Ein Botnet ist eine Serie von, mit dem Internet verbundenen, Computern oder Bots, die alle mit Malware des gleichen Typs oder verschiedener Typen infiziert sind. Dabei ist die Malware für den Botnet-Betrieb spezifisch. Diese Bots haben die Möglichkeit, direkt mit der Steuerzentrale, dem Command-and-Control(C&C)-Server, und manchmal miteinander zu „sprechen“, um die Befehle ihres Botmasters auszuführen.
Direkte Command-and-Control (C&C)-BotnetsDer Bot kommuniziert direkt mit einem Server oder einer Gruppe verteilter Server (C&C), um Aufgaben zu erhalten und seinen Status zu melden.
Peer-to-Peer (P2P)-BotnetsEin dezentralisiertes Bot-Netzwerk als zusätzlicher Schutz vor Abschaltung. P2P-Botnets können einen C&C-Server umfassen, aber auch eine spezifische, zufällige Struktur aufweisen, um das Botnet und dessen Zweck weiter zu verschleiern.
Der Botnet-Betreiber
Der Zentralcomputer, der Befehle an alle Bots ausgibt und von diesen Informationen empfängt.
Ein mit dem Botnet verbundenes Gerät. Meist ein Computer, Smartphone, Tablet oder Internet der Dinge-Gerät. Empfängt Betriebsanweisungen von einem C&C-Server, direkt vom Botmaster oder manchmal auch von anderen Bots im Netzwerk.
Ein dezentralisiertes Bot-Netzwerk als zusätzlicher Schutz vor Abschaltung. Kann einen C&C-Server umfassen, aber auch ohne einen operieren. In der Regel nach dem Zufallsprinzip strukturiert, um das Botnet und seinen Zweck zu verschleiern.
Ein anderer Name für einen Bot. Ein Botnet wird manchmal auch als „Zombie-Armee“ bezeichnet.
1. Ein Botmaster entwickelt ein Botnet, indem er Bot-Malware verteilt, um PCs oder andere Geräte zu infizieren. Er kann auch ein bestehendes Botnet von einem anderen Kriminellen mieten.
2. Die neu geernteten Bots oder „Zombies“ melden sich bei der Befehls- und Steuerzentrale (Command and Control, C&C) des Botnets.
3. Die C&C steuert diese Bots jetzt und gibt ihnen Anweisungen, ausführbare Malware-Dateien zu verteilen, sowie die E-Mail-Vorlagen und Adresslisten potenzieller Opfer.
4. Die infizierten Zombie-Bots empfangen die Befehle und senden jeweils E-Mail-Nachrichten mit der Malware-Fracht an Tausende potenzieller Opfer.
Obgleich der Begriff „Botnet“ in der Regel mit Cyberkriminalität in Verbindung gebracht wird, gibt es auch völlig legitime und nützliche Botnets, die besser bekannt sind als „verteilte Rechensysteme“ (Distributed Computing Systems). Botnets sind nichts weiter als eine Gruppe mit dem Internet verbundener Geräte, auf denen Software installiert wurde, die ermöglicht, dass diese Geräte kollektiv eine Funktion ausführen, die von jemandem ausgegeben werden, der das System steuert. Durch die Verteilung der Rechenleistung auf viele Plattformen können Aufgaben effizienter und kostengünstiger erledigt werden.
Das bekannteste Projekt im Bereich verteilter Rechensysteme ist wahrscheinlich SETI@home. Es nutzt die ungenutzten CPU- und GPU-Zyklen in einem Netzwerk von Computern von Freiwilligen, um Funksignale zu analysieren, die vom Arecibo Radioteleskop empfangen wurden, um sie auf Anzeichen möglicher außerirdischer Intelligenz zu untersuchen. Andere bekannte Projekte im Bereich verteilter Rechensysteme unterstützen Klimamodellierung und -prognose, Astrophysik, Börsenprognosen, Molekularbiologie und Mathematik.
Mit wenig Geld und einer Internetverbindung kann jeder ein Botnet betreiben. Nach einer anfänglichen Investition kann ein krimineller Botmaster die Ausgaben schnell mittels Botnet-Malware-Verbreitung, Spam, Phishing und sogar DDoS-Angriffen amortisieren.
Wussten Sie schon ...Wozu Botnets verwendet werden:
Botnets verteilen Malware vieler verschiedener Art, wie Banking-Malware oder Ransomware. Um Botnets zu schaffen, auszuweiten und zu pflegen, muss Malware ständig auf neuen Computern installiert werden. Die Grafik unten zeigt die riesige Anzahl an Locky-Ransomware-E-Mails, die 2016 von Bots versendet wurden. Cyren hat diese Entwicklung verfolgt. Es wird auch angezeigt, wann das Botnet pausiert hat.
Bei einer Analyse des Necurs-Botnets stellten Cyren-Forscher fest, dass sich die Bot-Malware in den ersten 24 Stunden selbst installierte, einen C&C-Server fand, ihre Software aktualisierte und Spam sowie Locky-Ransomware verbreitete. Dabei fallen drei Dinge besonders auf:
1. Der Bot ist erstaunlich hartnäckig, wenn es um das Auffinden eines C&C geht, und probiert es mit Tausenden von verschiedenen Optionen.
2 Diese zwei Jahre alte Malware schaffte es letztendlich, einen funktionstüchtigen C&C zu finden. Der C&C aktualisierte die Malware schnell und bestätigte dadurch die Resilienz der zugrunde liegenden Bedrohung.
3. Der Bot war über lange Zeiten hinweg inaktiv, wahrscheinlich aus mehreren Gründen: (a) Eine längere Wartezeit könnte die Erfassung durch automatisierte Sandboxen verhindern, (b) Inaktivität reduziert die Ressourcennutzung auf dem infizierten PC oder (c) der Bot hat eine spezifische Zielgruppe für die Spam/Malware-Kampagnen.
Wussten Sie schon ...Botnets können die Kommunikation auf folgende Weise tarnen:
