Abo
  • Services:
Anzeige
Ein Botnetz breitet sich ungehemmt aus, obwohl dessen Schadsoftware bereits seit längerem bekannt ist.
Ein Botnetz breitet sich ungehemmt aus, obwohl dessen Schadsoftware bereits seit längerem bekannt ist. (Bild: Tigersecurity)

Netzangriffe: DDoS-Botnetz weitet sich ungebremst aus

Ein Botnetz breitet sich ungehemmt aus, obwohl dessen Schadsoftware bereits seit längerem bekannt ist.
Ein Botnetz breitet sich ungehemmt aus, obwohl dessen Schadsoftware bereits seit längerem bekannt ist. (Bild: Tigersecurity)

Ein kürzlich entdecktes Botnetz für DDoS-Angriffe breitet sich nach Angaben von Experten ungehemmt aus. Inzwischen seien auch Windows-Server gefährdet. Der Zweck der darüber gefahrenen Angriffe bleibt aber unklar.

Anzeige

Zunächst waren es hauptsächlich Linux-Server, die mit DDoS-Malware zu einem großen Botnetz zusammengeschlossen wurden. Inzwischen gibt es aber auch Windows-Server, die in das Netz integriert werden, das nach Angaben von Datenexperten bei Tigersecurity unaufhörlich wächst. Mittlerweile werden Angriffe mit bis zu 200 Gbps gemessen, durchschnittlich seien es 180 Gbps. Dieses Volumen sei deshalb bemerkenswert, weil dabei keine Verstärker genutzt worden seien. Tigersecurity nennt das Netz Operation Distributed Dragons.

Die Angreifer hatten zunächst Schwachstellen in Tomcat und Apache Struts sowie in Elastic Search genutzt, um die Malware auf Linux-Servern zu installieren. Während die Infektion recht leicht zu erkennen und zu beheben ist, ist die von den Angreifern genutzte Infrastruktur durchaus ausgefeilt. Über C&C-Server werden die infizierten Server gesteuert und können zahlreiche verschiedene Angriffe starten, darunter Flooding mit SYN-Paketen, über DNS oder UDP und über ICMP. Die Angreifer nutzen sogar übernommene Rechner als C&C-Server, etwa die einer Hotelkette in China oder sogar einen Server eines US-Unternehmens, das Maßnahmen gegen DDoS-Angriffe anbietet.

Adressbuch von angreifbaren Servern

Auf den C&C-Servern seien zusätzlich ein HTTP-Dateiserver sowie Microsofts Internet Information Services installiert. Darüber werde dann weitere Schadsoftware ausgeliefert. Außerdem laufe dort Microsofts Terminal Server, vermutlich um die C&C-Server zu steuern und zu verwalten. Auf den C&C-Servern entdeckten die Datenexperten außerdem Listen von funktionierenden 0Days sowie eine Liste von IP-Adressen von Servern samt gültigen Zugangsschlüsseln. Diese hatten die Angreifer offenbar über diverse Schwachstellen in SSH-Diensten ergaunert. Bemerkenswert sei auch der Einsatz der Verwaltungssoftware China Chopper. Es handle sich dabei um eine Web-basierte Shell für Linux und Windows-Rechner, die äußerst schwierig zu entdecken sei. Außerdem gebe es vier verschiedene Werkzeuge, mit denen die DDoS-Angriffe oder die übernommenen Rechner gesteuert werden können.

Die Verwendung dieser Software weise auch auf das Herkunftsland der Urheber des Botnetzes hin: China. Das geht auch aus einer Analyse der Gruppe Malware Must Die hervor. Allerdings sei es nahezu ausgeschlossen, dass die Angreifer im Auftrag der Regierung handelten, denn auch chinesische Behördenrechner seien Opfer der großangelegten Angriffe gewesen. Die meisten angegriffenen Rechner seien in Kanada zu verzeichnen, gefolgt von den Niederlanden, Ungarn und Deutschland.

Zweck noch ungewiss

Tigersecurity geht in seiner aktuellen Analyse davon aus, dass die Anzahl der gekaperten Rechner sowie die Intensität der Angriffe aus diesem einen Botnetz weiter zunehmen werden. Inzwischen sei auch die Windows-Variante der Angriffssoftware im Umlauf. Möglicherweise sind auch Heimrechner mit installiertem Windows Ziel der Angreifer geworden. Eine Variante für die ARM-Plattform gibt es bereits und sie wird vermutlich auf gehackten Routern genutzt.

Welchem Zweck die DDoS-Angriffe dienen, lässt sich gegenwärtig nicht erklären. Die angegriffenen Rechner kämen aus teils erheblich unterschiedlichen Unternehmenssparten und es lasse sich deshalb keine einheitliche Linie erkennen. Möglicherweise handeln die Angreifer im Auftrag von Kunden, die ihren Rivalen schaden wollen. Auch damit lässt sich offenbar inzwischen gutes Geld verdienen.


eye home zur Startseite
Moe479 23. Okt 2014

die frage was richtig und was falsch konfiguriert ist, ist eine frage des...

wirehack7 23. Okt 2014

Process Explorer und die laufenden Dienste anschauen. Das lustige ist, derzeit hat die...

AllDayPiano 23. Okt 2014

Was ist daran denn bitte passend? Du erfindest unzählige Eigenschaften zu einer...

nicoledos 22. Okt 2014

;) bei Botnetzen steht das eher für "Command and Control"



Anzeige

Stellenmarkt
  1. init AG, Karlsruhe
  2. BG-Phoenics GmbH, Hannover
  3. Haufe Akademie GmbH & Co. KG, Freiburg im Breisgau
  4. MBtech Group GmbH & Co. KGaA, Regensburg, Neutraubling


Anzeige
Blu-ray-Angebote
  1. 149,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. Interstellar 8,99€, Django Unchained 8,99€, Das Leben des Brian 7,99€)
  3. 9,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Tipps für IT-Engagement in Fernost


  1. Autonomes Fahren

    Suchmaschinenkonzern Yandex baut fahrerlosen Bus

  2. No Man's Sky

    Steam wehrt sich gegen Erstattungen

  3. Electronic Arts

    Battlefield 1 setzt Gold, aber nicht Plus voraus

  4. Kaby Lake

    Intel stellt neue Chips für Mini-PCs und Ultrabooks vor

  5. Telefonnummern für Facebook

    Threema profitiert von Whatsapp-Datenaustausch

  6. Browser

    Google Cast ist nativ in Chrome eingebaut

  7. Master of Orion im Kurztest

    Geradlinig wie der Himmelsäquator

  8. EU-Kommission

    Apple soll 13 Milliarden Euro an Steuern nachzahlen

  9. Videocodec

    Für Netflix ist H.265 besser als VP9

  10. Weltraumforschung

    DFKI-Roboter soll auf dem Jupitermond Europa abtauchen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Avegant Glyph aufgesetzt: Echtes Kopfkino
Avegant Glyph aufgesetzt
Echtes Kopfkino

Next Gen Memory: So soll der Speicher der nahen Zukunft aussehen
Next Gen Memory
So soll der Speicher der nahen Zukunft aussehen
  1. Arbeitsspeicher DDR5 nähert sich langsam der Marktreife
  2. SK Hynix HBM2-Stacks mit 4 GByte ab dem dritten Quartal verfügbar
  3. Arbeitsspeicher Crucial liefert erste NVDIMMs mit DDR4 aus

Wiper Blitz 2.0 im Test: Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
Wiper Blitz 2.0 im Test
Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
  1. Softrobotik Oktopus-Roboter wird mit Gas angetrieben
  2. Warenzustellung Schweizer Post testet autonome Lieferroboter
  3. Lockheed Martin Roboter Spider repariert Luftschiffe

  1. Re: Datenschutz / Täterschutz

    cuthbert34 | 22:45

  2. Re: Das Spiel ist okay (auf der PS4)

    cuthbert34 | 22:40

  3. Re: CM13 von SultanXDA...

    moepvieh | 22:39

  4. Re: Wie bescheuert muss man eigentlich sein

    NaruHina | 22:39

  5. Re: Warum berichtet ihr eigentlich nicht von Wire?

    Wallbreaker | 22:38


  1. 17:39

  2. 17:19

  3. 15:32

  4. 15:01

  5. 14:57

  6. 14:24

  7. 14:00

  8. 12:59


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel