eigenen maßgeschneiderten Skripte und Dateien zu installieren, die das Botnetz umfunktionierten und in eine globale Cyberspionageplattform verwandelten.´

Gericht genehmigte Zerschlagung

Die vom Gericht autorisierte Operation des Ministeriums nutzte die Moobot-Malware, um gestohlene und bösartige Daten und Dateien von den kompromittierten Routern zu kopieren und zu löschen. Um den Zugriff der GRU auf die Router zu neutralisieren, bis die Opfer die Kompromittierung entschärfen und die volle Kontrolle wiedererlangen können, wurden die Firewall-Regeln der Router reversibel geändert.

Dadurch wurde der Fernverwaltungszugriff auf die Geräte blockiert. Weiterhin wurde im Verlauf der Operation die vorübergehende Sammlung von Routing-Informationen ohne Inhalt aktiviert, um die Versuche der GRU, die Operation zu vereiteln, aufzudecken würden. Vor der Operation wurde die Übernahme der betreffenden Ubiquiti Edge OS Router ausgiebig getestet. Abgesehen von der Blockade des Remotezugriffs der GRU auf die Router hatte der Vorgang keine Auswirkungen auf die normale Funktionalität der Router oder das Sammeln legitimer Benutzerdaten.

Nutzer müssen reagieren

Nun liegt es an den Nutzern, auf die Entfernung infizierter Router vom Moobot-Netzwerk zu reagieren. Die Benutzer können die Änderungen der Firewall-Regeln rückgängig machen, indem sie ihre Router auf die Werkseinstellungen zurücksetzen oder über ihr lokales Netzwerk auf ihre Router zugreifen (z. B. über die webbasierte Benutzeroberfläche der Router).

Ein Zurücksetzen des Routers auf die Werkseinstellungen ohne gleichzeitige Änderung des Standard-Administrator-Passworts führt jedoch dazu, dass der Router wieder mit den Standard-Administrator-Anmeldeinformationen betrieben wird, wodurch er für eine erneute Infektion oder ähnliche Angriffe anfällig wird. Um sich zu schützen, rät das FBI allen Opfern, die folgenden Schritte zur Abhilfe durchzuführen:

• Führen Sie einen Hardware-Werksreset durch, um das Dateisystem von bösartigen Dateien zu säubern;
• Aktualisieren Sie die Geräte auf die neueste Firmware-Version;
• Ändern Sie alle Standard-Benutzernamen und -Kennwörter

Weiterhin empfiehlt das FBI den Opfern, strategischer Firewall-Regeln zu implementieren, um die unerwünschte Offenlegung von Remote-Management-Diensten zu verhindern. Der letzte Schritt wird aber nur für erfahrenere Nutzer möglich sein. Das FBI rät Router-Besitzern dringend, ihre Geräte nicht mit dem Internet zu verbinden, solange die Standardkennwörter nicht geändert wurden.

Danke an den Blog-Lesern, der mich zum Sonntag per Mail kontaktierte und meinte "Hallo Herr Born, die Ubiquiti Router sind ja auch in Deutschland beliebt. […] Vielleicht hilft es, dem einen oder anderen Leser Ihres Blogs vorzuschlagen, wenn er das Standardpasswort belassen hat, den Router zurückzusetzen und endlich ein sicheres PW einzurichten."

Ergänzung: Gemäß diesem Bleeping Computer-Artikel vom 27. Februar 2024 haben das FBI in einer gemeinsamen Mitteilung mit der NSA, dem U.S. Cyber Command und internationalen Partnern davor gewarnt, dass russische Militärhacker kompromittierte Ubiquiti EdgeRouter für ihre Zwecke verwenden.