Am 26. Februar 2025 beobachtete Nokia Deepfields Emergency Response Team (ERT) eine „über Nacht" aufgetauchte Welle hyper-volumetrischer DDoS-Angriffe. Die Rückverfolgung förderte ein Botnetz namens Eleven11bot zutage – eine Mirai-Variante, die speziell HiSilicon-basierte Überwachungskameras, DVRs und NVRs infiziert. Am 27. Februar erreichte es einen Spitzenwert von etwa 6,5 Tbps und übertraf damit den erst im Januar aufgestellten Rekord von 5,6 Tbps. Dieser Artikel packt den Vorfall und den dahinterliegenden „Edge-Device-Krieg" aus.

1. Mirais Geist ist nicht gegangen

Eleven11bot ist keine neue Familie – es ist eine Mirai-Variante. Seit der Open-Sourcing von Mirai 2016 wurde sein Code von unzähligen Betreibern wiederverwendet und weiterentwickelt. Diesmal zielte es auf HiSilicon-Geräte mit der Videomanagement-Software TVT-NVMS9000 ab und übernahm die Kontrolle über Standard-Credentials und ungepatchte Firmware-Fehler. Ein verfeinertes Scanning-Verfahren sucht freiliegendes Telnet (Port 23) und SSH (Port 22) und führt dann Brute-Force mit an bestimmte Hersteller (z. B. VStarcam) angepassten Credential-Wörterbüchern durch.

2. 6,5 Tbps und ein „numerisches Rashomon"

Am faszinierendsten ist die stark voneinander abweichende Schätzung der Botnetz-Größe:

  • Nokia schätzte ~30.000 infizierte Geräte (USA 24,4 %, Taiwan 17,7 %, UK 6,5 %).
  • Shadowserver nannte über 86.000.
  • GreyNoise / Censys argumentierten, die wirklich Infizierten lägen wohl unter 5.000 (61 % nach Iran zurückverfolgbar).

Die Wurzel der Abweichung: ein missverstandenes Netzwerk-Merkmal. Der in Traffic sichtbare head[…]1111-Marker wurde zunächst als Infektionsindikator behandelt, später dem normalen HiSilicon-SDK-Protokollverhalten zugeordnet – einer legitimen Komponente der Fernverwaltung in White-Label-IoT-Hardware. Eine Erinnerung an jeden Forscher: auf dem IoT-Schlachtfeld bedeutet „ein Gerät sehen" nicht „das Gerät ist infiziert"; eine Fehlinterpretation von Indikatoren verzerrt die Risikobewertung direkt.

3. Warum IoT ein Brutstätte der Waffen bleibt

Eleven11bot ist kein Einzelfall. 2025 tauchten zusammenhängende CVEs immer wieder auf und wurden ignoriert:

  • CVE-2024-32899: unauthentifizierte RCE in TVT NVMS – sofort patchen.
  • CVE-2024-6047 / CVE-2024-11120: Command Injection in abgekündigten (EOL) GeoVision-IoT-Geräten, Monate nach Offenlegung ungepatcht.
  • CVE-2025-1316: Command-Injection-Zero-Day in Edimax IC-7100-Kameras, in freier Wildbahn von Mirai-Varianten ausgenutzt.

Die zugrundeliegende Logik ist konstant: massive Geräteverbreitung (Kameras, Router, Smart-TVs, sogar Kühlschränke), Standard-Credentials und schlechte Patch-Hygiene sowie unüberwachte Bereitstellungen. Diese Geräte „melden sich still" und bilden enorme Angriffsflotten.

4. Das reale Risiko: Intensität und Kollateralschäden

Eleven11bots Angriffsintensität lag zwischen 100.000 und 500 Millionen Paketen pro Sekunde (pps) und bevorzugte Telekom-Anbieter, Game-Hosting und Finanzen. Manche Angriffe verursachten über Tage anhaltende Service-Degradation. Entscheidend: der Traffic stammte aus Tausenden verschiedener ASNs – wirklich globale Knoten –, was bedeutet, dass jede Organisation, die von diesen Pfaden abhängt, Kollaterschaden erleiden kann.

5. Verteidigung: eine geteilte Verantwortung

Für Gerätebesitzer:

  • Fernverwaltung deaktivieren, Standard-Credentials ändern, Firmware auf HiSilicon-Geräten aktualisieren.
  • Kritische Lücken wie TVT-NVMS9000 (CVE-2024-32899) patchen.
  • Rate Limiting für Protokolle wie DNS (UDP/53) und NTP (UDP/123) aktivieren.

Für Netzwerke und Verteidiger:

  • Threat-Intel-Feeds wie GreyNoise (identifizierte 1.042 bösartige IPs) und Shadowserver nutzen, um bekannte bösartige IPs auf Netzwerkebene zu blockieren.
  • SIEM nutzen, um Brute-Force-Versuche auf Telnet/SSH und anomalen ausgehenden Traffic von IoT-Geräten zu flaggen.
  • Zero-Trust übernehmen – Kameras und Recorder vom Geschäftsnetz isolieren.

Fazit

Eleven11bots Lehre: IoT-Sicherheit ist nicht die Aufgabe einer Firma – sie ist eine gemeinsame Verantwortung von Herstellern, Regulierungsbehörden, Sicherheitsexperten und Verbrauchern. Solange enorme Mengen an Geräten mit Standard-Credentials und veralteter Firmware im öffentlichen Internet stehen, werden sie weiter bewaffnet. Für Verteidiger ist die echte Barriere gegen diesen Edge-Device-Krieg eine Architektur, die anomalen Traffic aus Tausenden ASNs am Edge identifiziert und umleitet und innerhalb von Sekunden mitigiert.