US-Forscher übernehmen Botnet "Torpig"

Einen dieser Server konnten die Wissenschaftler aus Santa Barbara Anfang 2009 für zehn Tage übernehmen und somit Torpig untersuchen. Wie diese Übernahme gelang und warum das Botnetz nicht weiter unter Kontrolle oder geschwächt wurde, geben sie nicht an. Die Forscher erklären jedoch in ihrem ausführlichen Bericht (PDF) zu der Aktion, dass sie mit dem US-Verteidigungsministerium und FBI zusammengearbeitet hätten. Das sei auch notwendig gewesen, um die Daten der Personen zu schützen, welche die infizierten Rechner benutzen.

Rund 70 GByte an Informationen übermittelten die Zombie-PCs an den Control-Server der Universität im Zeitraum von zehn Tagen. Dabei fanden sich tausende von Bankdaten, aber auch Accounts für E-Mail-Dienste, Foren und andere vertrauliche Daten. Auch aufgrund dieser Daten ergaben sich interessante Rückschlüsse auf die Zahl der Rechner, die im Torpig-Netz hängen.

Die reine Zahl der IP-Adressen, welche die Control-Server anrufen, erlaubt nämlich noch keinen Rückschluss auf die Zahl der infizierten Rechner. Diese können sich beispielsweise in einem Firmennetzwerk zu hunderten hinter derselben IP verbergen. Größere Netze sind offenbar auch Torpig zum Opfer gefallen, denn unter einer IP verzeichnete der Control-Server der Sicherheitsforscher Zugriffe auf 80 Accounts bei einem Mailserver einer Universität.

Insgesamt versuchten 1,2 Millionen IP-Adressen, mit dem Control-Server der Wissenschaftler Kontakt aufzunehmen. Da Torpig aber jedem Client eine Art Seriennummer zuordnet, entspricht das nicht der Zahl der Infektionen, zudem gibt es in Botnetzen stets mehrere Control-Server. Über 180.000 der Torpig-Seriennummern meldeten sich bei dem gekaperten Control-Server, so dass die Forscher von mindestens dieser Zahl an Torpig-Zombies ausgehen.

Dass Schädlinge wie Torpig sich über Jahre nur über Länder verbreiten können, in denen der Internetzugang für Privatleute samt dem nötigen Wissen um Sicherheitsrisiken noch nicht alltäglich ist, geht aus den Daten des Experiments nicht hervor. Die meisten Zugriffe auf den Control-Server kamen aus den USA, gefolgt von Italien und Deutschland.

Über 24.000 Torpig-Seriennummern kamen dabei aus Deutschland, von diesen Rechnern wurden in nur zehn Tagen 641 Datensätze für das Log-in bei 122 Finanzunternehmen übermittelt.

Rückschlüsse auf die Autoren und Betreiber von Torpig zieht die Universität nicht. Bereits seit dem ersten Auftauchen des Schädlings wird das Programm aber mit dem berüchtigten Russian Business Network in Verbindung gebracht.