Seminarvortrag. Anton Ebertzeder von

Transkript

1 Seminarvortrag von Anton Ebertzeder am

2 Überblick 1. Definitionen 2. Lebenszyklus 3. Verwendung von Botnets 4. Bekannte Botnets 5. Schutzmöglichkeiten Anton Ebertzeder 2

3 Definitionen Bot: Computerprogramm das selbstständig sich wiederholende Aufgaben abarbeitet Botnet: Zusammenschluss miteinander vernetzter Bots Bot-Master (Bot-Herder): Steuert den C&C Server C&C: Command&Control Server verteilt die von Bot- Master eingegebenen Aktionen an die Bots A/V: Antivirenprogramm IM: Instant Messanger Anton Ebertzeder 3

4 Anton Ebertzeder 4

5 Lebenszyklus 1. Konstruktion 5. Vernichtung 2. Entdeckung 4. Analysieren 3. Erfassen Anton Ebertzeder 5

6 Aufbau eines Botnets (1) 1 1. Ausspähen von Schwachstellen In Betriebssystemen (Windows, Linux, ) DCOM Schwachstelle in WinXP (TCP Ports 135, 139, 445, ) File Shares (Port 445) In Anwendersoftware (Adobe Acrobat, ) Buffer-Overflows In aktiven Netzwerkkomponenten (Routern, ) 2. Ausnutzen von Schwachstellen Programmierung des Infektionsprogramms (Virus, Wurm, ) Anton Ebertzeder 6

7 Aufbau eines Botnets (2) 1 3. Programmierung des eigentlichen Bots Software erstellen C&C Server einrichten 4. Freisetzung der Infektionssoftware Phishing- s Infizierte Webseiten IRC-Chat P2P-Netzwerke Anton Ebertzeder 7

8 Aufbau eines Botnets (3) 1 5. Nachladen und installieren des eigentlichen Bots 6. Warten auf Befehle 7. Ausführen der Befehle 8. Evtl. Deinstallation des Bots und Spurenvernichtung Anton Ebertzeder 8

9 Aufbau eines Botnets (4) 1 Klassisches Botnet IRC-Server als C&C Bots sind mit IRC- Server verbunden Bot-Herder überträgt Aufgaben via IRC Nachteile: IRC-Server kann blockiert werden Einfach aufzudecken (Verbindung zum IRC-Server) Anton Ebertzeder 9

10 Aufbau eines Botnets (5) 1 HTTP-Botnets Server im Web als C&C Bots fragen zyklisch am Server nach neuen Aufgaben Nachteile C&C Server kann blockiert werden Einfach aufzudecken durch längeres beobachten des Netzwerkverkehrs Anton Ebertzeder 10

11 Aufbau eines Botnets (6) 1 P2P-Botnets Bots als C&C Server Dezentrale Struktur Bot-Herder verteilt Aufgaben über P2P-Netzwerk Nachteile: Verteilung der Aufgaben dauert einige (wenige) Momente länger Anton Ebertzeder 11

12 Entdeckung 2 Überwachung des Internets durch: CERTs (DFN, Siemens, ) Sicherheitsfirmen (Symantec, Sophos, Kaspersky, ) Verstärkte Meldungen über SPAM, DDOS, Hohes Traffic-Aufkommen in bestimmten Bereichen Rückmeldungen von A/V-Software Analyse von SPAM-/Phishing-Mails Analyse der Webseiten Analyse der ggf. geladenen Schadprogramme Anton Ebertzeder 12

13 Erfassen 3 Einfangen des Bots: Single Host Analyse Honeypots (HoneyBOT, Nepenthes, Sebek, ) Einsatz von VM (VM Ware, VirtualBox, ) Anton Ebertzeder 13

14 Analyse 4 Tiefgehende Analyse des Bots: Debugging Netzwerkverkehr aufzeichnen und beobachten Teil des Botnets werden C&C Server ausfindig machen Anton Ebertzeder 14

15 Vernichtung 5 Sperren der C&C-Server Löschen der DNS-Einträge Sperren der IPs Abschalten der Server Kontrollübernahme Übernahme der Kontrollserver (IRC) Neue, eigene Kontrollserver melden Jedoch nicht löschen des Bots von infizierten Rechnern Anton Ebertzeder 15

16 Anton Ebertzeder 16

17 Verwendung DDoS-Attacken Phishing Spam versenden (86,3% aller Mails sind SPAM) Suchspam Adware und Schadprogramme Pay-per-Click Schutzgelderpressung Anton Ebertzeder 17

18 Anton Ebertzeder 18

19 Storm Bot Zwischen 1 und 10 Millionen infizierte PCs Ab Ende 2006 Anfang 2008 Verbreitung durch s mit aktuellen Themen wie Orkan Kyrill Zusätzlich: Verbreitung durch Webseiten, ausnutzen von Browser-Bugs Erkennt VMs Sammlung von Daten wie adressen Ab 2007 Verschlüsselung der Kommunikation Hauptaufgabe: SPAM versenden Anton Ebertzeder 19

20 AgoBot/PhatBot Infizierte PCs: gering / unbekannt Offener Quellcode unter der GNU Geschrieben in C/C++ Zahlreiche Funktionen: Port-Scanner Keylogger Rootkit installer DDoS Nutz Windows RPC-Schwachstellen aus Anton Ebertzeder 20

21 Mariposa Etwa 13 Millionen infizierte PCs Ab 2009: Infektion über Links in IMs, Tauschbörsen und USB-Sticks Ausnutzen von Lücken im IE Ebenfalls infiziert: 500 Großunternehmen in den USA Hauptaufgabe: Datendiebstahl Online-Banking -Konten Zugangsdaten zu Unternehmensnetzten Anton Ebertzeder 21

22 Conficker? Etwa 9 Millionen infizierter PCs Ausbreitung über eine Sicherheitslücke (Remote Code execution vulnerability) in Windows Zusätzliche Verbreitung über USB-Sticks Verhindert Zugang zu A/V-Herstellerseiten Versucht sich an Dateifreigaben anzumelden Lädt den Wurm Waledac herunter (SPAM-Worm) Kann Code nachladen Hauptaufgabe: Unklar Anton Ebertzeder 22

23 Anton Ebertzeder 23

24 Schutz vor Infektion des PCs Every Day is Patchday A/V-Software Firewall Popup-Blocker Gesunder Menschenverstand Sensibilisierung anderer Anton Ebertzeder 24

25 Schutz vor einem Botnetangriff Nahezu unmöglich! Anton Ebertzeder 25

26 Fragen / Diskussion Fragen? Anton Ebertzeder 26

27 Quellen: Botnets The Killer Web App Syngress: Binkley, Schiller ISBN: Anton Ebertzeder 27