Kelihos: Botnetz-Betreiber war angeblich für Sicherheitsfirma tätig

Der Betreiber des Kelihos-Botnetzes hat nach Angaben von Microsoft früher für eine Sicherheitsfirma gearbeitet. Das Kelihos-Botnetz wurde auf Betreiben Microsofts im September 2011 stillgelegt.

Artikel veröffentlicht am 24. Januar 2012, 17:12 Uhr, Ingo Pakalski

Microsoft nennt den Verantwortlichen für das Kelihos-Botnetz. (Bild: Microsoft)

Im Gerichtsverfahren gegen die Betreiber des Kelihos-Botnetzes hat Microsofts Digital Crime Unit eine Klageänderung veröffentlicht. Demnach verdächtigt Microsoft Andrey S. aus St. Petersburg, das Botnetz Kelihos aufgebaut und betrieben zu haben. Er soll die Kelihos-Schadsoftware geschrieben und verbreitet oder zumindest daran mitgewirkt haben.

Microsoft gibt an, dass der Botnetz-Betreiber derzeit als Freiberufler für eine Software-Entwicklungs- und Beratungsfirma tätig sei. Zuvor habe er als Entwickler und Projektmanager für ein Unternehmen gearbeitet, das Virenscanner, Firewall und andere Sicherheitslösungen entwickelt. Wie die beiden Unternehmen jeweils heißen, ließ Microsoft offen. Bei den Ermittlungen wurde Microsoft von Dominique Alexander P. vom Domainprovider Dotfree Group SRO unterstützt, der zunächst als Beschuldigter genannt worden war. Mittlerweile hat sich herausgestellt, dass er nicht für das Kelihos-Botnetz verantwortlich war.

Nach Angaben des Sicherheitsspezialisten Brian Krebs war der Beschuldigte von 2005 bis 2007 für Agnitum tätig. Agnitum ist ein russisches Unternehmen, das seinen Sitz in St. Petersburg hat und sich unter anderem mit der Firewall-Lösung Outpost einen Namen gemacht hat.

Nach Krebs' Angaben ist der Beschuldigte derzeit vor allem für das Unternehmen Teknavo tätig, das Software für Finanzunternehmen entwickelt.

Im September 2011 wurde das Kelihos-Botnetz zerschlagen. Microsoft hatte dafür mit Kyrus und Kaspersky Lab zusammengearbeitet. Als das Botnetz aufgelöst wurde, soll es aus rund 42.000 Rechnern bestanden haben. Nach Angaben von Microsoft ist die betreffende Schadsoftware noch auf vielen dieser Computer aktiv. Anwender sollten auf ihren Computern kontrollieren, ob die Schadsoftware noch aktiv ist.