Botnetze

Was ist ein Botnetz?

Ein Bot ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
Ein Botnetz ist die Summe vieler solcher Bots, die ein Angreifer (Botmaster) zentral steuert.
Gesteuert wird über einen Command-and-Control-Server (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.

Infektion: über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe Schadsoftware/Malware).
Anmelden: Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
Warten und Gehorchen: Der Bot fragt regelmäßig nach Befehlen (Beaconing) und führt sie aus.

DDoS: alle Bots greifen gleichzeitig ein Ziel an (siehe DDoS-Angriffe).
Spam und Phishing in Massen versenden.
Zugangsdaten und Daten stehlen.
Kryptomining auf fremde Kosten.
Weitervermieten: Rechenleistung und Zugänge werden als Dienst verkauft (Malware-as-a-Service).

Aufbau	Prinzip	Schwäche für den Angreifer
Zentral (ein C&C-Server)	einfach, alle Bots melden sich bei einer Adresse	fällt der Server weg, ist das Netz tot
Mehrere C&C / Domain-Wechsel	wechselnde Adressen (Fast Flux, Domain Generation)	schwerer abzuschalten, aber aufwendiger
Peer-to-Peer	Bots geben Befehle untereinander weiter, kein fester Server	kaum durch Abschalten eines Servers zu stoppen

Ausgehenden Verkehr beobachten: Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
Verdächtige Ziele am Proxy und per DNS-Filter sperren.
Das IDS schlägt bei bekannten C&C-Mustern an: OPNsense Suricata.
Auffälligkeiten zentral zusammenführen: SIEM.

Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr