Trickbot: US-Militär greift Botnetzwerk an

Gleich mehrere Angriffe sollen die Betreiber des Botnetzes und der Schadsoftware Trickbot beschäftigt halten.

Artikel veröffentlicht am 12. Oktober 2020, 11:19 Uhr, Moritz Tremmel

US-Soldaten im Cyberspace. (Bild: Justin Sullivan/Getty Images)

Seit Ende September fährt das US-Militär eine Operation gegen die Schadsoftware und eines der größten Botnetzwerke Trickbot. Mit mehreren Angriffen sollen dem Netzwerk die Bots entrissen und die Datenbank auf dessen Kontrollserver mit nicht-existierenden Bots gefüllt worden sein.

Laut einem Bericht der Washington Post sollen mit der Operation die US-Präsidentschaftswahlen im November vor Angriffen geschützt werden. Die Schadsoftware Trickbot hat es auf Zugangs- und Bankdaten auf den befallenen Systemen abgesehen, gefolgt von einer Verschlüsselung des befallenen Systems und einer damit einhergehenden Lösegeldforderung.

Derlei Angriffe aus staatliche Wählerregistrierungsstellen und damit verbundene Systeme könnten die Vorbereitungen für die US-Präsidentschaftswahl am 3. November stören oder am Wahltag selbst für Verwirrung oder lange Schlangen sorgen, befürchten Beamte des US-Heimatschutzministeriums laut dem Bericht. Ransomware werde jedoch auch über die Wahlen hinaus als eine große Bedrohung gesehen.

Die Angriffe des Cyber Commands des US-Militärs sollen derweil nicht dazu dienen, das Botnetzwerk dauerhaft zu demontieren. Vielmehr solle damit die russischsprachige Gruppe hinter Trickbot eine Weile abgelenkt und beschäftigt gehalten werden, schreibt die Washington Post unter Berufung auf vier US-Beamte. Das Cyber Command nennt die Strategie "beharrliches Engagement" (persistent engagement), die Auferlegung kumulativer Kosten auf gegnerische Gruppen, indem man sie beschäftigt hält.

Konfigurationsdateien ausgetauscht

Laut dem Journalisten Brian Krebs wurden den Bots bei den Angriffen neue Konfigurationsdateien untergeschoben. Diese enthielten eine neue IP-Adresse für die Command-and-Control-Server des Botnetzwerkes: 127.0.0.1. Diese verweist nicht mehr auf Kontrollserver im Internet, sondern auf den lokalen Rechner selbst. Die Verbindung wurde gekappt. Gleichzeitig wurden die Command-and-Control-Server mit Millionen neu-infizierten Rechnern überschwemmt, die jedoch gefälscht waren.

Allerdings könne die Trickbot-Gruppe auf einen Wiederherstellungsmechanismus setzen und die Bots über das dezentralisierte Domänennamensystem EmerDNS wiederherstellen, schreibt Krebs. Insofern dürften die Angriffe die Trickbot-Gruppe vor allem beschäftigt halten, die möglicherweise die Lösegeldforderungen bei bereits verschlüsselten Rechnern erhöhen, um ihre Einnahmeausfälle auszugleichen.

Bereits im Juli hatte Trickbot Probleme mit einer ausgespielten Testversion, die vor sich selbst warnte. Ende Juli wurden die Server der Schadsoftware Emotet gehackt und die darüber verteilte Schadsoftware kurzerhand durch animierte GIFs ersetzt. Emotet kommt häufig im Huckepack mit Trickbot und ist beispielsweise für den monatelangen Ausfall des Berliner Kammergerichtes verantwortlich. Auch dort sammelte Trickbot Zugangsdaten.