Heimrouter in großer China-verbundener Spionagekampagne gekapert

Heimrouter, die in mehreren Regionen gekapert wurden, bilden nun Teile eines großen, verdeckten Spionagenetzwerks. Sicherheitsforscher haben mehr als 50.000 kompromittierte Geräte mit einer Operation in Verbindung gebracht, die veraltete Verbraucherrouter nutzt, um bösartigen Datenverkehr weiterzuleiten und nachrichtendienstliche Aktivitäten zu verschleiern. Die Kampagne zeigt, wie Bedrohungsakteure nicht unterstützte Hardware ausnutzen, um langlebige und beständige Infrastruktur aufzubauen.

Umfang und Struktur der Spionageoperation

Forscher deckten eine lang andauernde Kampagne auf, die auf Routern basiert, deren Lebenszyklus bereits abgelaufen ist. Diese Geräte werden weltweit weiterhin genutzt, erhalten aber keine sicherheitsrelevanten Updates mehr. Die Angreifer konzentrierten sich auf große Cluster in Taiwan, Südostasien sowie Teilen Europas und der USA.

Kompromittierte Geräte als Relaisknoten eingesetzt

Die Angreifer funktionierten die Router zu verschlüsselten Relaispunkten um. Jedes Gerät diente als Kommando-und-Kontroll-Knoten oder verdeckte Verbindungsstelle zwischen Bedrohungsakteuren und ihren Zielen. Diese Struktur ermöglichte es der Operation, über Monate hinweg unentdeckt zu bleiben.

Ausgenutzte Schwachstellen und Angriffsverfahren

Die Angreifer nutzten mehrere bekannte Schwachstellen in veralteter Firmware aus. Dazu gehörten Schwachstellen für Kommandoinjektion, umgehbare Authentifizierung und Remote-Code-Ausführung. Da die Geräte den „End-of-Life“-Status erreicht hatten, standen keine Sicherheitsupdates zur Verfügung, die eine Ausnutzung hätten verhindern können.

Indikatoren weisen auf koordinierte Infrastruktur hin

Ermittler beobachteten ungewöhnliche Gemeinsamkeiten innerhalb der kompromittierten Geräteflotte. Ein zentrales Merkmal war ein selbstsigniertes Zertifikat mit einer extrem langen Gültigkeitsdauer. Dies deutete auf langfristige Planung statt zufälliger Angriffe hin. Zudem setzten die Angreifer konsistente Payloads über mehrere Gerätemodelle hinweg ein, was die Theorie einer organisierten Kampagne weiter stärkte.

Warum Bedrohungsakteure Verbraucherrouter ins Visier nehmen

Verbraucherrouter bleiben oft jahrelang unbeaufsichtigt. Viele Nutzer aktualisieren die Firmware nie oder ersetzen veraltete Hardware erst spät. Angreifer nutzen dieses Verhalten aus und erhalten so beständigen Zugang zu Netzwerken, ohne Aufmerksamkeit zu erregen.

Globale Verteilung steigert strategischen Wert

Router in Haushalten oder kleinen Büros bieten wertvolle geografische Abdeckung. Dadurch können Angreifer Datenverkehr über legitime Adressen leiten und Sicherheitskontrollen umgehen. Kompromittierte Geräte in mehreren Regionen unterstützen Spionageoperationen, die auf weit verzweigte globale Infrastruktur angewiesen sind.

Auswirkungen auf Haushalte und Organisationen

Gekaperte Router stellen ein Risiko für Privatnutzer und Unternehmen dar. Angreifer können sie nutzen, um Angriffe durchzuführen, gestohlene Daten weiterzuleiten oder bösartige Aktivitäten zu tarnen. Remote-Arbeit erhöht die Angriffsfläche zusätzlich, da Heimrouter Teil einer größeren Angriffskette werden.

Veraltete Geräte schaffen dauerhafte Schwachstellen

Legacy-Router können keine Sicherheitsupdates mehr erhalten. Nutzer, die auf solcher Hardware bleiben, bleiben verwundbar – selbst mit starken Passwörtern. Unternehmen mit Remote-Mitarbeitern müssen die heimische Ausstattung prüfen und strengere Sicherheitsanforderungen durchsetzen.

Fazit

Die in dieser mutmaßlich China-verbundenen Kampagne gekaperten Heimrouter zeigen, wie veraltete Verbrauchertechnik umfangreiche Spionageoperationen ermöglichen kann. Angreifer nutzen nicht unterstützte Firmware, schwache Konfigurationen und weit verbreitete Nutzung, um eine beständige globale Infrastruktur aufzubauen. Nutzer und Organisationen müssen veraltete Router ersetzen, Netzwerksicherheitskontrollen stärken und die wachsende Bedrohung durch Alltagsgeräte ernst nehmen.