Ein Botnet oder Botnetz ist eine Gruppe von Software-Bots. Die Bots laufen auf vernetzten Rechnern, deren Netzwerkanbindung sowie lokale Ressourcen und Daten ihnen zur Verfügung stehen. In Deutschland gibt es über 470.000 solcher Bots, von denen im Durchschnitt etwa 2.000 pro Tag aktiv sind (Stand: 2010).[1] Betreiber illegaler Botnetze installieren die Bots ohne Wissen der Inhaber auf Computern und nutzen sie für ihre Zwecke. Die meisten Bots können von einem Botnetz-Operator (auch Bot-Master oder Bot-Herder genannt) über einen Kommunikationskanal überwacht werden und Befehle empfangen. Dieser wird in der Fachsprache als Command-and-Control-Server bezeichnet; Kurzform: C&C.
Ein Bot stellt dem Betreiber eines Botnetzes je nach Funktionsumfang verschiedene Dienste zur Verfügung. Derweil mehren sich multifunktional einsetzbare Botnets. Der Botmaster kann so flexibel auf andere Einsatzmöglichkeiten umschwenken. Grundsätzlich lassen sich die Verwendungsmöglichkeiten eines Bot-Netzwerks wie folgt unterscheiden:
Bot-Nets liefern eine hervorragende Infrastruktur für die herkömmliche Internetkriminalität. Dies begründet auch ihr rasantes Wachstum.
Die weitaus meisten Bots verfügen über eine Funktionalität, mit der der Betreiber eines Botnetzes mit ihnen kommunizieren kann. Dies umfasst den Abruf von Daten von einem Bot sowie das Verteilen von neuen Anweisungen.
IRC wurde in den 90ern zu einer populären Internet Chat Lösung. Legitime und nützliche Bots, wie zum Beispiel Eggdrop wurden entwickelt, um den User bei der IRC – und Kommunikationsverwaltung zu helfen. Diese einfache Technik ist dann zur ersten C&C Strategie geworden. Bei der Kommunikation über einen IRC-Channel stellen die Bots eine Client-Verbindung zu einem IRC-Server her. Befehle werden ohne Verzögerung von den Bots ausgeführt und der Betreiber bekommt sofort eine Rückmeldung der Bots. Ein IRC C&C Server ist für einen Botherder sehr einfach zu erstellen und zu verwalten. Ist ein Computer infiziert, versucht der Zombie sich zu dem IRC Server und Channel zu verbinden. Wenn die Verbindung erfolgreich war, so kann der Botherder den Bot kontrollieren. Dies kann individuell über Private Nachrichten oder global an alle Zombies innerhalb des Channels erfolgen. Um dies effizienter zu gestalten, erstellen einige Botmaster ein „Thema“ für den Channel, das ein Kommando für die Bots darstellt, wie zum Beispiel Updates oder eine DDoS Attacke durchzuführen.
Vorteile der IRC Technologie:
Gefolgt von dem Einsatz von privaten Servern und Passwörter, wurden C&C Technologien immer weiter verbessert. Die erste Technologie benutzt mehrere miteinander verbundene IRC Server, die die gewöhnliche IRC Technologie verwenden. IRC ist in einer Art und Weise konzipiert, dass mehrere Server so miteinander verbunden werden können, um ein Netzwerk von Servern zu bilden. Bei der Verwendung dieser Technik, werden die Adressen aller Server in den Bot hardgecoded. Dieser versucht sich dann mit jeder dieser eingetragenen Adressen zu verbinden. Ist eine Verbindung zwischen Server und Client hergestellt, dann loggt sich der Bot in den Channel ein, in dem der Botherder Anweisungen gibt. Für Botnetzjäger wird es schwierig das gesamte Netzwerk lahm zu legen, besonders wenn immer wieder neue Server hinzugefügt werden. Sind die Adressen des C&C Servers fest in den Bot implementiert, so kann dieser den Server nicht mehr erreichen, wenn die Adressen gesperrt werden. Wie man sieht, hat diese Technologie ihre Grenzen, weshalb DNS Einträge eingeführt wurden.
DNS wird unterteilt in Domain Names und Multihoming. Der Unterschied zwischen den beiden ist, dass bei Domain Names verschiedene Domänen auf die gleiche IP – Adresse zeigen, wobei bei Multihoming eine Domäne auf mehrere unterschiedliche IP – Adressen verweist.
Die Einführung von Domain Names und Multihoming haben die Botherder dabei unterstützt die Ausfallssicherheit der C&C Server zu erhöhen.
Heutzutage können Tools für ein paar hundert Dollar oder weniger gekauft werden. Diese Tools beinhalten meistens an web-basierte Sicherheitslücken individuell angepassten Schadcode, der nicht von den Antiviren Programmen erkannt wird, und eine web-basierte Command und Control Engine, die eine Backend-Datenbank zum Speichern von gestohlenen Informationen enthält. Da die Benutzeroberfläche von web-basiertem C&C sehr einfach zu bedienen ist, ist sie bei vielen Botherdern sehr beliebt.
Bots können so konfiguriert werden, dass sie wiederholt SYN Pakete zum C&C Server schicken, damit der Server die IP-Adressen der Zombies erhält. Mithilfe dieser IP-Adresse kann der Angreifer dem Client verschlüsselte Bot-Kommandos und Daten schicken.
Die Kommunikation über HTTP mit einer Webanwendung funktioniert ohne persistente Verbindung, die Bots übertragen Daten und fragen nach neuen Befehlen in Intervallen. HTTP-Botnetze erfreuen sich zunehmender Beliebtheit, da das Aufsetzen der Administrations-Infrastruktur im Vergleich zu einem IRC-Server einfacher ist und die Kommunikation der Bots weniger auffällt.
Webbasiertes C&C hat gegenüber der traditionellen IRC Lösung folgende Vorteile:
Es gibt zwei Typen von webbasierten Botnets:
Peer – to – Peer Netzwerke wurden durch Dienste wie Musik und File Sharing immer populärer. Innerhalb weniger Jahre, nach dem die ersten Bots entstanden waren, begannen Botherder ihre eigenen P2P Netzwerke zu erstellen, um Bots zu verwalten. Diese Technologie ist eine sehr effiziente Möglichkeit für den Botherder seine Botnetze ohne eine zentrale Kontrollstruktur zu verwalten. Die Zombies können als Client und Server fungieren, das heißt jeder Knoten kann Befehle erteilen und erhalten. Jeder einzelne Knoten des P2P Netzwerkes ist für den Botherder erreichbar, über den er dann das gesamte Netzwerk kontrollieren kann. Zum Beispiel kann der Botherder sich zu einem Zombie verbinden und diesen zu einem Update veranlassen. Dies startet eine Kettenreaktion: alle anderen Bots in dem P2P Netzwerk laden das Update ebenfalls herunter und synchronisieren sich gegenseitig entsprechend der Konfigurationsdatei, die der Hacker in die Zombies eingespielt hat. Einen Angreifer in so einer verteilten P2P Netzwerklösung zu identifizieren ist praktisch unmöglich. Andererseits kann ein einfacher Peer andere Bots finden. P2P Netzwerke sind generell leichter, anhand des Netzwerkdatenverkehrs, den die Zombies generieren, zu erkennen.
Wie viele andere Protokolle, wurde auch mit FTP als Control Channel experimentiert. Heutzutage ist diese Art nicht oft vorzufinden. Jedoch gibt es einen Bottyp, der regelmäßig einen FTP C&C Bericht erstattet und zwar der Phishing oder Banking Trojaner. Diese Bots, wie zum Beispiel Dumador oder Haxdoor, sind grundsätzlich Keyloggers, mit dem Unterschied, dass sie sehr viel umfangreicher sind. Sie sniffern den Datenverkehr, wenn der User auf dem kompromittierten System im Internet surft. Betritt der User eine verschlüsselte (HTTPS) Webseite, dann führen sie eine Man – in – the – middle – Attacke am Computer selbst aus. Da dieser Angriff in der Opfermaschine selbst stattfindet wird sie auch oft Man – on – the – inside Attacke genannt. Der Bot präsentiert dem User eine gefälschte Webseite. Mit dieser Technik ist es möglich Authentifizierungsdaten etc. aufzuzeichnen. Die gestohlenen Daten werden dann auf einen FTP Server hochgeladen, wo sie der Botcontroller warten kann. Botherders erstellen meist ausführliche Statistiken über die Daten, sowie ihrer Herkunft.
Die Top-10-Länder, in denen 2008 Botnet Command-and-Control-Server identifiziert werden konnten, waren:[2] Vereinigte Staaten: 16.774, Deutschland: 3.909, China: 2.998, Russland: 2.960, Kanada: 2.388, Südkorea: 1.151, UK:1.703, Frankreich: 985, Malaysia: 857, Japan: 788.
Das Erweitern eines Botnetzes erfolgt durch Installieren der Bots auf einem noch nicht angebundenen Computer. Um möglichst viele Ressourcen zur Verfügung zu haben, versuchen die Betreiber, eine hohe Anzahl von Rechnern unter ihre Kontrolle zu bekommen. Die Installation erfolgt meistens für den Anwender unsichtbar. Während des Betriebes eines Botnetzes kommen immer wieder neue Rechner hinzu und es scheiden solche aus, bei denen der Bot entfernt wurde.
Die Verbreitung findet auf folgenden Wegen statt:
Laut einer Studie des Antivirus-Herstellers Kaspersky Lab ist derzeit jeder zehnte PC Teil eines Botnets. Damit sind sie eine der größten illegalen Einnahmequellen im Internet.[3]
| Bekannt seit | Abgeschaltet seit | Name | Maximale Botzahl | Milliarden Spammails pro Tag | Weitere Namen |
|---|---|---|---|---|---|
| Mai 2009 | Oktober 2010[4] | BredoLab | 30.000.000 [5] | 3,6 | Oficla |
| Mai 2009[6] | Dezember 2009[6] | Mariposa | 13.000.000[7] | ? | |
| Oktober 2008 | – | Conficker | 9.000.000[8] | ? | DownUp, DownAndUp, DownAdUp, Kido |
| 2006 | März 2011[9] | Rustock | 1.700.000 [10] | 44,1 [10] | RKRustok, Costrat |
| Januar 2007 [11] | – | Cutwail | 1.600.000 [12] | 74 [13] | Pandex, Mutant, Pushdo |
| März 2007 | – | Srizbi | 1.300.000 [14] | 60 [15] | Cbeplay, Exchanger |
| ? | – | Grum | 1.100.000 [11] | 39,9 | Tedroo |
| 2004 | – | Bagle | 780.000 [12] | 17,3 [12] | |
| August 2009 [10] | – | Maazben | 770.000 [10] | 4,8 [10] | |
| ? | – | Gheg | 500.000 [14] | 0,44 [12] | Tofsee, Mondera |
| ? | – | Kraken | 400.000 [16] | 9 | Kracken |
| ? | – | Bobax | 370.000 [10] | 14,6 [12] | Bobic, Oderoor, Cotmonger |
| Ende 2009 [17] | – | Lethic | 350.000 [17] | 2 [17] | |
| August 2009 | – | Festi | 220.000 [12] | 1,4 [12] | |
| ? | – | Mega-D | 180.000 [11] | 10 | Ozdok |
| ? | – | Torpig | 180.000 [18] | ? | Sinowal, Anserin |
| Januar 2007 | – | Storm | 160.000 | 3 | Nuwar, Peacomm, Zhelatin |
| ? | – | Donbot | 125.000[19] | 0,8 | Buzus, Bachsoy |
| November 2008 | Februar 2010[20] | Waledac | 80.000 | 1,5 | |
| März 2009 [10] | – | Cimbot | 48.000 [10] | 1,9 [10] |
In vielen Foren wird offen für die Umsetzung von Attacken geworben. Die Preise für 24-Stunden-Angriffe schwanken zwischen 50 und einigen Tausend Dollar.[21]
Dieser Artikel basiert auf dem Artikel Botnet aus der freien Enzyklopädie Wikipedia und ist unter der Lizenz Creative Commons Attribution/Share Alike verfügbar. Zusätzliche Bedingungen können anwendbar sein. In der Wikipedia ist eine Liste der Autoren verfügbar. |
Wetter
