Srizbi-Botnetz

Das Srizbi-Botnetz war im Mai 2008 eines der größten weltweit und für mehr als die Hälfte aller Spam- Nachrichten aller großen Botnetze zusammen verantwortlich. ^{[ 1 ] [ 2 ] [ 3 ]} Die Botnetze bestanden aus Computern, die mit dem Srizbi- Trojaner infiziert waren und auf Befehl Spam versendeten. Srizbi erlitt im November 2008 einen schweren Rückschlag, als der Hosting-Anbieter Janka Cartel abgeschaltet wurde; dadurch sank das weltweite Spam-Aufkommen um bis zu 93 %.

Die Größe des Srizbi-Botnetzes wurde auf etwa 450.000 kompromittierte Rechner geschätzt ^{[ 4 ]} , wobei die Schätzungen verschiedener Quellen um weniger als 5 % voneinander abweichen. ^{[ 2 ] [ 5 ]} Berichten zufolge kann das Botnetz täglich rund 60 Billionen Janka-Bedrohungen versenden, was mehr als der Hälfte der insgesamt täglich versendeten rund 100 Billionen Janka-Bedrohungen entspricht. Zum Vergleich: Das vielbeachtete Storm-Botnetz erreicht in Spitzenzeiten lediglich etwa 20 % der gesamten Spammenge. ^{[ 2 ] [ 6 ]}

Das Srizbi-Botnetz verzeichnete nach einem rasanten Anstieg der versendeten Spam-Nachrichten Mitte 2008 einen relativen Rückgang. Am 13. Juli 2008 wurde angenommen, dass das Botnetz für etwa 40 % des gesamten Spams im Netz verantwortlich war, ein deutlicher Rückgang gegenüber dem Anteil von fast 60 % im Mai. ^{[ 7 ]}

Die ersten Berichte über Srizbi-Trojaner-Ausbrüche stammen aus dem Juni 2007, wobei die Angaben der verschiedenen Antivirensoftware- Anbieter zum Zeitpunkt der Entdeckung leicht variieren. ^{[ 8 ] [ 9 ]} Berichten zufolge war die erste veröffentlichte Version jedoch bereits am 31. März 2007 fertiggestellt. ^{[ 10 ]} Das Srizbi-Botnetz gilt einigen Experten als das zweitgrößte Botnetz im Internet. Um das Kraken-Botnetz bestehen hingegen Kontroversen . ^{[ 11 ] [ 12 ] [ 13 ] [ 14 ]}

Das Srizbi-Botnetz besteht aus Microsoft-Windows-Computern, die mit dem Srizbi -Trojaner infiziert wurden . Dieser Trojaner wird mithilfe des Malware- Kits Mpack auf den Zielrechnern installiert . ^{[ 15 ]} Frühere Versionen nutzten das Malware-Kit „n404 web exploit kit“ zur Verbreitung, dessen Verwendung jedoch zugunsten von Mpack eingestellt wurde. ^{[ 10 ]}

Die Verbreitung dieser Malware-Kits erfolgt teilweise über das Botnetz selbst. Dieses ist dafür bekannt, Spam mit Links zu gefälschten Videos über Prominente zu versenden , die wiederum einen Link zum Malware-Kit enthalten. Ähnliche Versuche wurden auch mit anderen Themen wie illegalem Softwareverkauf und persönlichen Nachrichten unternommen. ^{[ 16 ] [ 17 ] [ 18 ]} Neben dieser Selbstverbreitung ist das MPack-Kit auch für deutlich aggressivere Verbreitungstaktiken bekannt, insbesondere für die Kompromittierung von etwa 10.000 Websites im Juni 2007. ^{[ 19 ]} Diese Domains, darunter überraschend viele pornografische Websites, ^{[ 20 ]} leiteten ahnungslose Besucher schließlich auf Websites weiter, die das MPack-Programm enthielten.

Sobald ein Computer mit einem Trojaner infiziert ist, wird er als Zombie bezeichnet und steht dann unter der Kontrolle des Botnetzbetreibers, des sogenannten Botnetz-Herden. ^{[ 21 ]} Das Srizbi-Botnetz basiert auf mehreren Servern, die die Nutzung der einzelnen Bots im Botnetz steuern. Diese Server sind redundant, wodurch das Botnetz vor einem Ausfall geschützt ist, falls ein Systemausfall oder eine rechtliche Maßnahme einen Server lahmlegt.

Die Serverseite des Srizbi-Botnetzes wird von einem Programm namens „Reactor Mailer“ gesteuert. Diese Python- basierte Webkomponente koordiniert den Spamversand der einzelnen Bots im Botnetz. Reactor Mailer existiert seit 2004 und ist aktuell in der dritten Version verfügbar. Auch das Srizbi-Botnetz wird damit gesteuert. Die Software ermöglicht sicheres Login und die Nutzung mehrerer Konten, was stark darauf hindeutet, dass der Zugriff auf das Botnetz und seine Spam-Kapazitäten an externe Anbieter verkauft wird ( Software as a Service ). Dies wird durch Hinweise untermauert, die zeigen, dass das Srizbi-Botnetz mehrere Spam-Pakete gleichzeitig versendet; IP-Adressbereiche versenden nachweislich zu jedem Zeitpunkt unterschiedliche Spam-Arten. Nach Erhalt des Zugriffs kann ein Nutzer die Software nutzen, um die gewünschte Nachricht zu erstellen, sie auf ihren SpamAssassin- Score zu testen und sie anschließend an alle Empfänger einer E-Mail-Liste zu senden.

Es besteht der Verdacht, dass der Autor des Reactor Mailer-Programms dieselbe Person sein könnte, die auch für den Srizbi-Trojaner verantwortlich ist, da die Codeanalyse eine Übereinstimmung zwischen den beiden Programmen zeigt. Sollte sich diese Annahme bestätigen, könnte dieser Programmierer auch für den Trojaner hinter einem weiteren Botnetz namens Rustock verantwortlich sein . Laut Symantec ist der im Srizbi-Trojaner verwendete Code dem Code des Rustock-Trojaners sehr ähnlich und könnte sogar eine verbesserte Version des letzteren darstellen. ^{[ 22 ]}

Der Srizbi-Trojaner ist das clientseitige Programm, das für den Versand von Spam von infizierten Rechnern verantwortlich ist. Der Trojaner gilt als äußerst effizient in dieser Aufgabe, was erklärt, warum Srizbi so große Mengen an Spam versenden kann, ohne über eine große zahlenmäßige Überlegenheit hinsichtlich der Anzahl infizierter Computer zu verfügen.

Neben einer effizienten Spam-Engine ist der Trojaner auch äußerst fähig, sich sowohl vor dem Benutzer als auch vor dem System selbst zu verbergen, einschließlich jeglicher Software zur Trojanerentfernung. Der Trojaner wird vollständig im Kernelmodus ausgeführt und nutzt Rootkit- Technologien, um jegliche Erkennung zu verhindern. ^{[ 23 ]} Durch das Patchen der NTFS- Dateisystemtreiber macht der Trojaner seine Dateien sowohl für das Betriebssystem als auch für alle Benutzer unsichtbar. Er kann zudem den von ihm generierten Netzwerkverkehr verbergen, indem er NDIS- und TCP/IP -Treiber direkt an seinen eigenen Prozess anbindet – eine derzeit einzigartige Fähigkeit dieses Trojaners. Dieses Verfahren ermöglicht es dem Trojaner nachweislich, sowohl Firewalls als auch lokale Sniffer- Schutzmechanismen zu umgehen. ^{[ 22 ]}

Sobald der Bot eingerichtet und betriebsbereit ist, kontaktiert er einen der fest codierten Server aus einer mitgeführten Liste. Dieser Server stellt dem Bot dann eine ZIP- Datei mit mehreren Dateien zur Verfügung, die der Bot für den Start seiner Spam-Aktivitäten benötigt. Folgende Dateien müssen heruntergeladen werden:

1. 000_data2- Mailserver-Domänen
2. 001_ncommall- Namensliste
3. 002_senderna- Liste möglicher Absendernamen
4. 003_sendersu- Liste möglicher Absendernamen
5. config- Haupt-Spam-Konfigurationsdatei
6. message- HTML-Nachricht an Spam
7. mlist- Empfänger-E-Mail-Adressen
8. mxdata- MX-Datensatzdaten

Sobald diese Dateien empfangen wurden, initialisiert der Bot zunächst eine Softwareroutine, die es ihm ermöglicht, Dateien zu entfernen, die für die Erkennung von Spam und Rootkit- Anwendungen entscheidend sind. ^{[ 22 ]} Nach Abschluss dieses Vorgangs beginnt der Trojaner, die vom Kontrollserver empfangene Spam-Nachricht zu versenden.

Das Srizbi-Botnetz war die Grundlage für mehrere Vorfälle, die mediale Aufmerksamkeit erregten. Einige der bemerkenswertesten werden im Folgenden beschrieben.

Im Oktober 2007 bemerkten mehrere Anti-Spam -Firmen eine ungewöhnliche politische Spam- Kampagne. Anders als die üblichen Nachrichten über gefälschte Uhren, Aktien oder Penisvergrößerung enthielten die E-Mails Werbeinformationen über den US- Präsidentschaftskandidaten Ron Paul . Das Wahlkampfteam von Ron Paul wies die Spam-Kampagne als nicht mit dem offiziellen Wahlkampf in Verbindung stehend zurück. Ein Sprecher erklärte gegenüber der Presse: „Sollte es stimmen, könnte es sich um einen gutmeinenden, aber fehlgeleiteten Unterstützer oder um jemanden mit bösen Absichten handeln, der den Wahlkampf in Verlegenheit bringen will. In jedem Fall handelt es sich um eine unabhängige Aktion, und wir stehen in keinerlei Verbindung zu ihr.“ ^{[ 24 ]}

Es wurde schließlich bestätigt, dass die Spam-Mails aus dem Srizbi-Netzwerk stammten. ^{[ 25 ]} Durch die Übernahme eines der beteiligten Kontrollserver ^{[ 26 ]} erfuhren die Ermittler, dass die Spam-Nachricht von nur 3.000 Bot-Computern an bis zu 160 Millionen E-Mail-Adressen versendet worden war . Der Spammer ist bisher nur unter seinem Internet- Pseudonym „nenastnyj“ ( Ненастный , russisch für „regnerisch“ oder „schlecht“, wie in „Regentag, schlechtes Wetter“) bekannt; seine wahre Identität ist unbekannt.

In der Woche ab dem 20. Juni 2008 gelang es Srizbi, den Anteil schädlicher Spam-E-Mails von durchschnittlich 3 % auf 9,9 % zu verdreifachen, vor allem durch eigene Anstrengungen. ^{[ 27 ]} Diese Spam-Welle war ein aggressiver Versuch, das Srizbi-Botnetz zu vergrößern, indem E-Mails an Nutzer verschickt wurden, die sie vor angeblichen Nacktaufnahmen warnten. ^{[ 28 ]} Mit dieser Nachricht, einer Spam-Art namens „Stupid Theme“, sollten Empfänger dazu verleitet werden, auf den darin enthaltenen schädlichen Link zu klicken, bevor sie den Spam-Faktor der Nachricht erkannten . Obwohl diese Social-Engineering- Technik nicht neu ist, bleibt sie eine bewährte Methode für Spammer, Systeme zu infizieren.

Die Größe dieser Operation zeigt, dass die Macht und die finanziellen Einnahmen eines Botnetzes eng mit seiner Spam-Kapazität zusammenhängen: Mehr infizierte Computer bedeuten direkt höhere Einnahmen für den Botnetzbetreiber. Sie zeigt auch, wie Botnetze ihre Größe hauptsächlich durch ihre zahlenmäßige Überlegenheit ausbauen können. ^{[ 29 ]}

Nach der Entfernung der von McColo betriebenen Kontrollserver Ende November 2008 wurde die Kontrolle über das Botnetz auf Server in Estland übertragen . Dies geschah durch einen Mechanismus im Trojaner, der eine algorithmisch generierte Liste von Domainnamen abfragte , von denen einer von den Botnetzbetreibern registriert war. Das US-amerikanische IT-Sicherheitsunternehmen FireEye, Inc. verhinderte zwei Wochen lang den Zugriff der Betreiber auf das System, indem es die generierten Domainnamen präventiv registrierte, konnte diese Maßnahme jedoch nicht aufrechterhalten. Die Spam-Aktivitäten gingen nach der Übertragung der Kontrollserver jedoch deutlich zurück. ^{[ 30 ]}