Die Zukunft der Cyber-Kriminalität

20 gtr | April 2007
Erfasster E-Mail-Inhalt
Massen-Mailing-Würmer
Trojaner
Spam
2%
11%
87%
Abbildung 2: Nach Payload kategorisierte E-Mails,
die in den McAfee-Spam-Fallen erfasst wurden
Viele Unternehmen arbeiten derzeit bei
erkanntem Spam und erkannter Malware nach
einem Akzeptieren-und-Ablehnen-Prinzip.
Wie dies von den Gesetzgebungen in den USA
bzw. der Europäischen Union interpretiert
wird, bleibt juristisch unklar. In Zukunft
kann jede Regierung entscheiden, dass das
Akzeptieren-und-Ablehnen-Prinzip keine
rechtmäßige Vorgehensweise ist. Es gibt bereits
heute ein überzeugendes Argument gegen diese
Vorgehensweise, da Probleme bei berechtigten
Absendern schwer zu diagnostizieren sind. Wenn
diese Vorgehensweise abgelehnt wird, müssen
Unternehmen entweder die E-Mail akzeptieren
und die Konsequenzen der Speicherung ertragen
oder den Eintritt einer E-Mail in das System durch
eindeutig definierte SMTP-Verfahren verhindern.
Die Erkennung von Massen-E-Mails ist als
frühzeitiger Filter zum Blockieren oder
Ausbremsen großer Mengen ähnlich aussehender
E-Mails wichtig, die im Internet auftreten können.
Durch die Erkennung von Massen-E-Mails wird
das Problem jedoch nicht gelöst, da ein klarer
Anstieg an Köder-Spam zu erwarten ist. Bei Köder-
Spam wird eine große Anzahl an Spam verschickt,
von dem Cyber-Kriminelle wissen, dass er von
den meisten Spam-Erkennungsprogrammen
abgefangen wird. Diese Masse an E-Mails
dient jedoch nur als Köder und lenkt die
Aufmerksamkeit der Erkennungsprogramme von
kleineren E-Mail-Sammlungen im selben Format
ab, die aber weitaus böswilligere Daten enthalten.
Teilweise sind diese E-Mail-Sammlungen sehr
klein und speziell auf eine Zielgruppe ausgerichtet.
Angesichts der Tatsache, dass es in mindestens
einem Betriebssystem bekannte bildbasierte
Exploits gibt, kann die Köder-Technik zum
Versenden solcher Exploits verwendet werden.
So können beispielsweise 95 Prozent einer Spam-
Aktion aus E-Mails mit sicheren Bildern bestehen,
die restlichen 5 Prozent würden jedoch ähnlich
aussehende E-Mails mit einem auf spezielle Weise
erstellten Bild sein. Diese 5 Prozent sind mit den
vorhandenen Massenerkennungsmethoden
schwer zu entdecken.
Indem wir die Spam-Quellen bekämpfen, können
wir verhindern, dass unerwünschte Inhalte
über den Gateway in unser System gelangen. An
dieser Stelle müssen wir Botnets angreifen, die
heutzutage vorzugsweise zum Senden von Spam
eingesetzt werden. Botnets sind für Spammer eine
sehr kostengünstige Methode zum Verbreiten von
Spam, da die Botnets die Verarbeitungsleistung
und Bandbreite anderer nutzen.
Die Bekämpfung von Botnets fällt in erster
Linie in den Zuständigkeitsbereich von
Internetdienstanbietern (ISPs), die gezwungen
werden, eine proaktivere Rolle beim Kampf gegen
Spam einzunehmen. Teilweise wird der Druck
von der Öffentlichkeit ausgeübt, ISPs sind aber
auch selbst sehr an der Bekämpfung von Spam
interessiert. Falls ISPs ebenfalls alle E-Mails
archivieren, möchten auch sie die Anzahl an
Spam reduzieren, der durch ihre Netze fließt, und
so die Archivierung großer Mengen an Junk-Mails
verhindern. Im gleichen Atemzug könnten die
Dienstanbieter, die Domänennamen registrieren,
gezwungen werden, genauer zu kontrollieren,
mit wem sie Geschäfte abschließen.
ISPs sind jedoch gegenüber falschen
Positivmeldungen sehr vorsichtig und
greifen deshalb wahrscheinlich nicht allzu
hart durch. Sie können die Spam-Menge in
ihren Netzwerken um vielleicht 40 Prozent
reduzieren, einfach indem sie nach E-Mails
suchen, die entgegen aller Zweifel als Spam
betrachtet werden können. Sorgfältigere ISPs
spüren Botnets in ihren eigenen Netzwerken
auf und setzen diese Clients so lange außer
Gefecht, bis die Bedrohung entfernt wurde.
Plötzlich werden Cafés, Flughäfen
und andere Plätze zu potenziellen
Spam-Quellen.
Die Wi-Fi-Bedrohung
Leider bestehen die modernen ISP-Netzwerke
nicht mehr aus mehreren Breitband-, Einwahlund
von Unternehmen geleasten Leitungen.
Die Zunahme von einfach zu nutzenden,
öffentlichen Wi-Fi-Diensten hat die Zahl der
potenziellen Einstiegsstellen zum Senden
von schwer aufspürbarem Spam erhöht.
Plötzlich werden Cafés, Flughäfen und andere
Plätze zu potenziellen Spam-Quellen, ist es
doch ganz einfach, sich anonym 30 Minuten
Netzwerkzugriff zu kaufen und dann für illegale
Aktionen zu nutzen. Und gegen auf diese Art
zugestellte unerwünschte E-Mails kann nur sehr
wenig unternommen werden, so lange die Anbieter
dieser Netzwerke keine Maßnahmen ergreifen.
Obwohl das Konzept der „gemeinsamen
Nutzung Ihres Wi-Fi-Netzwerkes“ – wie es
beispielsweise vom FON-Netzwerk angepriesen
wird – uneigennützig erscheint, bereitet es dem
Privatanwender beim Gedanken an die damit
verbundene Sicherheit Kopfschmerzen. Er könnte
nämlich als Spammer identifiziert werden. Selbst
Benutzer, die über Breitbandverbindungen mit
Firewalls und die aktuellsten Patches auf ihren
Computern verfügen, sind gefährdet. Denn wie
hoch sind die Chancen, dass Privatanwender
Spam bis zu der Person nachverfolgen, die die
kostenlose Wi-Fi-Verbindung aus dem auf der
Straße parkenden Auto heraus nutzen? Gleich
Null, wie Sie sich sicher vorstellen können.
Einstweilen werden die Benutzer bestraft, weil
ihre Breitbandverbindungen wegen Verletzung
der Nutzungsbedingungen gekündigt wurden.
Aufklärung über Spam
Wir gehen davon aus, dass sich der prozentuale
Anteil von Spam in den nächsten zwei Jahren
nur geringfügig erhöht. Die Gesamtmenge
an Spam wird aber mit der Entwicklung der
weltweiten Bandbreite zunehmen. Dokumenten-
und Bilder-Spam werden zusammengefasst
und 0 bis 0 Prozent des nicht zielgerichteten
Spams ausmachen. Köder-Spam wird zum
Standard, und fast jede große Spam-Aktion
wird mit viel Spektakel und zielgerichteten, im
Datenstrom versteckten Attacken erfolgen.
Auch in Zukunft werden wir den Wettlauf
zwischen Spammern und Malware-Autoren auf
der einen Seite, die mit immer neuen Methoden
zur Übermittlung schädlicher Daten aufwarten,
und Sicherheitsunternehmen auf der anderen Seite
beobachten können, die so schnell wie möglich
daran arbeiten, die Spammer und Malware-
Autoren aufzuhalten. Doch selbst mit den besten
Sicherheitsmaßnahmen bleibt der Benutzer die
größte Schwachstelle. Die Social Engineering-
Methode bleibt eine der erfolgreichsten Techniken
für Malware-Autoren und Spammer. Denn nur
wenige Benutzer erkennen, wie organisiert
die Spam-Verbreitung geworden ist, und dass
selbst ihre eigenen Computer Teil des Spam-
Botnets sein können. Deshalb betrachten wir
die ständige Aufklärung der Unternehmen und
Endbenutzer als den besten Ansatz, um die von
Spam ausgehende Bedrohung zu bekämpfen.
Schalk Cronjé bietet Anleitungen zu
durchdachten Methoden für die Anti-Spam-
Technologieforschungsgruppe von McAfee
Avert Labs. Er verfügt über 10 Jahre Erfahrung
bei der Bekämpfung von E-Mail-basierten
Bedrohungen und hat bereits unzählige
infizierte Mail- und Webserver gesehen.
Die Bedrohung durch
WEb-SPAM
Das Web steht nach wie vor ganz
oben in der Liste der Aufmerksamkeit
der Spammer. Diskussionsforen,
Blogs und kostenlose Webdienste
sind die häufigsten Spam-Quellen.
Früher wurden damit Suchmaschinen
infiziert. Inzwischen wurde diese Lücke
jedoch von den meisten Anbietern
von Suchdiensten geschlossen. Blog-
Spam und Kommentar-Spam sind zwar
nach wie vor verbreitet, sie sind jetzt
aber darauf ausgerichtet, Besucher
auf andere Websites zu locken. Auf
einigen Seiten dieser Sites werden
kostenlose Webdienste angeboten,
andere Seiten befinden sich auf
infizierten Webservern. Am meisten
beunruhigt jedoch, dass sich viele dieser
Seiten hinter seriösen Sites verstecken:
Die Seiten sind so aufgebaut, dass
sie wie die Seiten einer seriösen Site
aussehen (eine Methode, die beim
Phishing üblich ist) oder innerhalb
dieser Site gehostet werden. Dazu
muss kein Server infiziert werden.
Erst kürzlich hat ein Spammer
eine Seite mit einem Link zu
einer externen Site auf Wikipedia
platziert, die den Nordex-Trojaner
enthielt. Gleichzeitig verschickte er
E-Mail-Spam, der von Wikipedia zu
kommen schien und die Benutzer
auf die gewünschte Seite leitete.
Web- und E-Mail-Spam können nicht
mehr getrennt betrachtet werden.
Spammern, die beide Varianten
kombinieren, bietet sich eine effektivere
Plattform zur Übermittlung ihrer
Inhalte. Rechnen Sie also zukünftig mit
noch engeren Verbindungen zwischen
Web- und E-Mail-Spam-Aktionen.
– Schalk Cronjé
Lesen Sie den ganzen Artikel unter: http://www.avertlabs.com/research/
blog/?p= 2
gtr | April 2007 21