Bild vergrößern 512 520 http://img3.magnus.de/Gumblar-Netzwerk-r512x520-C-2c1ed291-29468604.jpg © Kaspersky Lab

© Kaspersky Lab

Botnetze setzen auf eine breit angelegte Kommandostruktur

Der Antivirushersteller Kaspersky Lab hat vor kurzem das Gumblar-Netzwerk analysiert und mehr als 4400 Kommando-Server gezählt.

In früheren Jahren haben Online-Kriminelle viel Mühe darauf verwandt die Kommandoinfrastruktur ihrer Botnetze so lange wie möglich vor der Entdeckung zu schützen. Die Botnetze wurden meist von sehr wenigen Mutterschiffen (C&C-Server) aus gesteuert. Sicherheitsunternehmen und Behörden konnten ein Botnetz lahm legen, indem sie entdeckte Mutterschiffe von Netz nehmen ließen.

Heute setzen die meisten Botnetze auf dezentralisierte Strukturen, die zudem mehrere Kommandoebenen bilden. Die Zahl der beteiligten Kommando-Server kann leicht mehrere hundert, teils sogar mehrere tausend Rechner betragen. Der Antivirushersteller Kaspersky Lab hat Anfang Mai das Gumblar-Netzwerk analysiert und mehr als 4400 Kommando-Server gezählt.

Wenn Behörden und Sicherheitsunternehmen versuchen ein solches Netzwerk zu zerschlagen, ist das eine Sisyphus-Arbeit. Einige der Kommando-Server vom Netz zu nehmen bringt nicht viel. Für jeden abgeklemmten Gumblar-Server tauchen anderswo zwei neue auf.

Die Hintermänner des Gumblar-Netzwerks hacken und infizieren legitime Web-Server, missbrauchen sie für ihre Zwecke. Werden einige gesäubert, könnten sie bereits am nächsten Tag wieder gehackt werden, falls die Schwachstellen nicht beseitigt worden sind, die das Eindringen ermöglicht haben. Notfalls startet die Gumblar-Gang einfach eine neue Infektionskampagne, um neue Server zu rekrutieren.

Der Kampf gegen moderne Botnetze ist mühsam. Nicht nur verfolgen Sicherheitsunternehmen die Aktivitäten der Online-Kriminellen, sie werden von diesen ebenfalls beobachtet. Die Täter passen ihre Strategien von Zeit zu Zeit an, um sich für eine Weile Luft zu verschaffen. Gumblar dominiert in manchen Monaten die Ranglisten weit verbreiteter Schädlinge, um dann im Folgemonat scheinbar zu verschwinden und irgendwann wieder aufzutauchen.