Botnetze: Die automatisierte Gefahr

Botnetze – auch als Botnets bezeichnet – stellen teilweise eine gewaltige, weil automatisierte Bedrohung dar. Panik ist jedoch unnötig, denn es gibt effiziente Schutzmaßnahmen – und diese stellen wir Ihnen im heutigen Beitrag genauso vor wie die Funktionsweise von Botnetzen oder die Ziele, mit denen Botnets in Betrieb genommen werden. Nachdem wir einige der prominentesten Botnetze vorgestellt haben, geben wir Ihnen Hinweise, wie Sie erkennen, ob Ihre Geräte betroffen sein können.

Was sind Botnetze?

Der Begriff Botnet wurde von „robot network“ abgeleitet, sodass er sich mit Roboternetzwerk übersetzen lässt. Rechner, die sich in einem Botnet befinden, bezeichnet man als Bots oder auch Zombie-Computer. Es gibt Botnets, die nur ein Netzwerk weniger Computer vereinen, es gibt jedoch auch welche, die Hunderte und sogar Tausende von Computern umfassen. Botnet-Erstellende werden als Bot-Herder bezeichnet. Botnetze dienen dazu, Routineaufgaben zu erledigen – welche das sein können, erklären wir in einigen Absätzen unter den Zielen von Botnetzwerken.

So funktionieren Botnetze

Zum Erstellen eines Botnets sind drei wesentliche Schritte notwendig: Zunächst werden die Geräte der Opfer infiziert, dann das Botnet vergrößert und schließlich wird es aktiviert. Ausführlicher:

• Zunächst müssen Opfer infiziert werden, indem der Bot-Herder seine Botnetz-Malware auf das Opfersystem bringt. Dies kann über sich als harmlos tarnende Malware erfolgen oder der Bot-Herder bedient sich beispielsweise dem Social Engineering.
• Ist das Opfer-System infiziert, fügt es sich wie bereits infizierte Rechner ins Botnet ein und wird zum Zombie-Computer. Damit ist das System bereit dafür, weitere Geräte zu infizieren. Manchmal verbreitet sich die Botnet-Malware auch automatisiert – etwa wenn es gelingt, in durchsuchten Netzwerken Sicherheitslücken aufzuspüren und darüber Geräte zu infizieren. Das ist insbesondere bei Zero Day-Schwachstellen problematisch, für die noch keine Patches bereitstehen.
• Hat das Botnetz eine bestimmte Größe erreicht, lässt sich die Power sämtlicher infizierter Geräte durch den Bot-Herder für alles Mögliche nutzen – etwa für die Aktivitäten, die wir in den Zielen der Botnetze beschreiben.

Bot-Herder können ihre Botnetze zentralisiert oder dezentral steuern. Im Falle zentralisierter Botnets werden Client-Server-Strukturen konventioneller Netzwerkarchitekturen verwendet, um über C&C-Server (Command and Control) mit anderen im Botnetz befindlichen Geräten zu kommunizieren. C&C-Server sind jedoch leicht aufzufinden und zu deaktivieren. Ist der C&C-Server heruntergefahren, ist eine Kommunikation vom Bot-Herder mit seinem Botnet nicht mehr möglich.

Die Alternative dazu ist das dezentralisierte Peer-to-Peer (P2P)-Modell: Die P2P-Strukturen erlauben eine Kommunikation übers gesamte Netzwerk. Jedes der infizierten Geräte kann mit den anderen im Botnet kommunizieren. Da somit kein C&C-Server mehr erforderlich ist, sind P2P-Botnetze deutlich schwieriger zu bekämpfen.

Welche Ziele verfolgen Botnetze?

Botnets sind nicht per se böse – es gibt auch die gutartige Variante: Gutartige Botnetze werden zum ordnungsgemäßen Betrieb von Websites oder von Internet Relay Chats (IRC) eingesetzt. Sie kommen auch zum Einsatz beim Schürfen von Kryptowährungen oder bei Forschungsprojekten.

Bösartige Botnetze hingegen erlauben den massenhaften Versand von Spam-Nachrichten oder das Stehlen von Nutzerdaten. DDoS-Angriffe lassen sich mit bösartigen Botnetzen starten – das funktioniert übrigens auch mit Mobile-Botnets (zum Weiterlesen: „Mobile Security: DDoS-Attacken per Mobile-Botnet“). Möglich ist auch, dass ein Bot-Herder eine Anzeige auf einer Website schaltet und das Botnet so konfiguriert, dass es massenhaft auf die Anzeige klickt. So können Bot-Herder unrechtmäßig Einnahmen aus Anzeigen generieren.

Ob gutartige oder bösartig agierende Botnetze: Betroffen sein kann jedes mit dem Internet verbundene Gerät, also Computer und Laptops, aber auch Smartphones, Spielkonsolen und vernetzte Haushaltsgeräte.

Botnetze in der Übersicht

Es lohnt sich, sich ein wenig mit den unterschiedlichen Botnetzen, die aktuell existieren, zu befassen. Dazu empfehlen wir Ihnen neben der Botnetz-Enzyklopädie von Guardicore, über die wir hier berichtet haben, auch die Steckbriefe aktueller Bots vom BSI. Zu den Botnetzen, die Sie kennen sollten, gehören unter anderem:

• Conficker: Im Jahr 2008 erreichte das Conficker-Botnet mit mehr als 10,5 Millionen Zombie-Geräten seinen Höhepunkt, ist jedoch nach wie vor aktiv. Conficker gelang es bereits, in Regierungsnetzwerke in Europa einzudringen.
• Gameover ZeuS: Das verschlüsselte P2P-Botnet stammt von der ZeuS-Malware-Familie ab und wurde oft verwendet, um Bankdaten zu stehlen – mit Verlusten von über 100 Millionen US-Dollar zu seiner Zerstörung. Bevor Gameover ZeuS im Jahr 2014 unter anderem vom FBI und Europol zerstört wurde, verteilte das Botnet noch die Ransomware CryptoLocker.
• Mirai: Im Jahr 2016 entdeckt, ist das Mirai-Botnet für zahlreiche DDoS-Angriffe verantwortlich. Mirai ist auf Linux-Geräte wie Webcams oder Router ausgelegt. Infizierte Mirai-Bots durchsuchen das Internet nach IoT-Geräten, die mit Standard-Passwörtern schlecht abgesichert sind, und infizieren diese. Nachdem 2016 der Quellcode von Mirai veröffentlicht wurde, nutzten andere Cyberkriminelle diesen zum Weiterentwickeln eigener Botnet-Malware.
• Mēris: Im September 2021 legte das Botnet Mēris das russische Internetunternehmen Yandex lahm – mit 21,8 Millionen Anfragen pro Sekunde! Mit rund 250.000 Geräten im Netzwerk gelang es dem Botnet 2021 auch, Cloudflare anzugreifen.
• Zloader: Der Microsoft Digital Crimes Unit ist es gelungen, das Zloader-Botnet zu zerschlagen. Wollten die Macher von Zloader anfangs vorrangig Vermögenswerte stehen – etwa durch den Diebstahl von Kontoanmeldedaten, Passwörtern oder anderen Informationen – ging die kriminelle Gruppe hinter dem Botnetz später dazu über, Malware-as-a-Service (MaaS) anzubieten.

Botnetze: Sind meine Geräte betroffen?

Es ist nicht einfach, Botnetze zu erkennen, denn sie verbrauchen für gewöhnlich keine nennenswerte Rechenleistung. Dennoch gibt es einige Hinweise, die auf Botnetze hindeuten können:

• Sie stellen eine plötzliche Verlangsamung der Internetgeschwindigkeit oder Bandbreitenspitzen fest.
• In Ihrem System gibt es unerwartete Änderungen.
• Prozesse auf Ihrem Rechner lassen sich nicht schließen.
• Ihr Betriebssystem lässt sich nicht aktualisieren.
• Im Task-Manager stoßen Sie auf unbekannte Prozesse.

Viele Anti-Viren-Lösungen leisten gute Arbeit beim Auffinden von Botnetzen, sodass Sie auch den Warnungen Ihres Antiviren-Tools trauen können.

Schutz vor Botnetzen

Mit den folgenden Tipps erhöhen Sie Ihre Sicherheit so, dass Botnetze bestenfalls erst gar keine Chance haben:

• Halten Sie Ihre Software immer auf dem neusten Stand. Das meint nicht nur das Betriebssystem, sondern sämtliche Anwendungen.
• Erhalten Sie E-Mails mit Anhängen, die Sie nicht erwartet haben, öffnen Sie diese nicht. Ist Ihnen der:die Absender:in bekannt, klären Sie durch ein Telefonat, ob die E-Mail tatsächlich von dieser Person stammt.
• Klicken Sie nicht auf dubiose Links. Dieser Tipp dehnt sich weiter aus: Verzichten Sie auch auf den Besuch dubioser Websites. Sind Sie sich über die Seriosität einer Website unschlüssig, versuchen Sie, über ein Impressum und weitere Rechtstexte Klarheit zu gewinnen – und verlassen Sie die Seite, wenn Zweifel bleiben.
• Verwenden Sie keine P2P-Downloaddienste. Diese sind gerade dann beliebt, wenn neue Software erwartet wird. Nutzen Sie jedoch lieber offizielle Quellen für Ihre Downloads und verzichten Sie auf P2P-Dienste.
• Richten Sie neue Geräte ein, dann ändern Sie unbedingt die voreingestellten Passwörter – und zwar am besten sofort.
• Nutzen Sie eine Firewall sowie eine Antiviren-Software.
• Setzen Sie auf starke Passwörter und verwenden Sie für jeden Dienst ein einzigartiges Passwort.
• Sichern Sie Ihre Zugänge außerdem durch Zwei- oder Mehr-Faktor-Authentifizierung.

Steigende Gefahr durch Botnetze

Botnetze sind eine reelle Bedrohung – und ihre Anzahl sowie die Gefahren durch sie steigen. Es ist also Vorsicht geboten. Halten Sie sich jedoch an unsere Tipps und bleiben Sie mit Ihrem Wissen über Botnetze auf dem Laufenden, können Sie sich gut vor dieser Gefahr schützen. Haben Sie nach dem Lesen der Anzeichen für eine Botnet-Infektion den Eindruck, Ihr Gerät ist Teil eines Botnetzes, so können Sie den Hinweisen des BSI zum Bereinigen infizierter Systeme folgen.