FBI: Mega-Botnetz abgeschaltet

Nach mehr als zweijähriger Ermittlungsarbeit konnten sechs estnische Staatsbürger im Rahmen der Polizeiaktion Ghost Click verhaftet werden. «Diese konzertierte Aktion gegen eine kriminelle Bande ist höchst bedeutsam. Denn noch nie zuvor wurden cyberkriminelle Aktivitäten dieses Ausmasses unterbunden», so Martin Rösler, Director Threat Research bei Trend Micro. Der Security-Experte hatte das Botnetz bereits seit rund fünf Jahren beobachtet, die Struktur der Kontroll- und Befehlsserver (C&C-Server) identifiziert und den Ermittlungsbehörden damit - genau wie andere IT-Unternehmen - entscheidende Hinweise zur Abschaltung des Netzes verschafft.

Das FBI hat sich in New York veröffentlichten Erklärung ausdrücklich bei «den Partnern aus der Industrie» bedankt, «die unter anderem mitgeholfen haben, die kompromittierten DNS-Server durch 'saubere' Server zu ersetzen». Dadurch habe man es geschafft, den zumeist unwissenden Nutzern der infizierten Rechner auch nach der Abschaltung des Botnetzes unterbrechungsfreien Zugang zum Internet zu ermöglichen.

Illegal umgeleitet, traditionell abkassiert

Das ausgehebelte Botnetz war global aktiv Seit 2007 hatten die Betreiber des Botnetzes nach und nach 4 Millionen Computer in über 100 Ländern (darunter 500'000 Rechner in den USA) mit einer sogenannten DNS-Changer-Malware infiziert. Betroffen waren Privatpersonen, Unternehmen und Regierungsbehörden wie beispielsweise die NASA. Mithilfe der Malware waren die Hintermänner in der Lage, die DNS-Einstellungen des jeweiligen Rechners zu manipulieren und damit die Zieladressen von Webaufrufen zu verändern. So konnten Anwender beim Surfen nahezu unbemerkt auf infizierte Websites umgeleitet werden.

Mithilfe von selbstgeschalteten Display-Ads auf diesen Seiten gelang es der Bande anschliessend, über die Jahre mindestens 14 Millionen US-Dollar an Werbekostenerstattungen für sich abzuzwacken. «Sie waren organisiert und arbeiteten letzten Endes wie jedes normale werbende Unternehmen auch. Dabei profitierten sie jedoch von der Zuhilfenahme illegaler Malware», so ein Experte des FBI. Der Fall lege einen Level an Komplexität an den Tag, der bisher nicht bekannt gewesen sei.

Neben den estnischen Behörden, der NASA und Trend Micro haben übrigens unter anderem auch das Internet Systems Consortium, die National Cyber-Forensics & Training Alliance sowie Mitglieder der DNS Changer Working Group zur Abschaltung des Botnetzes und Festnahme der Hintermänner in Estland beigetragen.