Microsoft setzt größtes Spam-Botnet Necurs außer Gefecht

Microsoft ist es gemeinsam mit Partnern aus 35 Ländern gelungen, mit koordinierten rechtlichen und technischen Maßnahmen eines der aktivsten Botnets der Welt zu zerstören. Das Necurs-Botnet gilt als eines der größten Netzwerke für den Versand von Spam-E-Mails. Weltweit umfasst es mehr als neun Millionen infizierte Rechner. Kriminelle nutzten es in der Vergangenheit für die Verbreitung von Trojanern wie GameOver Zeus oder sogenannten „pump and dump“ Aktienscams, sowie für das Versenden von Spam-E-Mails zu falschen Pharma-Produkten und russischen Datingangeboten.

Dem Schlag gegen das Netzwerk gingen acht Jahre der Verfolgung des Botnets und der Planung voraus. Die Maßnahmen sorgen nun dafür, dass die Kriminellen nicht mehr auf zentrale Teile der Infrastruktur des Botnetzes zurückgreifen können, um sie für Cyberangriffe zu nutzen. Die Abschaltung erfolgte, nachdem Microsoft und Partner aus der Industrie den Domain Generating Algorithmus (DGA) von Necurs geknackt hatten. Die Cyberkriminellen registrieren DGA-generierte Domains Wochen oder Monate im Voraus und hosten die Command-and-Control (C&C)-Server des Botnets, auf denen sich die Bots verbinden, um neue Befehle zu empfangen.

Mit dem Wissen, welche Domains das Botnet als nächstes registrieren und betreiben wollte, konnte das Necurs-Team an der Registrierung gehindert werden. Darüber hinaus war auch das Rechtsteam von Microsoft an der Zerschlangung beteiligt und erwirkte letzte Woche, am 5. März, einen Gerichtsbeschluss, der Microsoft die Kontrolle über in den USA gehostete Necurs-Domains zusprach.

Geographische Ausbreitung des Necurs-Botnet (Bild: BitSight)

„Indem wir die Kontrolle über bestehende Websites übernommen und die Möglichkeit zur Registrierung neuer Websites verhindert haben, haben wir das Botnetz erheblich gestört“, sagte Tom Burt, Corporate Vice President, Customer Security & Trust.

Nachdem Microsoft die Kontrolle über die bestehende Necurs-Infrastruktur übernommen hat, konnten das Unternehmen und seine Industriepartner das Botnet abschalten und Informationen über alle Bots in der ganzen Welt sammeln. Im letzten Schritt hat Microsoft in Zusammenarbeit mit ISPs und CERT-Teams, betroffene Nutzer benachrichtigt, damit sie die Malware von ihren Computern entfernen konnten.

Das Necurs-Botnet operiert seit 2012 und wurde zu einem der größten bisher bekannten Spam-Versender. Das Botnet ist die Sammlung aller Computer, die von einem Malware-Modul namens Necurs infiziert wurden. Das Necurs-Spam-Modul läuft auf den Computern der Benutzer und nutzt seine Ressourcen, um täglich riesige Mengen an Spam-E-Mails zu versenden. Laut Microsoft hat bereits ein einziger mit Necurs infizierter Computer mehr als 3,8 Millionen E-Mails an mehr als 40,6 Millionen Opfer verschickt.

Weitere Informationen zu der Zerschlagung von Necurs enthält ein Blog-Beitrag der Cybersicherheitsfirma BitSight, die ebenfalls eine entscheidende Rolle bei der Zerschlagung spielte.