Mehr als 11 Millionen IP-Adressen weltweit waren im Laufe seiner Geschichte Teil ein und desselben Botnetzes infiziert. Zuletzt, so Crowdstrike, liefen noch über 33.000 Systeme aktiv mit, Golem beziffert die Zahl der zuletzt beteiligten PCs auf über 15.000. So genau lässt sich das bei einem dezentralen Netz offenbar nicht mehr sagen. Das Schadprogramm dahinter heißt Sality, ist seit 2003 aktiv und wurde jetzt in einer international koordinierten Operation von US-Behörden, Europol, Eurojust sowie Ermittlern aus Bulgarien, Ungarn und Rumänien zerschlagen.
Was Sality zwei Jahrzehnte lang trieb
Sality war kein klassisches Botnetz mit zentralem Kontrollserver, sondern ein Peer-to-Peer-Netzwerk. Laut Crowdstrike gab es dadurch keinen einzelnen Angriffspunkt, über den man es hätte abschalten können. Infizierte Rechner verständigten sich stattdessen direkt untereinander und über sogenannte Super-Peers, alle 40 Minuten wurde die Liste bekannter Netzwerkteilnehmer aktualisiert. Verbreitet hat sich die Schadsoftware klassisch als Dateiinfektor über Netzwerkfreigaben, Wechseldatenträger und Filesharing – also genau die Wege, über die auch zwanzig Jahre nach ihrem Auftauchen noch neue Systeme dazukamen.
Genutzt wurde das Netzwerk für alles, was sich mit fremder Rechenleistung anstellen lässt: Zugangsdaten abgreifen, Spam verschicken, als Proxy dienen, DDoS-Angriffe ausführen und, in jüngerer Zeit, Kryptowährungen stehlen. Dabei tauschte die Malware kopierte Wallet-Adressen heimlich in der Zwischenablage infizierter Systeme aus – laut US-Justizministerium wurden darüber umgerechnet rund 150.000 US-Dollar an Kryptowerten erbeutet, bei einem Portfolio-Höchstwert von rund 4 Millionen US-Dollar.
Der unsichtbare Ressourcenverbrauch
Neben dem finanziellen und dem Datenschutzschaden interessiert mich an solchen Meldungen vor allem das, was in der Berichterstattung meist untergeht: der schiere Ressourcenverbrauch eines Netzwerks, das ausschließlich zum Nutzen eines Kriminellen läuft. Rechne ich die von Crowdstrike genannten 40-Minuten-Zyklen einfach auf die zuletzt aktiven gut 33.000 Systeme hoch, kommen allein für die Selbstorganisation des Netzwerks – ohne jede Nutzlast, ohne Spam, ohne DDoS – rund 1,2 Millionen Verbindungsaufbauten pro Tag zusammen. Das ist eine grobe Überschlagsrechnung auf Basis der genannten Zahlen, keine gemessene Netzwerklast, aber sie zeigt die Größenordnung: Datenverkehr, der niemandem nützt außer dem Betreiber des Netzwerks.
Dazu kommt der Speicherbedarf. Sality ist ein Dateiinfektor, es hängt sich also an bestehende ausführbare Dateien an und vergrößert sie dabei. Jede infizierte Datei auf jedem der zuletzt über 33.000 Systeme belegt mehr Platz, als sie ohne die Infektion bräuchte, dazu kommen die Signaturen, Sperrlisten und Sinkhole-Protokolle, die Sicherheitsfirmen und Strafverfolger seit mehr als zwei Jahrzehnten pflegen müssen. Der eigentliche Umweltfaktor an einem Botnetz ist also nicht eine einzelne große Zahl, sondern die Summe aus unzähligen kleinen, komplett sinnlosen Vorgängen, multipliziert über Jahre.
Virenscanner und der Blick in den Router
Ein Fall wie Sality taucht selten in den Nachrichten auf, gerade weil ein gut gemachtes Botnetz genau das vermeidet: auffällig zu werden. Zwei einfache Gewohnheiten reichen aus meiner Beratungspraxis trotzdem aus, um so etwas frühzeitig zu bemerken.
Dazu gehört ein regelmäßiger, vollständiger Virenscan, nicht nur ein Schnelltest, gerade auf Systemen, die auch Wechseldatenträger oder Netzwerkfreigaben nutzen. Sality hat sich über genau diese Wege zwanzig Jahre lang unbemerkt verbreitet. Wer nach der Sinkholing-Operation eine Benachrichtigung seines Providers bekommt, sollte sie ernst nehmen: Die Kontrolle durch den Betreiber ist zwar weg, das eigentliche Problem auf dem Rechner nicht.
Der eigentliche Schaden eines Botnetzes entsteht nicht erst durch den Angriff, für den es irgendwann genutzt wird, sondern schon durch jeden Tag, an dem es unbemerkt weiterläuft.
Quellen: Behörden zerschlagen 23 Jahre altes Botnetz (Golem) · Pressemitteilung der US-Staatsanwaltschaft · Europol: Global public-private operation disrupts Sality botnet · Crowdstrike: Inside the Sality Botnet Disruption Operation