Ermittlungsbehörden gelingt zusammen mit Microsoft Schlag gegen Botnet

Das FBI berichtet von einer erfolgreichen Aktion gegen das Dorkbot-Botnet, die zusammen mit Ermittlungsbehörden in mehreren Ländern durchgeführt wurde. Das schon im April 2011 entdeckte Botnet soll dabei effektiv gestört worden sein. Beteiligt waren der US-Heimatschutz, Interpol sowie das European Cybercrime Center. Die US-Bundespolizei erwähnt außerdem ausdrücklich die Unterstützung durch Microsoft.

Die koordinierte Aktion galt Win32/Dorkbot, einer der am meisten verbreiteten Malware-Familien. Das länderübergreifende Ziel war es, die Dorkbot-Infrastruktur mit den Kommando- und Kontrollservern zu eliminieren. Dabei wurden auch diverse Domains abgeschaltet, um die Hintermänner an der weiteren Kontrolle infizierter Systeme zu hindern.

Heatmap mit Dorkbot infizierter Systeme, die in den letzten drei Monaten entdeckt wurden (Bild: Microsoft)

Dorkbot sollte nicht mit den Organisationen für „Electronic Art“ verwechselt werden, die schon länger unter diesem Namen tätig sind – dem guten Dorkbot. Der bösartige Dorkbot-Wurm hingegen infizierte laut Microsoft in den letzten sechs Monaten durchschnittlich 100.000 Windows-PCs und hat schon über eine Million Rechner in über 190 Ländern übernommen. Sein primäres Ziel ist es, Nutzernamen und Passwörter auszuspähen, beispielsweise die Anmeldedaten für AOL, Ebay, Facebook, Gmail, Godaddy, Netflix, Paypal, Steam, Twitter, Yahoo und Youtube. Die Botnet-Betreiber versuchen dabei auch auf Anmeldedaten zuzugreifen, die von Internet Explorer oder Firefox gespeichert wurden. Darüber hinaus kann Dorkbot für DDoS-Attacken oder den Versand von Spam-Mails eingesetzt werden – und Download sowie Installation weiterer Malware veranlassen.

Wie das Microsoft Malware Protection Center ausführt, nutzt Dorkbot Internet Relay Chat (IRC) und wird von seinem Entwickler als Toolkit namens NgrBot über einschlägige Untergrund-Hackerforen gewinnbringend vermarktet. Das Kit enthält neben den Softwaremodulen eine Dokumentation über die Schaffung eines Dorkbot-Botnets. Dorkbot wird entsprechend nicht nur von einem, sondern von zahlreichen Betreibern für ihre Kampagnen genutzt.

Die erste Infektion erfolgt typischerweise durch einen Drive-by-Download, etwa beim Besuch einer gehackten Website oder eine eigens dafür geschaffene Exploit-Website. Verbindet sich ein Rechner mit einer dieser Sites, sucht das Exploit-Kit nach ungepatchter Software, um den Dorkbot-Wurm zu installieren. Ist eine Maschine einmal infiziert, verbreitet sich Dorkbot selbst weiter über Wechsellaufwerke, Instant-Messaging-Clients, E-Mails und Soziale Netze.

Nach seiner Installation nimmt Dorkbot Verbindung zu einem seiner vorprogrammierten Kommando- und Kontrollservern auf und übermittelt den Standort, die Windows-Version des Rechners sowie einen unverwechselbaren Identifikator für das System. Damit ist die Malware bereit, Befehle der Botnet-Betreiber auszuführen. Um die Entdeckung durch Antivirensoftware zu vermeiden, blockiert es gleichzeitig die Update-Server von Sicherheitsfirmen.

Microsoft führte die Analyse der Dorkbot-Malware zusammen mit dem polnischen CERT sowie dem Sicherheitsanbieter Eset durch, der seinen Hauptsitz in der Slowakei hat. Eset weist darauf hin, dass die Win32/Dorkbot-Malware bereits seit Jahren in ständig wandelnder Form aktiv ist. Um seinen Teil zu der internationalen Aktion beizutragen, habe es Analysen und Statistiken zur Verfügung gestellt sowie die Adressen und Domains der C&C-Server der Botnet-Betreiber mitgeteilt.

[mit Material von Violet Blue, ZDNet.com]