Mehr als 40.000 Rechner durch gefährliches Peer-to-Peer-Botnetz infiziert

Der Sicherheitsexperte Kaspersky Lab hat in enger Kooperation mit Microsoft und Kyrus Tech die Kontrolle über das gefährliche Peer-to-Peer-Botnetz Hlux, auch bekannt als Kelihos, übernommen. Das Zombie-Netz war vor allem für Spamversand, den Diebstahl sensibler Finanzinformationen und DDoS-Attacken verantwortlich.

Gegen 24 Hintermänner des Botnetzes hat Microsoft juristische Schritte eingeleitet, um die Command-and-Control-Domains des Botnetzes stillzulegen, wobei Kaspersky Lab und Kyrus Tech ihre technische Expertise einbringen konnten. Beim Abschalten des Botnetzes half Kaspersky Lab u.a. bei der Analyse der Kommunikationsprotokolle und bei der Entwicklung von Werkzeugen, mit denen die Peer-to-Peer-Infrastruktur des Botnetzes aufgebrochen werden konnte. Außerdem stellte Kaspersky Lab sein Live-Botnetz-Tracking-System zur Verfügung.

„Kaspersky Lab spielte bei der Zerschlagungsoperation eine Schlüsselrolle, indem sie uns wichtiges Insiderwissen basierend auf ihren technischen Analysen und ihrer Expertise über Kelihos zur Verfügung stellten“, so Richard Boscovich, Senior Attorney bei Microsoft Digital Crimes Unit. „Dadurch konnten wir gemeinsam einen tollen Erfolg verbuchen und haben weitere Erkenntnisse bei der Analyse und der Struktur von Botnetzen gewonnen. Wir sind über diese Unterstützung sehr dankbar.“

Durch das sog. Sinkholing, ein Untergraben des Botnetzes, existiert der Verbund von Zombie-Rechnern zwar noch, wird aber von Kaspersky Lab und Microsoft kontrolliert. Derzeit verbinden sich pro Minute etwa 3.000 Hosts mit dem Sinkhole. Hlux kann allerdings nur dauerhaft ausgeschaltet werden, wenn alle mit Hlux infizierten Maschinen gesäubert werden. Dazu fügte das Malware Protection Center von Microsoft bereits ein Entdeckungsprogramm für Kelihos zu seinem Malicious Software Removal Tool hinzu. Durch die Aktionen sollte die Anzahl infizierter Computer in nächster Zeit spürbar sinken.

„Seit unserer Sinkholing-Operation am 26. September ist das Botnetz außer Betrieb. Da mittlerweile die Bots mit unseren Maschinen kommunizieren, können wir über so genanntes Data-Mining beispielsweise die Infizierungen pro Land nachvollziehen. Bisher konnten wir 40.000 infizierte Rechner identifizieren und über die jeweiligen ISPs die Netzwerk-Besitzer über die Infektionen informieren", so Tillmann Werner, Senior Virus Analyst bei Kaspersky Lab.

Kaspersky Lab und Microsoft arbeiten in punkto IT-Sicherheit bereits seit geraumer Zeit zusammen. Dazu gehört die erfolgreiche Zusammenarbeit bei der Analyse des Stuxnet-Wurms, der industrielle Kontrollsysteme, die z.B. beim Nuklearprogramm des Iran eingesetzt werden, attackierte.

Ein ausführlicher Blogbeitrag zur Abschaltung des Hlux-Botnetzes ist verfügbar unter: http://www.securelist.com/en/blog/208193137/Botnet_Shutdown_Success_Story_How_Kaspersky_Lab_Disabled_the_Hlux_Kelihos_Botnet

Der Bericht von Microsoft zur Abschaltung des Botnetzes ist zu finden unter: https://blogs.technet.com/b/microsoft_blog/archive/2011/09/27/microsoft-neutralizes-kelihos-botnet-names-defendant-in-case.aspx