Botnetze: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Die Seite wurde neu angelegt: „=Was ist das= Ein Botnet oder Botnetz ist eine Gruppe von automatisierten Computerprogrammen, sogenannten Bots. Die Bots (von englisch: robot „Roboter“) la…“
 
Animation verlinkt
 
(5 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
=Was ist das=
= Botnetze =
Ein Botnet oder Botnetz ist eine Gruppe von automatisierten Computerprogrammen, sogenannten Bots. Die Bots (von englisch: robot „Roboter“) laufen auf vernetzten Rechnern, deren Netzwerkanbindung sowie lokale Ressourcen und Daten ihnen zur Verfügung stehen. In Deutschland gab es 2010 über 470.000 solcher Bots, von denen im Durchschnitt etwa 2.000 pro Tag aktiv waren.[1] Die Initiative botfrei.de des Verbandes der Internetwirtschaft ECO stellte 2014 bei 220.000 stichprobenartig untersuchten Computern 92.000 verseuchte Systeme mit rund 725.000 infizierten Dateien fest, woraus sich eine Infektion mit ca 40 Prozent aller Computer in Deutschland errechnet.[2] Laut Bericht zur Lage der IT-Sicherheit in Deutschland 2015 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) wurden im ersten Halbjahr 2015 in Deutschland täglich bis zu 60.000 Systeme neu infiziert.[3] Betreiber illegaler Botnetze installieren die Bots ohne Wissen der Inhaber auf Computern und nutzen sie für ihre Zwecke. Die meisten Bots können von einem Botnetz-Operator (auch Bot-Master oder Bot-Herder genannt) über einen Kommunikationskanal überwacht werden und Befehle empfangen. Dieser wird in der Fachsprache als Command-and-Control-Server bezeichnet; Kurzform: C&C-Server.
 
== Was ist ein Botnetz? ==
*Ein '''Bot''' ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
*Ein '''Botnetz''' ist die Summe vieler solcher Bots, die ein Angreifer (''Botmaster'') zentral steuert.
*Gesteuert wird über einen '''Command-and-Control-Server''' (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
*Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.
 
== Wie ein Rechner zum Bot wird ==
#'''Infektion''': über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe [[Schadsoftware/Malware]]).
#'''Anmelden''': Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
#'''Warten und Gehorchen''': Der Bot fragt regelmäßig nach Befehlen (''Beaconing'') und führt sie aus.
 
== Wofür Botnetze genutzt werden ==
*'''DDoS''': alle Bots greifen gleichzeitig ein Ziel an (siehe [[DDoS-Angriffe]]).
*'''Spam und Phishing''' in Massen versenden.
*'''Zugangsdaten und Daten stehlen'''.
*'''Kryptomining''' auf fremde Kosten.
*'''Weitervermieten''': Rechenleistung und Zugänge werden als Dienst verkauft (''Malware-as-a-Service'').
 
== Steuerung: zentral oder verteilt ==
{| class="wikitable"
! Aufbau !! Prinzip !! Schwäche für den Angreifer
|-
| Zentral (ein C&C-Server) || einfach, alle Bots melden sich bei einer Adresse || fällt der Server weg, ist das Netz tot
|-
| Mehrere C&C / Domain-Wechsel || wechselnde Adressen (''Fast Flux'', ''Domain Generation'') || schwerer abzuschalten, aber aufwendiger
|-
| Peer-to-Peer || Bots geben Befehle untereinander weiter, kein fester Server || kaum durch Abschalten eines Servers zu stoppen
|}
 
== Erkennen und schützen ==
;Am einzelnen Rechner
*Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
;Im Netz (unser Kurs)
*'''Ausgehenden Verkehr beobachten''': Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
*Verdächtige Ziele am Proxy und per DNS-Filter sperren.
*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]].
*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)|SIEM]].
 
== Animation ==
*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – wie aus einem infizierten Rechner ein Botnetz und daraus ein DDoS wird.
 
== Merksatz ==
Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr
 
== Siehe auch ==
*[[DDoS-Angriffe]]
*[[Schadsoftware/Malware]]
*[[Backdoor]]
 
[[Kategorie:Cybersecurity]]
<!-- Idee Animation: Rechner wird infiziert -> meldet sich beim C&C (443) -> viele Bots -> gemeinsamer DDoS/Spam. Doppelnutzung: Recap Cybersec2 + Einstieg + Selbststudium. -->

Aktuelle Version vom 21. Oktober 2026, 16:51 Uhr

Botnetze

Was ist ein Botnetz?

  • Ein Bot ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
  • Ein Botnetz ist die Summe vieler solcher Bots, die ein Angreifer (Botmaster) zentral steuert.
  • Gesteuert wird über einen Command-and-Control-Server (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
  • Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.

Wie ein Rechner zum Bot wird

  1. Infektion: über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe Schadsoftware/Malware).
  2. Anmelden: Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
  3. Warten und Gehorchen: Der Bot fragt regelmäßig nach Befehlen (Beaconing) und führt sie aus.

Wofür Botnetze genutzt werden

  • DDoS: alle Bots greifen gleichzeitig ein Ziel an (siehe DDoS-Angriffe).
  • Spam und Phishing in Massen versenden.
  • Zugangsdaten und Daten stehlen.
  • Kryptomining auf fremde Kosten.
  • Weitervermieten: Rechenleistung und Zugänge werden als Dienst verkauft (Malware-as-a-Service).

Steuerung: zentral oder verteilt

Aufbau Prinzip Schwäche für den Angreifer
Zentral (ein C&C-Server) einfach, alle Bots melden sich bei einer Adresse fällt der Server weg, ist das Netz tot
Mehrere C&C / Domain-Wechsel wechselnde Adressen (Fast Flux, Domain Generation) schwerer abzuschalten, aber aufwendiger
Peer-to-Peer Bots geben Befehle untereinander weiter, kein fester Server kaum durch Abschalten eines Servers zu stoppen

Erkennen und schützen

Am einzelnen Rechner
  • Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
Im Netz (unser Kurs)
  • Ausgehenden Verkehr beobachten: Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
  • Verdächtige Ziele am Proxy und per DNS-Filter sperren.
  • Das IDS schlägt bei bekannten C&C-Mustern an: OPNsense Suricata.
  • Auffälligkeiten zentral zusammenführen: SIEM.

Animation

Merksatz

Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr

Siehe auch

Abgerufen von „http://wiki.xinux.net/index.php?title=Botnetze&oldid=73903“