Ein Botnet ist eine Menge kompromittierter Geräte, die ein Angreifer gemeinsam fernsteuert.
Jedes Gerät führt Befehle aus, ohne dass der Besitzer den Zweck kennt.
Die Menge liefert Rechenleistung, Bandbreite und verteilte Herkunft für Spam, Diebstahl und Überlastangriffe.
Struktur eines Botnets
Die Struktur beschreibt, wie Befehle die einzelnen Bots erreichen und wie Rückmeldungen zurücklaufen.
Sie bestimmt, wie leicht das Netz auszuschalten ist und wie widerstandsfähig es nach dem Verlust einzelner Knoten bleibt.
Zwei Grundformen sind die zentrale und die dezentrale Steuerung.
Zentralisierte Botnets
Zentralisierte Botnets holen Befehle von einem oder wenigen Steuerrechnern.
Der Betreiber kann die Menge schnell umschalten, ein Ausfall oder eine Sperre dieser Rechner legt aber viele Bots lahm.
Die Steueradressen sind zugleich ein Ansatz für Sperren und für Ermittlungen.
Dezentralisierte Botnets
Dezentralisierte Botnets verteilen die Steuerung auf viele Knoten, oft über ein Peer-to-Peer-Verfahren.
Es gibt keinen einzelnen Rechner, dessen Abschaltung das Netz beendet.
Die Analyse wird aufwendiger, weil Befehle von wechselnden Nachbarn kommen.
Aufbau eines Botnets
Der Aufbau beginnt mit der Infektion vieler Geräte und endet mit einer zuverlässigen Befehlsstrecke.
Der Betreiber braucht beides, sonst bleiben einzelne Schädlinge ohne gemeinsame Wirkung.
Vermietete Zugänge verkürzen diesen Aufbau für Kunden ohne eigene Infrastruktur.
Methoden zur Infektion
Infektion erfolgt über Schwachstellen, über von Benutzern gestartete Dateien oder über bereits vorhandene Schadsoftware.
Router, Server und Arbeitsplätze sind gleichermaßen brauchbar, wenn sie erreichbar sind und Befehle ausführen können.
Ein Gerät bleibt nützlich, solange es online ist und der Zugang nicht entfernt wurde.
Command & Control-Struktur
Die Command-and-Control-Struktur ist der Kanal, über den Befehle und Ergebnisse laufen.
Sie nutzt eigene Server, missbrauchte legitime Dienste oder verschleierte Protokolle, um wie gewöhnlicher Verkehr auszusehen.
Wer diesen Kanal erkennt und stört, trennt die Geräte von der Steuerung, auch wenn die Infektion noch auf dem Gerät liegt.
Verwendungszwecke eines Botnets
Ein Botnet wird für Aufgaben eingesetzt, die von einem einzelnen Rechner aus auffällig oder zu schwach wären.
Typisch sind Massenmails, der Abgriff von Daten und verteilte Überlastung eines Ziels.
Dieselbe Menge kann nacheinander vermietet und für unterschiedliche Aufträge genutzt werden.
Spamming
Spamming nutzt die verteilten Geräte, um große Mengen Nachrichten zu versenden und dabei einzelne Sperren zu unterlaufen.
Die Herkunft wechselt, die Nachricht und das Ziel bleiben über den Auftrag gleich.
Für den Empfänger sieht jede Sendung wie eine eigene Quelle aus.
Datendiebstahl
Datendiebstahl nutzt die Nähe des Bots zum Benutzer, zu gespeicherten Sitzungen und zu lokalen Dateien.
Zugangsdaten, Cookies und Tastatureingaben werden an die Steuerung gemeldet.
Das Gerät wird so zum Werkzeug gegen Konten, nicht nur zur Quelle von Traffic.
Verteilte Denial-of-Service-Angriffe
Verteilte Denial-of-Service-Angriffe lassen viele Bots gleichzeitig Anfragen an ein Ziel senden.
Die Last übersteigt die Kapazität des Dienstes, während keine einzelne Quelle zwangsläufig auffällig groß ist.
Das Ziel ist die Nichtverfügbarkeit, nicht der Einbruch in den Inhalt.
Schutz gegen Botnets
Schutz richtet sich gegen die Infektion, gegen die Steuerung und gegen den missbräuchlichen Verkehr am eigenen Dienst.
Kein einzelnes Mittel erfasst alle drei Stellen.
Zusammenarbeit über Betreiber hinweg ist nötig, weil die Geräte selten dem Angegriffenen gehören.
Technische Maßnahmen
Technische Maßnahmen halten Software aktuell, entfernen erkannte Schadprogramme und sperren bekannte Steuerziele.
Ausgehender Verkehr von Servern wird auf erwartete Ziele begrenzt, damit ein infiziertes System nicht beliebig mitsteuert.
Am eigenen Dienst begrenzen Raten und Anomalien den Schaden, falls ein Botnet anfragt.
Aufklärung und Sensibilisierung der Benutzer
Aufklärung zeigt, wie ein Anhang, ein Nachlader oder ein ungeschützter Router zum Bot wird.
Benutzer lernen, unerwartete Ausführungsaufforderungen abzulehnen und Standardpasswörter zu ersetzen.
Sensibilisierung reduziert neue Infektionen, beseitigt aber kein bereits gesteuertes Gerät.
Kooperation und Zusammenarbeit
Kooperation zwischen Netzbetreibern, Betroffenen und Meldestellen ist nötig, um Steuerrechner und infizierte Kundenanschlüsse zu erreichen.
Ein einzelner Betreiber sieht nur den Verkehr, der ihn trifft, nicht die Geräte im fremden Netz.
Gemeinsame Indikatoren für Steuerkanäle verkürzen die Zeit, in der das Botnet handlungsfähig bleibt.
Fazit
Ein Botnet ist Infrastruktur aus fremden Geräten und einer Befehlsstrecke.
Seine Struktur entscheidet, wie stabil es ist, seine Aufträge entscheiden, wen es schädigt.
Schutz gelingt dort, wo Infektion, Steuerung und missbräuchliche Anfragen jeweils eigene Kontrollen haben.