Zombie-PCs im Fadenkreuz: Abwehrstrategien gegen Botnets

„Die meisten Besitzer von ferngesteuerten Computern bemerken nicht einmal, dass ihr Rechner als Teil eines Botnets große Mengen an Spam-Mails verschickt oder Denial-of-Service-Attacken unterstützt“, so der Experte. Das erste Alarmzeichen bestehe darin, wenn der Rechner etwas langsamer als gewohnt arbeite. Ansonsten empfiehlt aber auch Symantec „nur“ die üblichen Schutzmaßnahmen wie aktuelle Virenscanner und Firewalls, um den Zugriff auf den Rechner durch Dritte zu unterbinden.

Aber derartige Maßnahmen bieten nur eine Scheinsicherheit. Nach Auffassung des österreichischen Sicherheitsspezialisten Emsisoft spielt das Zutun der Anwender sowieso keine Rolle mehr, um den Rechner zu kompromittieren. „Bots verbreiten sich mitunter auch selbst“, erläutert CEO Christian Mairoll. Dies geschehe etwa durch das Ausnutzen von Schwachstellen im Betriebssystem oder anderen Softwareanwendungen, was keineswegs nur auf Windows beschränkt sei.

Denn auch für Linux-Hosts steige die Wahrscheinlichkeit, Teil eines Botnetzes zu werden, gibt der Experte zu bedenken: „Insbesondere als IRC-Server, und somit als Kernstück eines jeden Botnetzes, fungieren zumeist kompromittierte Linux-Server, auf denen ein IRC-Server aufgesetzt wird.“ Vor oder auch erst nach der Anmeldung bei einem einprogrammierten Server werden dann zusätzliche Komponenten aus dem Internet nachgeladen.

Dazu gehören auch technische Mechanismen, um das Botnet erfolgreich zu tarnen oder um Malwarescanner und andere virenähnliche Module auszuschalten. Deshalb gilt als die größte Herausforderung nach wie vor die Entdeckung und Identifikation der Botnets in Echtzeit, obwohl einige Virenschutzprogramme entsprechende Tools bereits integriert haben.

Allerdings sind die Werkzeuge bislang nicht in der Lage, auf Zero-Day-Exploits zu reagieren. Ein von den Informatikern an der Universität Mannheim entwickeltes Tool Nepenthes arbeitet zumindest an einer Verkürzung der Reaktionszeit, indem es ermöglicht, automatisch die jeweiligen Schädlingsmuster zu sammeln, die sich autonom weiterverbreiten.

Die so gesammelten Botnetz-Varianten lassen sich analysieren, um mehr über ihren Ursprung und Zweck zu erfahren. Basierend auf diesen Informationen können Abwehrstrategen künftig Botnetze nicht nur effektiver beobachten, sondern im Idealfall lässt sich auch der Ursprung dieser Gefahrenquelle früher ermitteln. Im Erfolgsfall käme es jedoch auch bei der frühzeitigen Entdeckung vor allem auf die rasche Reaktion der Internet-Service-Provider an.