Gruppenpuzzle Spam im Netz

Transkript

1 Material für die Stammgruppe Willkommen zum Briefing! Deine Gruppe bildet ein CERT 1, welches die Infrastruktur des MuggelNet überwacht. Das MuggelNet besteht aus mehreren vernetzten Servern, von denen einige als Internetprovider fungieren. Sie bieten Privatpersonen die Möglichkeit an, sich mit einem Modem in das MuggelNet einzuwählen und die üblichen, auf Internetprotokollen basierenden Applikationen zu verwenden. Seit drei Stunden liegt das MuggelNet quasi brach, da ein stark erhöhtes Datenaufkommen viele der Server überlastet hat. Das Datenaufkommen ist auf einen fünfstelligen Betrag von s zurückzuführen, die suspekte Werbung beinhalten, sogenannte Spam-Mails. Die Aufgaben Deines Teams sind: - den Versender der Spam-Mails ausfindig zu machen - den Datenverkehr der Spammer zu stoppen - den Internetprovidern einen Filter zur Spam-Abwehr zur Verfügung zu stellen - den Privatpersonen zu erklären, wie sie sich vor Spam schützen können Bevor es in die Expertengruppen geht, lies jetzt den Text zu "Zustellvermerke": den Weg einer nachvollziehen. Begib Dich nun in die Dir zugewiesene Expertengruppe, und erarbeite mit den anderen dort ausführlich das bereitgestellte Informationsmaterial. Begib Dich danach zurück in Deine Stammgruppe und versuche mit Deinen CERT-Kollegen die Aufgaben zu lösen. Bereitet als Antworten Stichpunkte und Skizzen auf Papier vor, die ihr gemeinsam nach dem Gruppenpuzzle am Smartboard präsentieren könnt. Jede/r kann drankommen! Viel Erfolg! 1 Ein Computer Emergency Response Team (CERT) * + ist eine Organisation oder ein spezielles Team von IT- Sicherheitsfachleuten, das bei der Lösung von konkreten IT-Sicherheitsvorfällen (z.b. Bekanntwerden neuer Sicherheitslücken in bestimmten Anwendungen oder Betriebssystemen, neuartige Virenverbreitung oder bei Spam versendenden PCs) als koordinierende Instanz mitwirkt bzw. sich ganz allgemein mit Computersicherheit befasst (manchmal auch branchenspezifisch), Warnungen vor Sicherheitslücken herausgibt und Lösungsansätze anbietet (sogenannte Advisories). (Wikipedia, )

2 Material für die Stammgruppe "Zustellvermerke": den Weg einer nachvollziehen Die * + Headerzeilen lassen sich für die Rückverfolgung einer verwenden. Auch hierbei ist natürlich ein wenig Vorsicht geboten, um nicht plumpen (und weniger plumpen) Fälschungsversuchen aufzusitzen. Return-Path: <heinz-gustav@post.rwth-aachen.example> Diese Zeile sollte, wenn sie existiert, ganz am Anfang der stehen. Sie enthält den Envelope-From (also die Absenderangabe aus dem SMTP-Umschlag), die - wir erinnern uns - beliebig angegeben werden kann. Bringt für eine Rückverfolgung also herzlich wenig. "Received:"-Headerzeilen Die "eigentlichen" Zustellvermerke sind die "Received:"-Headerzeilen, die jeweils vor dem Weiterschicken einer vom Mailserver vorne angefügt werden. Man muß sie also rückwärts (!) lesen: die letzte Received:-Zeile ist die oberste (!). Daraus resultiert zweierlei: die oberste "Received:"- Zeile wurde vom eigenen Mailserver (bzw. dem des Providers) erzeugt - sie ist also vertrauenswürdig. Und: die übrigen genannten Headerzeilen müssen normalerweise unterhalb der "Received:"-Zeilen stehen, da sie ja schon bei der Einlieferung vorhanden waren. Andererseits könnten natürlich auch vorgeschriebene Headerzeilen bei der Einlieferung gefehlt haben, die dann erst später von einem der empfangenden Mailserver ergänzt wurden und daher über der ersten "Received:"-Zeile stehen. Dennoch: Wenn "mittendrin" noch einmal "Received:"-Zeilen auftauchen, handelt es sich mit hoher Wahrscheinlichkeit um Fälschungen, die einfach vom Absender schon vor dem ersten Versenden eingefügt wurden. Gleiches gilt, wenn sich "Lücken" zwischen einzelnen "Received:"-Zeilen auftun. Eine "Received:"-Zeile gibt immer an, wer die Mail von wem empfangen hat. Das heißt: Wenn jetzt A die Mail von B bekommen hat, muß als nächstes eine Zeile folgen, in der B die Mail von C bekommen hat. Beachten muß man dabei allerdings, daß ein und derselbe Rechner durchaus mehrere "Namen" haben kann. So wird ein Rechner, der den -Verkehr erledigt, vielleicht mail.domain.example heißen. Wenn derselbe Rechner auch für das WWW und News zuständig ist, heißt er vielleicht auch noch und news.domain.example - das ist aber immer noch derselbe Rechner. Quelle: ( )

3 Material für die Expertengruppe Botnets A botnet, like most distributed systems, is a collection of otherwise independent computers working cooperatively to accomplish a distributed task. However, the term botnet is reserved specifically for describing distributed computing systems designed and used for illegal and malicious purposes. One feature that particularly distinguishes botnets from other distributed computing systems is that botnets are typically composed of machines that have been compromised and assimilated into the botnet without their owners knowledge or consent. The compromised computers are referred to as drones or zombies. The software application inserted and hidden on a computer that executes botnet commands is called a bot. The people who manage botnets are referred to as herders. Building a botnet involves assimilating drones into the collective. Bot software can be spread by a number of means, including: spam s, infected files, scripts inserted by malicious Web sites, or drones actively seeking and infecting other computers with security holes. Quelle: Long: The Lazy Person s Guide to Botnets One of the traditional mechanisms for controlling botnets is Internet Relay Chat. IRC has been a common Internet communications standard for a long time. It is simple to use, flexible and easy to adapt to a variety of functions. Bot applications are programmed to connect the infected PC to an IRC server and accept commands as they are posted to the chat server, so this is a realtime C2 [Anm.: Command&Control] protocol. Bot herders can either use existing chat services and networks or set up their own control servers by installing an IRC program that runs in the background on one of the infected PCs in the botnet. The main disadvantage of IRC for a bot herder is that traffic is generally transmitted as clear text. This makes finding and analyzing botnet messages relatively easy if you know what to look for and have the right tools. Herders have adapted by using encryption to mask their bot commands, but any encrypted traffic will stand out among all the clear text. Botnets may also use hypertext transfer protocol for C2. With this method, the drone browses a Web page looking for instructions. However, unlike IRC, using HTTP requires the drone to periodically refresh the command page, so herders cannot send commands in real time. HTTP has an advantage over IRC in that it is not usually blocked by firewalls and monitoring the communication will not reveal any information about other drones on the network.

4 Material für die Expertengruppe Spam-Server Spam aus USA Schlag gegen den Müll Wer gerne im Internet Potenzpillen bestellt, muss zurzeit mit einem knapperen Angebot auskommen. Internetprovider haben einen der größten Spam-Versender lahmgelegt. Noch sind sich Wissenschaftler uneins, ob Spam tatsächlich ein lohnendes Geschäft ist: Machen die Versender von unerwünschten Werb s mehr Umsatz als die weltweite Rauschgiftmafia? Geplagten Nutzern, deren -Postfach täglich überquillt, helfen diese Informationen nicht wirklich weiter. Hier bewährt sich meist nur ein funktionierender Spamfilter - oder das rigorose Durchgreifen von Internetprovidern. Wie die Washington Post berichtet, haben zwei amerikanische Internetprovider am Dienstag dem kalifornischen Hoster McColo die Leitungen gekappt und ihn damit vom Netz genommen. Daraufhin sank nach Angaben der Zeitung das weltweite Spam-Aufkommen noch am selben Abend um 66 Prozent. Millionen verseuchte PCs Nach Erkenntnissen der IT-Sicherheitsexperten ist McColo ein sogenannter Bulletproof Hoster. Die Firma verfügte also über sogenannte Botnetz-Master-Server. Damit lassen sich Millionen verseuchte PCs zum Verbreiten von Spam für gefälschte Arzneien und Designerware steuern. Nach Angaben von Experten war McColo bislang für 75 Prozent des weltweiten Spam-Aufkommens verantwortlich. Fraglich ist aber, ob dieser Rückgang von Dauer sein wird. Die Spammer werden früher oder später wohl eine neue Firma für ihre illegalen Aktivitäten finden - sei es in Amerika, Russland oder China. Aus diesen Ländern kommen die meisten Spam-Attacken. Pro Tag fließen rund 160 Milliarden illegale s durchs Internet. Zwar überwinden nur etwa fünf Prozent die Spamfilter der -Anbieter. Tatsächlich angeklickt wird nur jede bis Die Adressaten, die sich dann tatsächlich von den Angeboten für gefälschte Pillen haben ködern lassen und auf die entsprechende Website geklickt haben, kaufen ein bis drei Prozent die Produkte auch ein. Ein illegaler Online-Pharma-Versender erwirtschaftet nach Expertenschätzung mit dieser Praxis rund 150 Millionen Dollar Umsatz pro Jahr. Der vom Netz genommene Hoster war allerdings nicht nur auf Spam spezialisiert. Wie die Washington Post weiter berichtet, lagen bis zu 40 Webseiten mit Kinderpornographie auf den Servern von McColo. Sie verzeichneten zwischen und Besucher pro Tag. Auch bei einem Hacker-Angriff, bei dem mittels Trojanern mehr als eine halbe Million Bank- und Kreditkartendaten gestohlen wurden, waren Server der Firma beteiligt. Ob die amerikanischen Polizeibehörden gegen McColo ermitteln, ist nach Angaben der Washington Post derzeit noch unklar. Weder das FBI noch der Secret Service gaben zu diesem Fall eine Stellungnahme ab. Nach US-Recht können Webhoster für illegale Aktivitäten innerhalb ihres Netzwerkes nicht haftbar gemacht werden - außer bei Urheberrechtsverstößen und Kinderpornographie. Quelle: ( )

5 Material für die Expertengruppe Spam-Filter und Anti-Filter-Techniken Spamfilter arbeiten mit unterschiedlichen Techniken, die oftmals miteinander kombiniert werden. Hier ein paar Beispiele: Bayes-Filter: Wörter in der Mail werden anhand der Einteilung, ob eine Mail Spam ist oder nicht, mit Wahrscheinlichkeiten belegt. Der Durchschnittswert der Mail entscheidet, ob ein Schwellenwert überschritten wird und die Mail selbst Spam ist. Dadurch wird automatisch die Gewichtung der Wörter neu angepasst, der Filter lernt selbstständig. Blacklists: In einer Liste werden die URLs und IPs bekannter Spamserver gespeichert und bei eingehendem Spam geblockt. MXLookup: Die Spamfilter versuchen, an die reply-to-angabe im Mail-Header eine Testmail zu schicken. Schlägt dies fehl, handelt es sich höchstwahrscheinlich um Spam. Spammer versuchen, Filtertechniken durch immer neue Methoden zu umgehen. Ein paar Techniken werden hier vorgestellt: Kreative Rechtschreibfehler: Einzelne Wörter werden absichtlich falsch geschrieben, indem deren Buchstaben durch Zahlen oder Sonderzeichen ausgetauscht werden, die wie die Buchstaben aussehen. Beispiel: vlagra, vi4gr4 oder \/iagra Unsinniger Text: Um den Schwellenwert des Bayes-Filters nicht zu erreichen, wird die Spam-Mail durch möglichst viel normalen Text aufgebläht. Verschleierter HTML-Text: Die Schlüsselwörter werden innerhalb einer HTML-Mail zum Beispiel buchstabenweise in eine Tabelle geschrieben, so dass der Spamfilter im Quelltext keine ganzen Wörter erfassen kann. Buy wird zu <td> B</td> <td>u </td> <td>y </td> Personalisierte Mails: Spammer betiteln ihre Mails mit direkten Ansprachen wie Nachricht von Sandy oder Ihre Bestellung vom in der Hoffnung, dass der Empfänger die Mail ernst nimmt. Verschleierte URLs: Da Spamfilter innerhalb der Mail verdächtige Links mit einer Blacklist abgleichen können, werden oft die URLs als IP oder als solche in anderen Zahlensystemen dargestellt und verschleiert: So verweist die IP auf aber auch oder Gefälschter Absender: Es ist unkompliziert, im Absenderdatenfeld einer Mail falsche Angaben zu machen. Dieses Feld wird vom SMTP-Protokoll auch gar nicht benötigt! Gefälschte Routingdaten im Header: Spammer, die ihre Mails zum Beispiel über Botnetze verschicken, versuchen die Mailserver der Zieladressen direkt über ihre IP anzusprechen. Damit ist es möglich, eine gefälschte Routinginformation in den Mail-Header zu speichern.

6 Material für die Expertengruppe Adressen für Spammer Wie kommen Spammer an Ihre -Adresse? Ausprobieren Viele -Serviceanbieter, z.b. GMX, HotMail, Web.de, Yahoo, usw., haben sehr viele Kunden. Für Spammer lohnt es sich in diesen Fällen, einfach alle Buchstabenoder Silbenkombinationen der Reihe nach durchzuprobieren. Wenn eine nicht zurückkommt, stehen die Chancen gut, dass sie angekommen ist. Wenn z.b. der E- Mail-Serviceanbieter bei jeder ungültigen Adresse eine Antwort schickt, dass die E- Mail nicht zugestellt werden konnte, so sind alle Adressen gültig, bei denen keine solche Antwort kommt. Bingo! Einsammeln Wenn Sie im Internet unterwegs sind, hinterlassen Sie Spuren. In einem Beitrag in einer News-Group müssen Sie zum Beispiel Ihre -Adresse hinterlassen. In der EU sind sie gesetzlich verpflichtet, auf Ihrer Webseite ein Impressum mit Kontaktmöglichkeiten inklusive -Adresse anzugeben. Spammer betreiben Programme ("Harvester", "Robots" oder "Spider"), die automatisch alle - Adressen, die sie in News-Groups und im Internet finden, einsammeln. Eintragen Wenn Sie sich für einen Newsletter anmelden oder in eine Mailingliste eintragen, müssen Sie Ihre korrekte -Adresse angeben. Einige Newsletter werden nur betrieben, um an die -Adressen der Abonnenten zu gelangen ("Kostenlose Nacktfotos täglich per "). Mailinglisten hingegen werden meistens über ein Programm verwaltet und betrieben. Einige dieser Programme bieten Optionen, sich eine Liste aller Abonnenten per zuschicken zu lassen. Falls der Betreiber der Mailingliste diese Option nicht sperrt, ist sie natürlich ein besonderer Leckerbissen für Spammer. Denn die Mitglieder der Mailingliste haben alle mindestens ein gemeinsames Interessengebiet: Das Thema der Mailingliste!

7 Material für die Expertengruppe Adressen für Spammer Bestätigen Wenn Sie Spam erhalten, sollten Sie sich nie direkt beim Absender beschweren! Denn durch die Beschwerde bekommt er eine direkte Bestätigung, daß die -Adresse aktiv genutzt wird. Gleiches gilt für die Links, die am Ende einiger Spam-Mails angeboten werden: "Um nicht mehr über unsere Produkte informiert zu werden, klicken Sie bitte hier:..." Nicht klicken! Auch hier bestätigen Sie nur, dass die - Adresse korrekt ist und benutzt wird. Sie würden nur noch mehr Spam erhalten. Mit Auto-Reply und Abwesenheitsschaltung ("Danke für Ihre - ich beantworte sie, wenn ich am 8. aus dem Urlaub zurück bin!") erreichen Sie übrigens das gleiche. Kaufen Listen mit Millionen von -Adressen können gegen geringes Entgelt erworben werden. Spam-Mails, die entsprechende CDs bewerben, haben Sie vermutlich selber schon erhalten. Missbrauchen Eine relative neue Entwicklung ist die Benutzung von Spam-Bot-Netzwerken. Dabei werden Firmen- und Privatrechner ("Wirte") mit Viren infiziert, die ein Netzwerk aufbauen. Diese sogenannten "Bots" (von "Roboter") sammeln auf dem infizierten System alle -Adressen ein, die sie finden können. Dadurch erhält der Spammer viele neue, gültige -Adressen. Irgendwann bekommen alle infizierten Wirte vom Rechner des Spammers eine E- Mail, die sie dann auf sein Kommando hin weiterverschicken. Dabei benutzen die Wirte wiederum die -Adressen, die sie auf dem jeweiligen System finden. Besonders perfide an dieser Methode ist, dass ein gültiger Absender in der steht: die -Adresse der Besitzerin bzw. des Besitzers des infizierten Rechners. Es sieht also für die Empfänger so aus, als ob diese Person ihnen Viren, Spam oder sogar s mit faschistischen Inhalten schickt! Die Besitzer der Wirts-Rechner haben mit Rufschädigung und massiven Beschwerden zu kämpfen. Quelle: ( )

8 Material für die Stammgruppe Quelltext der Mail: Return-Path: X-Flags: 1001 Delivered-To: delivery to Received: from coin.muggelnet (HELO coin.muggelnet) [ ] by tftc.muggelnet (mx112) with SMTP; 06 Feb :26: Received: from tradi.muggelnet (HELO tradi.muggelnet) [ ] by coin.muggelnet ( ) with SMTP; 06 Feb :25: Received: from sirf.muggelnet (HELO sirf.muggelnet) [ ] by tradi.muggelnet ( ) with SMTP; 06 Feb :24: Received: from bug.muggelnet (HELO bug.muggelnet) [ ] by sirf.muggelnet ( ) with SMTP; 06 Feb :23: Received: from (HELO svktb87v) [ ] by bug.muggelnet ( ) with SMTP; 06 Feb :23: X-Mailer: IRC C2 To: From: X-Priority: 3 (Normal) Message-ID: <01C E1844C0@bug.muggelnet> Date: Sat, 7 Feb :26: Reply-To: <Jessica@dacweb.com> Subject: Space Theater Content-Type: multipart/alternative; boundary="----01c988b2503b09fe" C988B2503B09FE Content-Type: text/plain; charset=iso Content-Transfer-Encoding: 8bit Just one small strip 10 minutes before the fun starts,and the magic begins! It works almost immediatelygwcoqgrut C988B2503B09FE Content-Type: text/html; charset=iso Content-Transfer-Encoding: 8bit <HTML><HEAD></HEAD> <BODY bgcolor=#ffffff> <TABLE bordercolor=#ffffff cellspacing=3 cellpadding=3 width=500 bgcolor=#cf3058 border=3><tr><td><div align=center><strong><font color=#eaea00>just one small strip 10 minutes before the fun starts,<br>and the magic begins!</font></strong></div> <BR><DIV align=center><a href=" color=#000080>it works almost immediately</font></strong></a></div><br><style><address>gwcoqgrut <a href=" </BODY> </HTML> C988B2503B09FE--

9 Material für die Stammgruppe Screenshot der Spam-Mail: Netzwerktopologie des Muggelnet: Spoiler Sirf Tradi Bug Coin Tftc