Es ist der Albtraum eines jeden Anwenders, wenn der eigene Computer plötzlich zum fremdgesteuerten Roboter wird. Angreifer installieren dazu auf Web-Servern oder Workstations heimlich Agenten, die sie in Netzen (sogenannten Bot-Netzen) organisieren und bei Bedarf aktivieren.
Es existieren sogar Marktplätze, in denen Zugriffe auf so infizierte Systeme und Bot-Netze gehandelt werden. Für Ihr Unternehmen bedeutet das: Eigene Systeme werden plötzlich zu angreifenden Systemen! Ein unvorhersehbarer Sicherheitsvorfall, der im schlimmsten Fall zu einem PR-Debakel wird. Schützen Sie sich davor mit unseren Abwehrmaßnahmen.
Bot-Netze funktionieren nach einem einfachen Prinzip: Steuerbare Agenten (sogenannte Bots) werden auf den Zielsystemen installiert und führen anschließend Befehle von einer Steuerungseinheit, dem Bot-Netz- Operator (auch Bot-Master oder Bot-Herder), aus. Der Bot-Master kann selbst ein zentraler Server sein (sogenannte Command-and-Control-Server-Struktur) oder die Bots geben Befehle untereinander weiter (sogenannte Peer-2-Peer-Kontrollstruktur).
Bots bleiben in der Praxis lange unentdeckt und führen zunächst keine Befehle aus. Je nach Angriffsszenario führt der Bot-Netz-Operator irgendwann einen Befehl aus, der dann gleichzeitig von vielen Bots ausgeführt wird. Praktisch werden Bot-Netze vor allem für folgende verteilte Angriffe genutzt:
- Versand von Spam-Mails
- Brute-Force-Attacken auf Online-Konten
- Distributed Denial of Service (DDOS)
- Klickbetrug im Web
- Ausspähen von Dateien im Unternehmensnetzwerk
- Verbreiten von kriminellen Inhalten
Wie Angreifer Computer in ein weltweit agierendes Bot-Netz aufnehmen, konnten wir bei einem unserer Support-Einsätze bei einem Kunden beobachten. Im ersten Schritt dieses Angriffs erhielten die Mitarbeiter unseres Kunden eine E-Mail.
Diese E-Mail hatte gleich zwei Ziele: Zum Einen wurden ungeschützte Computer ausspioniert und zum Anderen wurden diese Computer mit einem Virus infiziert. Dieser Virus sorgte dafür, dass die angegriffenen Computer in das Bot-Netz integriert wurden. Hierzu haben die Computer Verbindung zu einem zentralen Server des Angreifers aufgenommen.
Eine ebenso beliebte Infektionsquelle ist der Web- Browser. Beim Besucher einer manipulierten Website installieren Angreifer Bots, indem sie Sicherheitslücken im Browser oder in Browser-Plugins nutzen.
Detektion: Wie Sie ein Bot-Netz in Ihrem Netzwerk erkennen:
Das Erkennen installierter Bots ist in der Praxis äußerst schwierig. Häufig sind die Programme gut getarnt. Da sie zudem nur sporadisch aktiv werden, deuten häufig nur Symptome, wie plötzlicher Netzwerkdatenverkehr oder langsame Computerreaktionen, auf eine Bot-Infektion hin.