Cybercrime

Dieter Kochheim, Cybercrime - 56 -Die Methoden, fremde Rechner steuern zu wollen,entstammen offenbar verschiedenen Quellen.ZDNet.de sieht ihren technischen Ursprung zuRecht im Internet Relay Chat – IRC 346 .Hier ging es aber um sehr harte Methoden, um Zugangsbeschränkungenzu umgehen. Die aktuelleBotnetz-Software ist feinsinniger 347 und dürfte wegenihrer Steuerungsfunktionen ihre Heimat eher inden gewerblichen Strategien zur Softwareverteilungund im zentralen IT-Management haben 348 .Mit der Botsteuerung "Zunker" lassen sich zumBeispiel alle infiltrierten Systeme wegen ihrer Erreichbarkeitund Leistungsmerkmale überwachen,steuern und für Aktionen koordinieren 349 . DieseFunktionsvielfalt ist sonst nur aus der Fernwartung350für zentral verwaltete Computernetzwerke bekannt.A.5 2. Übernahme. KonsoleDie ersten Schritte für die Infiltration unternimmtdie Bot-Software selbsttätig. Sie wirkt so, wie esauch von anderen Würmern und Trojanern bekanntist, nistet sich ein, manipuliert die Sicherheitseinstellungensowie die Firewall und tarnt sich vorder Entdeckung durch Viren- und anderen Malwarescannern351 .Anschließend prüft sie, ob der infiltrierte Rechnereine Verbindung zum Internet hat und meldet sichdann bei der Botnetz-Steuerung als bereit.Die zentrale Steuerung sollte keinen direkten Hinweisauf den Angreifer geben. Deshalb befindet sie346WP, Internet Relay Chat - IRC347Moritz Jäger, Das Netz der Phisher: Wie Online-Betrüger arbeiten, tecchannel 20.09.2006;Ihr PC als Komplize: Piraten-Software gezieltbekämpfen, Heise online 06.01.2007348WP, IT Infrastructure Library - ITIL349"Zunker", das Administrator-Tool für Bot-Netze, IT-Defender.com 15.05.2007Zunker Bot, PandaLabs Blog 08.05.2007;Screenshot, ebd.350WP, Fernwartung351CF, Datenveränderung, 2007; CF,Computersabotage, 2007; CF, Superwürmer, 2007;CF, Malware, 12.05.2008.sich in aller Regel auf einem gehackten IRC-Server.Der Angreifer kann das infiltrierte System missbrauchenwie ein erfolgreicher Hacker. Alle Systemfunktionen,Dokumente und ungesicherte Informationenstehen ihm offen 352 .Eine übliche Strategie besteht darin, das Systemals Konsole für die Botnetzverwaltung einzurichtenund hiermit die übrigen Zombies zu verwaltenund zu steuern. Bei einer Analyse des Botnetzeskann dann nur der infiltrierte Rechner festgestelltwerden, nicht aber die Herkunft des Angreifers.A.5 3. zentrale und dezentrale SteuerungFür die Steuerung des Botnetzes muss zumindestein zentraler Server eingerichtet werden. Seinewichtigste Eigenschaft ist die, dass er eine kontinuierlicheVerbindung zum Internet haben muss,also kein Gelegenheitsnutzer ist. Hierzu eignensich am besten Webserver, die als Hostserver Internetauftrittepräsentieren. Beliebte Standorte fürmissbrauchte Systeme sind in den USA und inAsien. Mit der zunehmenden Verbreitung dedizierterServer 353 bei Privatanwendern und ihrerhäufig unzureichenden Sicherung dürften besondersdiese Systeme zum Missbrauch reizen.Die zentrale Steuerung kann für verschiedeneZwecke eingesetzt werden. Die gebräuchlichstensind: Kontaktstelle für infiltrierte Botrechner Ablagestelle für ausspionierte Daten Depot für Programmupdates352Vergleichbar mit der Quellen-TKÜ: CF, Online-Zugriff an der Quelle, 08.11.2008.353WP, Dedizierter Server