Botnetze in Deutschland: BSI meldet Millionen von Malware-Aktivitäten an Provider
Das zum Bundesamt für Sicherheit in der Informationstechnik (BSI) gehörige Computer Emergency Response Team für deutsche Bundesbehörden (Cert-Bund) hat im vergangenen Jahr 24,3 Millionen Datensätze zu Malware-Infektionen an deutsche Provider gemeldet. Das geht aus einem Mastodon-Beitrag(öffnet im neuen Fenster) hervor, den die Behörde am 6. Januar veröffentlichte.
Den Angaben zufolge meldete das Cert-Bund damit durchschnittlich 66.650 Datensätze pro Tag. Fast 90 Prozent dieser Meldungen betrafen infizierte Android-Geräte – mehr als zwei Drittel (68 Prozent) davon die vorwiegend auf Billiggeräten ab Werk installierte Badbox-Malware , weitere zehn Prozent das Vo1d-Botnetz .
Bei den Windows-Systemen war der Meldung zufolge die Bumblebee-Malware führend, gefolgt von Schadsoftware wie Amadey, Pseudomanuscript und M0yv. Selbst der bereits 17 Jahre alte Conficker-Wurm soll täglich noch immer auf etwa 200 Systemen aktiv sein. Und auch der Qsnatch-Trojaner(öffnet im neuen Fenster) soll auf einigen QNAP-Systemen weiterhin sein Unwesen treiben.
Sinkholes als Datenquelle
Die Informationen stammen laut Cert-Bund aus Sinkhole-Daten, die das BSI teilweise von Partnern erhielt und teilweise auch selber erfasste. Bei einem Sinkhole handelt es sich um(öffnet im neuen Fenster) einen Server, auf den mit Malware-Aktivitäten in Verbindung gebrachte Domains umgeleitet werden, so dass die jeweilige Schadsoftware keine Verbindung zu den Systemen der Angreifer mehr herstellen kann.
Die Verbindungsanfragen landen daraufhin beim Sinkhole-Server, so dass dieser ermitteln kann, hinter welchen IP-Adressen sich infizierte Geräte befinden. Die genaue Anzahl betroffener Geräte lässt sich dadurch allerdings nicht bestimmen, da die meisten davon über dynamische IP-Adressen kommunizieren, die sich regelmäßig ändern.
Das Cert-Bund betont zudem, dass nicht zu allen Malware-Varianten Sinkhole-Daten erfasst würden. Dies sei ebenfalls einer der Gründe, warum die genannten Zahlen "nicht die tatsächliche Verbreitung aller Schadprogramme auf Systemen in Deutschland" widerspiegelten. Ziel der Meldung der Sinkhole-Daten ist es, die jeweiligen Provider dazu zu animieren, betroffene Kunden über die Malware-Aktivitäten an ihrem Internetanschluss zu informieren.