Sicherheitsforscher von Akamai, Cloudflare , Flashpoint , Google , Oracle Dyn, RiskIQ , Team Cymru und anderen Unternehmen wollen gemeinsam gegen WireX vorgehen. Das Botnet geht mit DDos-Attacken gegen Content Delivery Networks (CDNs) und Content Provider vor.
WireX besteht in erster Linie aus Android -Geräten, auf denen bösartige Anwendungen ausgeführt werden. WireX ist so konzipiert, dass von diesen mobilen Geräten ein massiver DDoS-Verkehr erzeugt wird, heißt es in einem Blog-Post des Konsortiums.
Dem Beitrag zufolge hat Google vor einigen Tagen die Malware in seinem Play Store gefunden und Hunderte von betroffenen Anwendungen entfernt. Da war es schon zu spät, denn die Malware hatte sich bereits verbreitet. Die Forschergruppe schätzt, dass WireX bereits am 2. August 2017 aktiv gewesen ist. Die Angriffe auf CDNs und Content-Provider fanden aber erst am 17. August statt. Das sorgte für Aufmerksamkeit. „Diese ersten Angriffe waren minimal und deuten darauf hin, dass sich die Malware in der Entwicklung oder in den frühen Stadien der Erprobung befand”, heißt es in dem Bericht.
Ab dem 15. August wurden weitere, längere Angriffswellen erkannt, wobei in einigen Fällen Aktivitäten von bis zu 70.000 IP-Adressen ermittelt wurden. Am 17. August nahmen Geräte aus mehr als 100 Ländern an einem Angriff teil. Der generierte Traffic bestand in erster Linie HTTP-GET-Requests, obwohl es offenbar Varianten gibt, die in der Lage sind, POST-Requests zu senden, erklärten die Forscher.
„Das Botnetz erzeugt Datenverkehr, der wie gültige Anfragen von HTTP-Clients und Webbrowsern aussieht”, heißt es in dem Beitrag. „Wir haben etwa 300 Anwendungen identifiziert, sie aus dem Play Store entfernt und sind dabei, sie von allen betroffenen Geräten zu entfernen”, wird Google zitiert.
Die Apps gehören zu den Kategorien Media Player, Klingeltöne, Speichermanager und ähnlichem. Infizierten Endbenutzern fallen die zusätzlichen, versteckten Funktionen nicht ohne weiteres auf.
[Mit Material von Asha McLean , ZDNet.com]
