Botnetze
Zur Navigation springen
Zur Suche springen
Botnetze
Was ist ein Botnetz?
- Ein Bot ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
- Ein Botnetz ist die Summe vieler solcher Bots, die ein Angreifer (Botmaster) zentral steuert.
- Gesteuert wird über einen Command-and-Control-Server (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
- Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.
Wie ein Rechner zum Bot wird
- Infektion: über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe Schadsoftware/Malware).
- Anmelden: Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
- Warten und Gehorchen: Der Bot fragt regelmäßig nach Befehlen (Beaconing) und führt sie aus.
Wofür Botnetze genutzt werden
- DDoS: alle Bots greifen gleichzeitig ein Ziel an (siehe DDoS-Angriffe).
- Spam und Phishing in Massen versenden.
- Zugangsdaten und Daten stehlen.
- Kryptomining auf fremde Kosten.
- Weitervermieten: Rechenleistung und Zugänge werden als Dienst verkauft (Malware-as-a-Service).
Steuerung: zentral oder verteilt
| Aufbau | Prinzip | Schwäche für den Angreifer |
|---|---|---|
| Zentral (ein C&C-Server) | einfach, alle Bots melden sich bei einer Adresse | fällt der Server weg, ist das Netz tot |
| Mehrere C&C / Domain-Wechsel | wechselnde Adressen (Fast Flux, Domain Generation) | schwerer abzuschalten, aber aufwendiger |
| Peer-to-Peer | Bots geben Befehle untereinander weiter, kein fester Server | kaum durch Abschalten eines Servers zu stoppen |
Erkennen und schützen
- Am einzelnen Rechner
- Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
- Im Netz (unser Kurs)
- Ausgehenden Verkehr beobachten: Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
- Verdächtige Ziele am Proxy und per DNS-Filter sperren.
- Das IDS schlägt bei bekannten C&C-Mustern an: OPNsense Suricata.
- Auffälligkeiten zentral zusammenführen: SIEM.
Animation
- Animation: Vom Bot zum DDoS – wie aus einem infizierten Rechner ein Botnetz und daraus ein DDoS wird.
Merksatz
Bot = ein ferngesteuerter Rechner | Botnetz = viele davon an einem C&C | die Masse ist die Waffe | erkennbar vor allem am ausgehenden Verkehr