Botnetz Erkennen

Roboter sind Internetkinder. Wurde der asynchrone Datenaustausch von Ende der 80er Jahre bis Ende der 90er Jahre von Computerviren genutzt - zunächst durch Datenträgeraustausch, später durch kurzzeitig getauschte "elektronische Post", sind Roboter auf eine nahezu permanente Internetanbindung angewiesen. 2. Auf der einen Seite verlangen sie von ihrem "Master" immer wieder Befehle, auf der anderen Seite zielen viele Handlungen der Roboter auf die Erfüllung von Aufgabenstellungen mit niedrigen Datenraten bei gleichzeitig hohem Wirkungsgrad.

Das Botnetz setzt sich aus wenigstens drei Bestandteilen zusammen, die im besten Fall (für Operatoren und Programmierer des Botnets, nicht für unbeabsichtigte Betroffene!) höchstens untereinander kompatibel sind: eine Wurm-Software, die die Weiterverbreitung von Computer zu Computer gewährleistet, eine nach Befehls- und Steuerungs-Servern suchende Anwendung und schliesslich eine so unaufdringlich wie möglich arbeitende Anwendung, die den heruntergeladenen "Payload" ausführt.

Wie im Fall des Mirai-Botnetzes können die einzelnen Bausteine kombiniert oder weiter aufgeteilt werden. Allerdings verändert es nicht seine grundlegende Unabhängigkeit von Internet-Verbindungen, die für die Ausführung der Arbeiten (Ausführen der Nutzlast) und die weitere Verbreitung des Botnets mit der Wurm-Komponente erforderlich sind. Ein weiteres auffälliges Merkmal vieler Botnets ist, dass viele Bots tage-, wochen-, ja sogar monatelang einschlafen, bevor sie zum ersten Mal in Betrieb gehen.

Ausschlaggebend dafür ist, dass es aus der Perspektive der Botnet-Betreiber wesentlich effektiver ist, ein großes Botnetz seine Tätigkeit beginnen zu lassen, als sich mit Gegensteuerungsmaßnahmen zu konfrontieren, sobald sich einige hundert "Teilnehmer" ausgebreitet haben. Zu den drei Kernaufgaben von Botnets gehören das Versenden von SPAM, die Ausführung von Denial-of-Service-Angriffen und das Ausgraben von verschiedenen Krypto-Währungen wie Bitcoin (seltener) oder Ethernet (häufiger).

Bei allen drei Varianten versucht sich ein intelligenter Roboter unscheinbar zu verhalten: So kann ein Botnet aus Hunderttausenden von Spambotern verhältnismäßig unaufdringlich große Spammengen versenden, wenn jeder Einzelteilnehmer nur eine geringe Anzahl von Spam-Mails pro Tag versendet. Zum Beispiel bei Denial of Service (DoS)-Angriffen, besser gesagt Distributed Denial of Service (DDoS), ist es ausreichend, wenn jeder Computer ein paar wenige TCP-Verbindungen herstellt und die Datenübertragung sehr schleppend verläuft.

Jeder Botnetzteilnehmer bemerkt weder die verbrauchte Übertragungsbandbreite (ein kleiner Teil einer DSL-Verbindung ), noch das Risiko, die Grenze der TCP-Verbindungen zu erreichen. Bergbau-Bots bemühen sich, die Systembelastung niedrig zu halten, wenn festgestellt wird, dass ein Benutzer gerade mit dem Computer kommuniziert oder sich z.B. ein Laptop im Akkubetrieb gerade aufhält.

Hinterhältig: Man kommt mit lauter Lüftung an den Rechner und fragt sich, was wohl die hohen Belastungen direkt nach dem Einloggen bewirkt, dass alles ganz natürlich ist - normalerweise vergißt man, nach der Sache zu schauen, und der Roboter kann für mehrere Tage oder gar mehrere Tage fröhlich graben und merkliche Energiekosten anrichten.

Häufig reicht es aus, die als Payload vorgesehene Anwendung zu aktivieren, wenn sich ein Benutzer über den Autostart der Registry einloggt. Vor allem bei Anwendungen zum Ausgraben von Verschlüsselungswährungen gibt es keinen Unterscheid zwischen einem legalen (d.h. für den eigenen Geldbeutel) und einem unrechtmäßigen Werkzeug für sgn. Interessant ist in den vergangenen Monaten das Ausgraben von Krypto-Währungen im Internet.

Wenn der Film abläuft ( "h. 264" in Hardware) und die volle Konzentration des Zuschauers benötigt, gräbt ein JavaScript-Programm Krypto-Geld im Hintergund. Einige findige Webentwickler haben es geschafft, Popupfenster zu eröffnen, in denen Krypto-Geld extrahiert wird und es unter allen anderen Fenstern und der Uhr auf Windows zu unterbringen.

Interessant an Botnets ist, dass unterschiedliche Arbeitsgruppen an der Schaffung der Netze mitarbeiten und diese Aufgabenteilung verächtlich mit Geldern belohnt wird: Die Initiatoren eines Botnets erwerben das nötige Wissen über Sicherheitslöcher oder fertige Codes, die diese für die Verteilung ausnutzen. Häufig werden sie zum Beispiel Hosting-Kapazitäten in gehackten Weblogs oder im Forum erwerben, um ihre Programme per Drive-by-Download zu vertreiben.

Wenn das Botnetz groß genug ist, wird der Netzbetreiber seine Kapazität auf unterirdischen Marktplätzen anbieten. Es kann mit der Vielseitigkeit von Botnets wirbt, die unterschiedliche Payloads verarbeiten können, oder es kann z. B. große Mengen oder viele gut vernetzte Kunden in reinem Spam oder DDoS-Netzen aufzeigen. Diese können z.B. über Online-Auktionshäuser einfach in die gängigen Währungen getauscht werden.

Jetzt wissen Sie, wie Botnets ablaufen. Wie Sie Botnets erkennen - auf Ihrem Rechner und in Ihrem Heimnetzwerk.