Das Anti-Botnet-Beratungszentrum Hilfe im Kampf gegen die Botnetz-Mafia Das Anti-Botnet-Beratungszentrum 1. Wie arbeitet das Anti-Botnet-Beratungszentrum? 2. Welche Internet Service Provider unterstützen das Projekt? 3. Wer ist am Anti Botnet Beratungszentrum beteiligt? Technische Hintergründe 1. Was sind Botnetze? 2. Was kann man gegen Botnetze tun? 3. Was ist ein Computervirus, Wurm und Trojaner? 4. Wie wird ein Computer infiziert? 5. Welchen Schaden können Botnetz-infizierte Computer anrichten? 6. Was können Internetnutzer tun, um sich gegen Schadprogramme zu schützen? 7. Wie arbeiten die DE-Cleaner? 1
Das Anti-Botnet-Beratungszentrum mit der Website www.botfrei.de Ein Projekt des eco Verband der deutschen Internetwirtschaft e.v., gegründet im Jahr 2010 mit Unterstützung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und finanzieller Unterstützung des Bundesministeriums des Innern (BMI) 1. Wie arbeitet das Anti-Botnet-Beratungszentrum? Botnetze sind eine der größten Bedrohungen im Bereich des Cybercrime Millionen von Computern weltweit werden dabei ohne das Wissen ihrer Nutzer von Cyberkriminellen gekapert und zu Netzwerken (Botnets) zusammengeschlossen, über die ferngesteuert Spam-Mails versendet, Schadsoftware verbreitet und Daten ausgespäht werden können. Die Besitzer der Rechner bemerken in den meisten Fällen nicht, dass ihr Computer Teil eines solchen Netzes ist. Das Anti-Botnet-Beratungszentrum ist eine Initiative der Privatwirtschaft zur Unterstützung von Internetnutzern bei der Sicherung ihrer IT-Systeme. Ziel des Projektes ist es, die Zahl der Botnetz-infizierten Computer deutlich zu verringern und so den Cyberkriminellen die Grundlage zu entziehen. Dazu arbeiten eco Verband der deutschen Internetwirtschaft e.v., das Bundesamt für Sicherheit in der Informationstechnik (BSI), verschiedene Internet Service Provider, Freemail-Anbieter, Soziale Netzwerke, Banken und Antiviren-Software-Hersteller eng zusammen. Das Projekt besteht aus der Kundeninformation und der Telefon-Hotline, außerdem gibt die Website www.botfrei.de zahlreiche Hilfestellungen zur Entfernung von Schadprogrammen und zur nachhaltigen Sicherung des Computers. Der Blog unter http://blog.botfrei.de informiert über aktuelle News zu Schadprogrammen und Internetsicherheit. Die Telefon-Beratung und der Live- Chat im Blog helfen zusätzlich Kunden, die mit den Anleitungen allein die Schadsoftware nicht entfernen konnten. Die teilnehmenden Internetzugangsanbieter identifizieren zunächst Computer, die Spam verschicken oder die versuchen, Schadsoftware auf andere Computer zu installieren (siehe dazu auch Technische Hintergründe, Punkt 2). Anhand der IP-Adresse ermittelt der ISP (und nur dieser kann dies) die betroffenen Kunden und informiert sie über die Infektion (z.b. per E-Mail 2
oder per Post, das ist je nach Internet Service Provider unterschiedlich). Der Kunde kann dann die Website www.botfrei.de besuchen. Dort wird der Kunde durch die Schritte Informieren Säubern Vorbeugen geführt. Er erhält grundlegende Informationen über Botnetze und kann mit dem DE-Cleaner seinen Rechner von Schadprogrammen befreien. Eine ausführliche Installationsanleitung findet sich auf der Website. Im letzten Schritt informiert die Website über Maßnahmen zur Vorbeugung gegen Neuinfektionen. Linktipps zu anderen Informationsportalen und Anti-Viren-Software ergänzen das Angebot. Sollte der Kunde mit den Anleitungen auf der Website nicht zurecht kommen oder sein Rechner nach der Durchführung der einzelnen Schritte immer noch infiziert sein, kann er sich anonym an die Beratungshotline wenden. Hierzu erhält er von seinem Internet Service Provider ein Ticket für die Beratung und die Telefonnummer der Hotline. Die Mitarbeiter der Beratungshotline führen den Kunden dann telefonisch Schritt für Schritt durch den Prozess der Schadsoftware- Entfernung. In seltenen Fällen kann es vorkommen, dass eine Reinigung mit dem DE-Cleaner nicht ausreicht. Hier hat das Anti-Botnet-Beratungszentrum die Möglichkeit, dem Kunden die DE- Cleaner Rettungssystem-CD zuzuschicken. Die Kundendaten werden nach Versand der CD wieder gelöscht. Die Wahrnehmung des angebotenen Service ist freiwillig und sollte im Interesse des Anwenders sein. Es entstehen außer den Telefongebühren zum Ortstarif keine Kosten. Seit Projekstart am 15. September 2010 haben über 1,2 Millionen Internetnutzer die Website www.botfrei.de besucht, die DE-Cleaner sind über 700.000 Mal heruntergeladen worden, über 113.000 Internetnutzer haben das Blog besucht. 2. Welche Internet Service Provider unterstützen das Projekt? An der Kundeninformation nehmen teil: 1 & 1 Deutsche Telekom GMX Kabel Baden-Württemberg 3
Netcologne QSC Unitymedia Versatel Vodafone Web.de VZ Netzwerke Diese Internet Service Provider weisen auf ihrer Website auf das Projekt hin und informieren betroffene Kunden. Von diesen Internet Service Providern nehmen derzeit zusätzlich an der Telefonischen Beratungshotline teil: 1&1 GMX Kabel Baden-Württemberg Versatel (in Planung) VZ Netzwerke Web.de 3. Wer ist am Anti-Botnet-Beratungszentrum beteiligt? Der eco Verband der deutschen Internetwirtschaft e.v. betreibt das Anti Botnet Beratungszentrum, das mit Unterstützung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und finanzieller Unterstützung des Bundesministeriums des Innern im Jahr 2010 gegründet wurde. Vergleichbare Initiativen gibt es beispielsweise in Japan, Südkorea oder Australien. 4
Die DE-Cleaner-Tools werden bereitgestellt von Avira, Norton von Symantec und Kaspersky (siehe dazu auch Technische Hintergründe, Punkt 7). Die DE-Cleaner Rettungssystem-CD wird herausgegeben von Avira, Computer Bild, BSI und eco. Sie wird betroffenen Kunden nötigenfalls von den Mitarbeitern des telefonischen Supports zugesandt. 5
Technische Hintergrundinformationen 1. Was sind Botnetze? Unter einem Botnetz wird ein Netzwerk aus Computern verstanden, die nach der Infektion mit Schadsoftware zusammengschlossen werden und, sobald eine Internetverbindung besteht, auf ferngesteuerte Befehle von Cyberkriminellen reagieren können. Die einzelnen Rechner werden als Bot oder Zombie bezeichnet; dabei ist ein Bot prinzipiell das schädigende Programm selbst, es wird jedoch häufig auch der befallene Computer so bezeichnet. Die Netzwerkanbindung und lokalen Ressourcen der infizierten Computer werden ohne Wissen der Eigentümer von Cyberkriminellen für unterschiedliche Zwecke benutzt; so kann der eigene Computer unbemerkt zum Versand von Spam verwendet werden, aber auch das Durchführen von DDoS-Attacken oder Phishing, also das Abgreifen von persönlichen Daten und Passwörtern, ist möglich. Die Betreiber von Botnetzen wollen so viele Computer wie möglich kapern, um die Ressourcen, die ihnen zur Verfügung stehen, zu vergrößern. Sie nutzen die Botnetze nicht nur selbst, sondern vermieten sie auch auf dem kriminellen Markt. Das Botnetz erhält und vergrößert sich selbst, indem es die entsprechende Schadsoftware weiterverbreitet und weitere Computer infiziert. Weltweit sind mehrere Millionen Computer Teil eines Botnetzes. Deutschland rangiert dabei in den Top Ten, nicht zuletzt, weil hier eine gute Infrastruktur des Internet zur Verfügung steht. Botnetze fungieren als infrastrukturelle Grundlage von Internetkriminalität und sind eine der größten illegalen Einnahmequellen im Internet. 2. Was kann man gegen Botnetze tun? Jeder Computernutzer sollte grundsätzlich eine Anti-Viren-Software und eine Personal Firewall verwenden und diese immer auf dem aktuellsten Stand halten; zusätzlich sollten regelmäßig System-Updates (Betriebssystem, Browser, Programme) durchgeführt werden. Aber auch die 6
Internetdiensteanbieter unternehmen etwas gegen Botnetze. Dabei kommen unterschiedliche Methoden zum Einsatz: HoneyPot-Systeme Internet Service Provider nutzen so genannte HoneyPot -Systeme ( Honigtöpfe ), die gezielt versuchen, verseuchte PCs zu identifizieren. Dabei werden ungepatchte Computer-Systeme simuliert, also absichtlich ungeschützte Rechner im System der Internetdienstleister platziert, die ein einfaches Ziel für Bots darstellen. Durch eine Analyse der Angriffe lässt sich ebenso schnell wie effektiv ein infiziertes Kundensystem identifizieren. Spamtraps Darüber hinaus betreiben Internet Service Provider Spamtrap-Systeme, also Systeme, die Spam- Mails einfangen, und sammeln so gezielt Spam aus aller Welt ein. Durch Abgleich der IP- Adressen & Zeitstempel können sie hier unter anderem auch DSL-Systeme aus ihren Netzbereichen finden, die möglicherweise als Spamschleudern missbraucht werden. 3. Was ist ein Computervirus, Wurm und Trojaner? Computervirus Computerviren sind Programme, die sich selbst vervielfältigen, indem sie sich anderen Programmen hinzufügen. Meist beinhalten Computerviren einen schadenden Programmteil. Es wird zwischen Programmviren und Systemviren unterschieden: Programmviren setzen sich in existente Programmdateien auf Wechseldatenträger oder Festplatte. Hierbei wird das existente Programm um den Virus vergrößert. Wenn ein infiziertes Programm ausgeführt wird, wird vor dem Start des eigentlichen Programms der Virus initialisiert. Systemviren infizieren Systembereiche von Wechseldatenträgern und Festplatten. Diese Systembereiche stellen den Bootsektor bzw. Master-Boot-Sektor dar. 7
Dort existieren die Programmteile, die unmittelbar beim Computerstart gestartet werden. Wird einer dieser Bereiche von einem Computervirus befallen, aktiviert sich beim Computerstart der Virus. Systemviren kommen nicht in Programmdateien vor. Wurm Computerwürmer sind Programme, die sich ohne Interaktion des Benutzers von Computer zu Computer kopieren. Dabei können sich Computerwürmer immens reproduzieren. Ein Wurm kann z.b. Kopien von sich an die Kontakte eines Adressbuchs verschicken und sich so auf alle Kontakte in den Adresssbüchern der Empfänger verbreiten. Computerwürmer und -viren ähneln sich sehr. Während bei einem Virus auf einem System Dateien als Zielelement infiziert werden sollen, ist es das Ziel eines Wurms, eine Anzahl von Computern in einem Netzwerk zu befallen. Darüber hinaus braucht ein Virus ein Wirtsprogramm als zu infizierendes Ziel. Beim Start des Programms wird auch der Viruscode ausgeführt. Der Wurm hingegen stellt ein selbständiges Programm dar. Trojaner Trojaner bzw. trojanische Pferde sind Programme, die Funktionen starten, die dem Benutzer nicht erkennbar sind. Sie tragen Dateinamen, die suggerieren, eine erwünschte Datei zu sein und sind nicht als Trojaner erkennbar.trojaner werden meist dazu genutzt, unbemerkt Schadprogramme zu installieren. Diese Schadprogramme werden dann eigenständig ausgeführt, selbst wenn das Trojanerprogramm abgebrochen oder gelöscht wird. Die installierten Programme können Spionageprogramme, z.b. Sniffer oder Keylogger sein. Des Weiteren können Backdoorprogramme installiert werden, über die das System in einem Netzwerk wie z.b. dem Internet ferngesteuert werden kann. 8
4. Wie wird ein Computer infiziert? Botnetze werden erweitert, indem ein Bot auf einem noch nicht infizierten Computer installiert wird. Das kann auf verschiedenen Wegen geschehen. Infizierte E-Mails: Über eine (Spam-)E-Mail wird der Nutzer aufgefordert, ein angehängtes Programm zu öffnen oder einen Link anzuklicken, der dann auf eine infizierte Website führt. Führt er das Programm aus oder folgt dem Link, wird ein Schadprogramm auf seinem Computer installiert, das diesen zu einem Teil eines Botnetzes macht. Diese Aufforderungen erfolgen häufig über Phishing-Mails, die mittlerweile immer seriöser wirken. So kann eine solche E-Mail vortäuschen, von der eigenen Bank zu kommen, oder eine plausible Absenderadresse verwenden mit einem unverdächtigen Text wie Das habe ich im Internet entdeckt o.ä. Downloads: Das Schadprogramm wird an ein Programm gekoppelt, das im Internet zum Download bereitsteht. Wer sich dieses Programm herunterlädt, infiziert seinen Computer gleichzeitig mit der Schadsoftware. Diese Kopplung eines Schadprogramms an eine unschädliche Anwendung nennt man Trojaner ( Trojanisches Pferd ). Das geschieht meist bei illegalen Downloadprogrammen. Aus Sicherheitsgründen sollten aber auch legale und seriöse Programme nur von der Originalwebsite des Anbieters heruntergeladen und/oder mit einem Virenscanner überprüft werden. Exploits: Bei der Infektion über diese Methode werden Sicherheitslücken und Softwarefehler in Anwendungen, im Browser oder im Betriebssystem ausgenutzt. Exploits werden aktiviert, indem der Nutzer beispielsweise auf einen präparierten Link klickt; bei einer Drive-by-Infection können sie beim Aufruf einer Website auch automatisch ausgelöst werden. 9
5. Welchen Schaden können Botnetz-infizierte Computer anrichten? Ein von Cyberkriminellen gekaperter Computer kann zu verschiedenen Zwecken verwendet werden. Versand von Spam: Die Ressourcen des ferngesteuerten Computers werden genutzt, um Spam zu versenden. Ein Botnetz kann so mehrere Milliarden Spam-Mails pro Tag verschicken. DDoS-Attacken: Sogenannte Distributed Denial of Service-Attacken sind Angriffe auf einen Server oder Computer mit dem Ziel, dessen Dienste funktionsunfähig zu machen. Werden beispielsweise die Server eines Unternehmens mit einer sehr hohen Zahl von Anfragen belastet, können sie unter dieser Last zusammenbrechen. Mit den koordinierten, zeitgleichen Anfragen von Bots auf ein System lässt sich eine solche Überlastung herbeiführen. Proxies: Über einen Proxy im Bot kann der Master-Computer, der die Bots fernsteuert, eine Angriffsverbindung zu einem dritten Rechner herstellen und seine Ursprungs- Adresse verbergen für das Angriffsopfer erscheint der Bot als Angreifer. Der eigentliche Angreifer der fernsteuernde Master ist nicht zurückzuverfolgen. Interne Angriffe: Die meisten Bots können auf lokal gespeicherte Zugangsdaten zu Anwendungen wie Messenger-Programmen zugreifen oder Daten wie Passwörter und Kreditkartennummern aus Webformularen auslesen. Speichermedium für illegale Inhalte: Die Festplatten der gekaperten Computer können zur Speicherung von illegalen Inhalten genutzt werden, die von diesem aus verbreitet werden. Relativ wenige Botnetz-Betreiber haben Millionen von Computer zu Botnetzen zusammengeschlossen. Allein das im April 2009 entdeckte Botnetz Mariposa bestand aus 13 Millionen gekaperten Computern. Darunter sind auch immer mehr Rechner von Unternehmen und öffentlichen Einrichtungen. Links in Instant Messages, die auf präparierte Webseiten referenzierten und von einer Lücke im Microsoft Internet Explorer profitierten, waren neben Tauschbörsen und USB-Sticks die Ursache für die Infektionen. 10
6. Was können Internetnutzer tun, um sich gegen Schadprogramme zu schützen? 1. Überprüfen Sie Ihren Computer auf Befall. Benutzen Sie hierzu den DE-Cleaner. Löschen Sie gefundene Schädlinge. 2. Installieren Sie aktuelle Service Packs und Sicherheitsupdates für Ihr System und aktivieren Sie automatische Updates. 3. Installieren Sie einen Virenscanner und aktualisieren Sie ihn regelmäßig. 4. Benutzen Sie eine Firewall wie z.b. die windowseigene Firewall oder einen Router. 7. Wie arbeiten die DE-Cleaner? Der DE-Cleaner von Symantec basiert auf dem Norton Power Eraser von Symantec. Das Tool wurde entwickelt, um besonders hartnäckige Gefahren wie gefälschte Sicherheits-Programme (Scareware) und andere auch Botprogramme - zu erkennen und zu entfernen. Das Tool arbeitet mit Heuristiken und der Symantec Reputationstechnologie, deren Herzstück eine umfassenden Datenbank legitimer Programme sowie Schadcode ist. Diese Technologie gibt den guten oder eben schlechten Ruf einer Datei an und ermöglicht so auch unbekannten Schadcode zu erkennen. Der DE-Cleaner von Kaspersky Lab basiert auf dem Kaspersky Virus Removal Tool. Mit Hilfe dieses Programmes lässt sich der Computer ebenfalls ohne permanente Installation von Infektionen jeglicher Art befreien. Der Antiviren-Engine von Kaspersky Lab erkennt und entfernt dabei Schadsoftware. Der Avira DE-Cleaner kann nach dem Herunterladen sofort zur Überprüfung und Säuberung des Rechners genutzt werden. Er nutzt vorhandene andere Avira-Produkte zur Prüfung. Da der Avira DE-Cleaner sich bei jedem Programmstart aktualisiert, wird die Prüfung des Rechners immer mit den neuesten Erkennungsroutinen durchgeführt. 11