Een backdoor in kabelmodems van fabrikant Arris wordt gebruikt door een worm, die besmette toestellen vervolgens inzet voor het uitvoeren van ddos-aanvallen tegen websites en webdiensten. Al verschillende jaren waarschuwen onderzoekers voor backdoor-accounts in Arris-kabelmodems.

Eén van deze onderzoekers is Bernardo Rodrigues die eind vorig jaar een backdoor in 600.000 via internet toegankelijke Arris-kabelmodems aantoonde. Destijds besloot Rodrigues geen "proof-of-concept" vrij te geven, uit angst dat een worm hier mogelijk misbruik van zou maken. Die angst was gerechtvaardigd, want sinds mei van dit jaar is er een worm actief die kwetsbare Arris-kabelmodems in verschillende fases infecteert.

Tijdens de eerste fase wordt de remote toegang tot de kabelmodem beperkt. "Dit is een zeer interessante aanpak, omdat ze snel het internet kunnen scannen en externe toegang tot deze toestellen kunnen blokkeren om ze vervolgens met de uiteindelijke malware te infecteren", zegt Rodriques. Deze uiteindelijke malware maakt de modem onderdeel van een ddos-botnet. Tijdens zijn presentatie vorig jaar waren er meer dan 600.000 kwetsbare Arris-kabelmodems op internet te vinden, waarvan er bij 490.000 telnet was ingeschakeld.

Inmiddels is dat aantal naar 35.000 gedaald. De onderzoeker vraagt zich af hoeveel van de niet meer zichtbare apparaten door de malware zijn besmet, waarna de externe toegang is beperkt. "Het grote aantal Linux-apparaten met een beheerdersinterface die via internet toegankelijk is, het gebruik van zelfgemaakte backdoors, het gebrek aan firmware-updates en het gemak waarmee Internet of Things-exploits zijn te maken maakt deze apparaten een eenvoudig doelwit voor internetcriminelen", stelt Rodriques.

Hij waarschuwt dat Internet of Things-botnets dan ook een probleem aan het worden zijn en fabrikanten veiligere producten moeten ontwikkelen, internetproviders updates moeten uitrollen en eindgebruikers hun eigen apparatuur moeten patchen. In het geval van de Arris-worm kan die worden verwijderd door de kabelmodem te resetten, aangezien de worm een reboot niet overleeft.