Sicherheitsforscher entdeckt Amateur-Botnetz Operation Dildos

Der Sicherheitsforscher Joe Giron berichtet von einem scheinbar von Amateuren betriebenen Botnetz, das seine Größe über Nacht fast verdreifachen konnte – von 400 Hosts auf 1131 – und weiter wächst. Aufgrund des Namens „Operation Dildos“ vermutet er Teenager hinter dem Angriff.

In seinem Blog schildert Giron, wie er bei seiner Arbeit auf Maschinen stieß, die andere Hosts angriffen. „Wir haben die dafür verantwortliche EXE-Datei isoliert, weil sie 100 Prozent der CPU-Leistung in Anspruch nahm (nicht gerade subtil)“, schreibt er. VirusTotal zufolge wird die Malware-Datei zz.exe von 34 von 36 verbreiteten Virenscannern entdeckt.

Infizierte Rechner – so genannte Drohnen – verbinden sich mit einem IRC-Server, um Kommandos von den Betreibern entgegenzunehmen. Giron konnte die IP-Adresse dieses Servers, den IRC-Channel und die für Befehle nötigen Passwörter ermitteln – nichts davon war verschlüsselt oder getarnt worden.

Unter anderem können die Botnetz-Betreiber auf infizierten Systemen Downloads vornehmen und URLs öffnen lassen. Per SYN und UDP lassen sich außerdem fremde Systeme fluten – eine Form eines Denial-of-Service-Angriffs. Der Kommandoserver bezieht sich auf sich selbst als magnesium.ddos.cat, obwohl es bisher keinen öffentlichen DNS-Eintrag für diesen Hostnamen gibt. Die Hauptseite ddos.cat scheint selbst gehackt worden zu sein.

Mit den von Giron veröffentlichten Daten könnte jeder das Botnetz übernehmen. Interessierten bietet der Sicherheitsspezialist außerdem die ausführbare Malware-Datei zum Download an.

[mit Material von Michael Lee, ZDNet.com]