Verbreitungsweg Usenet

Auch der Weg der Verbreitung des Pakets ist ungewöhnlich, denn laut Security Street wurde die Skynet-Malware vor allem im Usenet gefunden. Dieses Urgestein der Internetkultur mit seinen Newsgroups ist in den vergangenen Jahren vor allem zu einem Verteilsystem für Schwarzkopien aller Art geworden, was von kommerziellen Zugangsanbietern mit schnellen Downloadmöglichkeiten längst zu einem Geschäft geworden ist.

Um Tor für seine Zwecke nutzen zu können, bedient sich Skynet der Hidden Services, die einige klassische Internetprotokolle durch das Anonymisierungsnetz schleusen können. Ein solcher ist der Internet Relay Chat IRC, mit dem auch die C&Cs von Zeus-Botnets gesteuert werden können. Neben dem Bitcoin-Mining beherrscht der Trojaner auch die üblichen Funktionen eines Botnetzes wie DDoS-Angriffe.

Zombies aus den Niederlanden und Deutschland

Durch einen solchen Angriff mit Skynet konnte Security Street auch die Größe des Botnets und dessen vermuteten Ursprung abschätzen: 12.000 bis 15.000 kompromittierte Rechner sollen es sein, die vor allem in den Niederlanden und in Deutschland stehen. Dazu erhielten die Forscher die IP-Adressen der an der DDoS-Attacke beteiligten Rechner von dem Unternehmen, das angegriffen wurde. Zu beachten ist, dass sich die Clients des Botnetzes nicht hinter Tor verstecken, sondern nur der C&C - sonst würden sie bei einem DDoS-Angriff kaum Wirkung entfalten und vor allem Tor selbst schädigen.

Die Sicherheitsanalysten ziehen aus den Erfahrungen mit Skynet zwei Lehren: Zum einen sei Tor nicht nur nützlich für anonyme Kommunikation, sondern auch ein brauchbares Werkzeug für Cyberkriminelle. Zum anderen seien Schwarzkopien immer noch ein ziemlich sicherer Weg, sich Malware einzufangen. Komplizierte Methoden wie Sicherheitslücken in Browsern oder Plugins sind gar nicht unbedingt nötig, um ein funktionierendes Botnetz aufzubauen.