Botnet Attacke

Ein Botnet und wie geht das?

Falls Ihr System auf einmal etwas langsam ist, kann es durchaus sein, dass Ihr System Teil eines so genannten Botnetzes geworden ist. Bei einem Botnet handelt es sich um eine Kombination mehrerer PCs zu einem großen, automatischen Computer-Malware-Programm. In einem Botnetz werden die PCs als Bot bezeichnet. Die örtlichen Resourcen und Dateien dieser Roboter sind für das Botnet ohne Wissen und Zustimmung des Eigentümers verfügbar.

Deshalb wird der PC schlagartig verlangsamt, weil ein Teil des Arbeitsspeichers durch das Botnet beansprucht wird und eine verstärkte Swap-Aktivität erkennbar wird. Sobald Ihr PC einmal angesteckt ist, kann er vom so genannten Botmaster (Angreifer) für seine Aufgaben als Roboter ausgenutzt werden. Oft werden die PCs eines Botnetzes genutzt, um E-Mail-Spam zu versenden.

Für ein Botnet besteht daher die grösste Gefährdung darin, dass Ihr Computer strafbare Handlungen ausführt. Um dies zu vermeiden, präsentieren wir Ihnen im Nachfolgenden das Botnet genauer und erläutern Ihnen, wie ein solches Netz abläuft.

Wozu ein Botnet? Technisch gesehen ist ein Botnet oder Botnet eine Vereinigung von eigenständigen Rechnern, die sich als ein einzelnes Gesamtsystem ausgeben. Die Wolke benutzt einen PC ohne das Einverständnis des Eigentümers. Ein Botnet kann auch als Assoziation von automatischer Computer-Malware bezeichnet werden, da die betroffenen PCs mit Backdoor-Malware infiziert und als Botnetze in das Botnet integriert sind.

Dieser Prozess schafft große Netze und ein Botnet kann visuell als ein großes Netz gesehen werden, das zahllose Rechner vernetzt. Dahinter verbirgt sich das Botnet. Sie funktioniert nur, wenn der Rechner gebootet und mit dem Netz verbunden ist. Nichtsdestotrotz sind sich die Eigentümer der Rechner nicht bewusst und merken die Arbeiten eines Bot nicht, da es das primäre Anliegen des Botnetzes ist, nicht aufzudecken.

Ein wichtiges Merkmal eines Botnetzes ist die Ressourcenverteilung. Weil der Anwender des Computers nichts vom Botnetz bemerken soll, muss sich die bösartige Anwendung nicht auffallen. Der Botnet-Client muss daher mit Leerlaufpriorität betrieben werden, um den Rechner des Anwenders nicht zu bremsen. Wird zu viel Arbeitsspeicher verbraucht, kann es zu einer erhöhten Swap-Aktivität der Platte kommen, die das Botnet verrät.

Andererseits hat das Botnet die Funktion, die Clientanwendung zu steuern. Erkennt ein Botnet, dass der Klient nicht richtig funktioniert und es kommt zu Problemen, wird die Malware abgebrochen. Ein drittes grundlegendes Merkmal des Botnetzes ist, dass der Botnetclient Daten über die Hardware und Hardware des Hosts erhebt. Das Botnet erfasst auch Daten über die Schnelligkeit der Internetverbindung und die Zeit während des Tages, an dem der Computer in Funktion ist.

Auf diese Weise lässt sich berechnen, wie viele Spam-Mails mit dem Zielrechner versendet werden können und ob der PC für seine eigenen Aufgaben und Zielsetzungen wirksam ist. Nach der Einrichtung und der erfolgreichen Kontaktaufnahme mit dem Betreiber kann er die Rechnerleistung des Botnets an die interessierten "Kunden" weiterverkaufen. Ist der " Kunde " zum Beispiel ein Spam-Versender, kontaktiert der Roboter seine Roboter über den IRC-Server und befiehlt den Versand dieses Spam-Mails.

Es gibt neben E-Mail-Spam noch viele andere Anwendungen, für die ein Botnet verwendet werden kann. Botnetze werden für unterschiedliche Zecken verwendet. Die US-amerikanische University of Berkeley stellt die rechtliche Benutzung eines Botnets zur Verfügung. Die hat einen Kode für ein gutartiges Botnet verfasst. Ein weiterer legaler und positiver Nutzen ist ein Botnetz, mit dem Wissenschaftler nach einem intelligenten Lebewesen im All forschen.

Auch ein Botnet kann nützlich sein. Die Zahl der illegalen Botnetze ist jedoch viel größer. Meistens werden die befallenen Rechner verwendet, um Spam zu verbreiten. Das ist die gebräuchlichste Form der Verwendung von Robotern. 80% aller Spam-Mails werden über angesteckte Rechner verschickt.

Die gesendeten Spam-Mails müssen jedoch nicht von den Botnetzbetreibern stammen. Dies ist eine lohnende Einkommensquelle für Botnetzbetreiber, aber auch für Spediteure. Auch die Botnetze können durch den Vertrieb illegale Gelder verdienen oder als Lagerraum für strafbare Handlungen dienen. Botnetze können auch die Vermittlung sensibler Informationen übernehmen.

Außerdem kann ein Botnetz die Herkunftsadresse eines Angreifers unterdrücken. Wenn ein Botnet eine Internetverbindung von einem befallenen Arbeitsplatz zu einem dritten Arbeitsplatz herstellt, wird die ursprüngliche Adresse verdeckt. Das Verfahren der Zwischenschaltung eines PCs wird auch verwendet, um andere PCs mit einer der vielen Arten von Schadsoftware zu befallen.

Damit sind die Einsatzmöglichkeiten eines Botnetzes vielseitig und das Botnetz ist neben dem Versenden von E-Mail-Spam wohl das am zweithäufigsten genutzte für DDoS-Angriffe. Durch die überhöhte Anzahl von Requests wird der Server überlastet und der Operator kann nicht mehr darauf zugreifen. In diesem Augenblick wenden sich die Botbetreiber an die Betreffenden und verlangen Gelder, um die Angriffe zu stoppen.

Im ungünstigsten Falle kann ein solcher Anschlag zu einem Konflikt zwischen einzelnen Ländern kommen, wenn er auf Servern in einem anderen Land stattfindet. Botnets sind in unterschiedliche Arten unterteilt. Botnets können nach der Steuerungsart durch den Betreiber oder anhand einer Klassifikation ihrer Kontrollprotokolle differenziert werden. Zwei Arten von Botnets sind für die Klassifikation von Botnets nach Arten der Kontrolle bekannt.

Zum einen gibt es Botnets mit einem Kontrollzentrum. Außerdem werden neue Bot in der zentralen Datenbasis erfasst, kontrolliert und die Kommandos des jeweiligen Betreibers gesendet. In der Zentrale sind alle angesteckten Rechner ersichtlich. Diese sind die häufigste Art von Botnets. Zum anderen gibt es dezentrale Botnets (P2P), die nicht über eine Leitstelle angebunden sind.

Jeder Roboter hat nur wenige Anschriften von befallenen Rechnern. Die, mit denen er verbunden ist. Anders als bei einem Botnetz mit Leitstelle muss der Operator im P2P-Netz nur auf einen der beteiligten Computer zurückgreifen, um das dezentrale Netz zu kontrollieren. Die Struktur eines solchen Botnetzes ist komplex und von aussen schwer zu inaktivieren.

Auch ein Botnet kann nach seinem Netzwerkprotokoll eingestuft werden. Die Kommandos der Botmasters gelangen nur dann auf alle beteiligten Rechner, wenn eine Verknüpfung zwischen ihnen und dem Steuerrechner vorhanden ist. Sie steuern die Übertragung zwischen dem Bot-Master und dem Botnet. Botnetze, die IRC-orientierte Netzwerkprotokolle für die Übertragung verwenden, existieren innerhalb dieser Form der Klassifizierung.

Die Ansteuerung der Roboter erfolgt hier über den Relay Chat, kurz IRC. Alle Zombiecomputer tragen die Adressen eines IRC-Servers und stellen eine entsprechende Internetverbindung her. Der befallene Rechner erhält dann die Kommandos vom Bottommaster über einen IRC-Kanal. Aufgrund dieser Beschränkungen gehören IM-orientierte Netzwerkprotokolle zu den am seltensten verwendeten Botnets.

Die Steuerung des weborientierten Botnet-Typs erfolgt über das Intranet. Dieser empfängt seine Aufträge und schickt ihm Informationen. Es gibt auch Botnet-Typen, die nur auf dem TCP/IP-Stack aufbaut. Der Botnet-Client kann nicht mit einem Befehls- und Steuerungsserver an einer bestimmten Stelle miteinander in Verbindung treten. Wenn ein Bot-Client sich auf einem Computer etabliert hat, kann er seinen Ersteller kontaktieren, indem er z.B. den Domain-Namen ändert.

Den Betreibern fällt die Domain auf und sie wird unter einem falschen Name registriert. Wenn der betroffene PC den Botsmaster kontaktiert, erhält er neue Kommandos und neue Malware. Ein Botnet kann auch mit seinem Operator über einen speziellen Anschluss miteinander verbunden werden. Wenn sich der befallene Rechner entweder über das Netz oder über einen eigenen Rechner (mit Steuerung über Up- oder NAT-PMP) befindet, kann sich der Botnet-Client mit einem Anschluss verbinden, über den er Kommandos weiterleiten kann.

Die Infektion eines Computers mit einem Botnet ist rasch. Erreicht ein Benutzer eine befallene Website und hält sich nicht an die Vorschriften für einen wirksamen Schutz vor Viren, wird der bösartige Code unauffällig angehängt. Mit dem Botnet-Client infiziert, ist es nicht so einfach, ihn loszuwerden. Der Botnet-Client kann sich auch per E-Mail einwählen.

Falls eine E-Mail im Attachment das Bots-Installationsprogramm beinhaltet oder die E-Mail mit einem Verweis auf eine verseuchte Seite umleitet. Beim Installieren von harmlosen Anwendungen kann auch ein Trojan auf den PC eindringen. Dadurch kann das Botnet auf das Gesamtsystem zugreifen. Wenn ein Botnet läuft, bekommt es immer neue PCs und kann seine Bandbreite erhöhen.

Wenn der Botnet-Client einmal auf dem Rechner eingerichtet ist, handelt er kaum oder gar nicht. Stattdessen wird auf die Kommandos des Command and Control Servers gewartet. Eine wesentliche Aufgabenstellung des Bot ist es, zusätzliche Programme auf die angesteckten Server zu laden. Botnetze können großen Schaden verursachen und die Ausbreitung ist öfter als man glaubt.

Nach Prognosen des Anti-Botnet-Beratungszentrums des Internet-Verbandes Eco sind rund 40 Prozent aller Rechner in Deutschland bereits Teil eines Botnetzes oder können leicht in ein solches integriert werden. Wenn man sich die Einsatzmöglichkeiten eines Botnetzes anschaut und welche Auswirkungen die Tätigkeiten der Operatoren haben können, sollte das primäre Anliegen jedes Computereigentümers sein, sich vor dieser Gefahr zu schütz.

Sogar die Brandmauer allein kann wahre Meisterwerke vollbringen, denn sie kontrolliert die ein- und ausgehende Kommunikation im Netz und benachrichtigt Sie als Benutzer über Anwendungen, die eine Anbindung an das Netz herstellen wollen. Mit dieser Meldung können Sie beispielsweise bösartige Software entdecken, die gerade installiert wurde und sich an den Netzbetreiber wenden möchte.