Trend Micro: Botnetz Dridex trotz Polizeiaktion weiterhin aktiv

Trend Micro weist darauf hin, dass die von internationalen Sicherheitsbehörden im Oktober durchgeführten Aktionen gegen das Botnetz Dridex nicht zu dessen vollständiger Abschaltung geführt haben. Die Beschlagnahmung von Servern der Dridex-Betreiber habe das Botnet zwar ins Wanken gebracht, die Malware sei aber „noch lange nicht tot“, schreibt Trend Micro in einem Blogeintrag.

Eine Analyse der Dridex-Infektionen in den zwei Wochen vor und nach der Abschaltung der Server habe ergeben, dass die Zahl der betroffenen Nutzer um 24 Prozent zurückgegangen sei, so Trend Micro weiter. Außerdem habe sich die regionale Verbreitung der Opfer stark verändert. Der Anteil der US-Nutzer sei von 29,53 Prozent auf 13,64 Prozent zurückgegangen.

Zuletzt führte Frankreich mit 25,55 Prozent die Rangliste an, gefolgt von Großbritannien mit 18,50 Prozent und den USA. Deutschland, das vor der Polizeiaktion nicht in den Top Ten vertreten war, liegt nun auf dem sechsten Platz, hinter Australien und Belgien und vor den Philippinen, Italien, Indien und Spanien.

Laut Trend Micro sind derzeit noch Befehlsserver aktiv, die sich außerhalb der Reichweite der Strafverfolger befinden, oder die die Ermittler noch nicht entdeckt haben. Außerdem sei mit dem Systemadministrator Andrey Ghinkul nur ein Mitglied der Dridex-Gruppe verhaftet worden. Es seien inzwischen sogar neue Varianten der Malware in Umlauf gebracht worden, die neue Befehlsserver nutzten.

Dridex sei besonders widerstandsfähig, da es als Botnet as a Service (BaaS) entwickelt worden sei. Tatsächlich bestehe es aus vielen einzelnen Botnetzen mit eigenen Konfigurationsdateien. Eine Peer-to-peer-Architektur, wie sie auch Gameover Zeus verwende, helfe den Cyberkriminellen zudem, ihre Befehlsserver sowie deren Aktivitäten zu verstecken.

„Aktionen wie diese sind effektiv, um die Aktivitäten von Cybercrime-Operationen kurzfristig zu stören, aber langfristiger Erfolg ist nicht immer garantiert“, schreibt Trend Micro. „Sie haben zur Folge, dass die ineffektivsten Bedrohungen verschwinden und Cyberkriminelle aus ihren Fehlern lernen können. Um Cyberverbrechen wirklich aufzuhalten, sind Verhaftungen notwendig.“

An der Aktion gegen Dridex waren neben dem FBI und der britischen National Crime Agency auch das Bundeskriminalamt und das zu Europol gehörende European Crime Centre beteiligt. Unterstützung erhielten die Ermittler von Dell Secure Works, Spamhaus, abuse.ch und dem US-Cert.

Dridex stiehlt laut Brett Stone-Gross, Mitarbeiter von Dell Secure Works, Anmeldedaten, Zertifikate, Cookies und andere vertrauliche Informationen, um beispielsweise Geld auf Konten der Hacker zu überweisen. Von US-Konten von Penneco Oil wurden 2012 beispielsweise 3,5 Millionen Dollar auf Konten in Russland transferiert, teilt das FBI mit.

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.