Fast zwei Jahre soll eine Hacker-Gruppe damit verbracht haben, Router mit Malware zu infizieren und so die Kontrolle über Windows-, Linux- und macOS-Geräte zu übernehmen. Das berichtet das Fachmagazin Arstechnica.

Forscher der Black Lotus Labs von Lumen Technologies haben mindestens 80 Angriffsziele identifiziert. Der Trojaner, den sie auf den Routern von Cisco, Netgear, Asus und Draytek entdeckten, trägt den Namen ZuoRAT und ist Teil einer umfangreichen Hacking-Kampagne, die mindestens seit Ende 2020 läuft und nach wie vor andauert. Die Kampagne umfasst mindestens vier Malware-Elemente, wovon drei komplett neuartig sind und von den Angreifern selbst geschrieben wurden, wie die Forscher in einer Mitteilung bekannt gaben. Die Malware ist darauf spezialisiert, alle mit einem Router verbundenen Geräte aufzulisten und von ihnen gesendete und empfangene DNS-Lookups und den gesamten Netzwerkverkehr zu sammeln.

ZuoRAT kann die Malware mithilfe von zwei Methoden auf verbundene Geräte umlenken. Zum einen durch DNS-Hijacking, bei dem die gültigen IP-Adressen, die einer Domain wie Google oder Facebook entsprechen, durch eine vom Angreifer betriebene bösartige IP-Adresse ersetzt werden. Zum anderen durch HTTP-Hijacking, bei dem sich die Malware beim Verbindungsaufbau einnistet, um einen 302-Fehler zu generieren, der den Nutzer zu einer anderen IP-Adresse umleitet.

Black Lotus Labs schreibt, dass die in der Kampagne verwendete Befehls- und Kontrollinfrastruktur absichtlich komplex sei, um zu verschleiern, was eigentlich passiert. Die Forscher beobachteten Router von 23 IP-Adressen mit einer dauerhaften Verbindung zu einem Kontrollserver, von dem sie glauben, dass er eine anfängliche Umfrage durchführte, um festzustellen, ob die Ziele von Interesse waren. Eine Teilmenge dieser 23 Router interagierte später drei Monate lang mit einem in Taiwan ansässigen Proxy-Server. Eine weitere Teilmenge von Routern wechselte zu einem in Kanada ansässigen Proxy-Server, was es wiederum schwerer macht, nachzuvollziehen, wo die Angreifer überhaupt herkommen. Durch die hohe Komplexität gehen die Forscher davon aus, „dass diese Kampagne möglicherweise von einer staatlich geförderten Organisation durchgeführt wurde“.