10. Oktober 2005:

Botnetz-Betreiber in Holland verhaftet

Der niederländischen Polizei sind drei Männer ins Netz gegangen, denen vorgeworfen wird, ein weltweites Botnetz von mehr als 100.000 fernsteuerbaren Zombie-PCs aufgebaut und betrieben zu haben. Die Rechner wurden mit Hilfe eines von ihnen geschriebenen Schadprogramms namens W32.Toxbot infiziert. Dieses Programm soll auf den gekaperten Rechnern auch vertrauliche Informationen ausspioniert haben, die von den Verhafteten weiterverkauft worden sein sollen. Ferner wird dem Trio vorgeworfen, ein nicht näher genanntes US-amerikanisches Unternehmen mit der Androhung einer Distributed-Denial-of-Service-Attacke erpresst zu haben. Die Ermittlungen dauern an. Weitere Festnahmen sind nicht ausgeschlossen.

Toxbot hat es in sich
Die drei kürzlich festgenommenen Männer sind 19, 22 und 27 Jahre alt. Als Hauptverdächtiger und Kopf der Gruppe gilt der 19-Jährige. Zusammen soll das Trio den Wurm W32.Toxbot, der auch unter dem Alias-Namen Backdoor.Win32.Codbot bekannt ist, geschrieben und im Netz verbreitet zu haben. Mit Hilfe dieses Wurmprogramms wurden die infizierten Rechner zu fernsteuerbaren Zombie-PCs umfunktioniert. Gleichzeitig wurden auf den befallenen Rechnern so genannte Keylogger installiert, die in der Lage sind, sämtliche Tastatureingaben, die ein User vornimmt, aufzuzeichnen und an die Urheber des Schadprogramms zu schicken. Die drei jungen Männer sollen diese Informationen weiter verkauft haben.

Wettlauf mit der Antivirenindustrie
Als der Internetwurm Toxbot Ende Februar dieses Jahres zum ersten Mal im Internet gesichtet wurde, dauerte es nicht lange, bis die Antivirenfirmen das neue Schadprogramm analysiert und ihre Software auf den neuesten Stand gebracht hatten. Offenbar hatten die Urheber des Wurmprogramms damit gerechnet, dass ihr Schädling, der sich über eine Sicherheitslücke in zahlreichen Windows-Betriebssystemen selbstständig von PC zu PC verbreitete, nicht lange unentdeckt bleiben würde. Denn bereits kurz nach der ersten Variante tauchten weitere, jeweils nur leicht modifizierte Toxbot-Versionen auf und hielten die Antivirenfirmen auf Trab.

100.000 Rechner still und heimlich infiziert
Das Wurmprogramm Toxbot arbeitete so unauffällig und störungsfrei, dass von der lautlosen Invasion der mehr als 100.000 Rechner nichts an die Öffentlichkeit drang. Kein Wunder, denn Schadprogrammattacken machen in der Regel nur dann Schlagzeilen, wenn ihr Urheber die Öffentlichkeit bewusst sucht oder wenn die Programme wie beispielsweise der Sasser-Wurm so schlampig programmiert sind, dass sie reihenweise zu Systemabstürzen oder sonstigen spürbaren Beeinträchtigungen führen. Bei Toxbot war das nicht der Fall. Der Wurm war programmiertechnisch weit gehend fehlerfrei, was allein schon als Indiz dafür gewertet werden kann, dass hier nicht irgendwelche Skript-Kiddies, sondern Profis am Werk waren.

Betrug bei PayPal und eBay
Tatsächlich gelang es den drei Niederländern offenbar problemlos, ein Botnetz in der Größenordnung von mehr als 100.000 Rechnern aufzubauen. Diese Rechner sollen u. a. dazu benutzt worden sein, massenhaft so genannte Adware und Spionagesoftware zu verbreiten. Daneben wird den jetzt Verhafteten vorgeworfen, sie hätten Auftragsschadprogramme für andere Kriminelle geschrieben und dafür kassiert. Zudem glaubt die niederländische Polizei, dass es dem Wurmschreibertrio auch gelangen ist, sich mit ausspionierten Passworten in eine große Zahl von Nutzer-Accounts beim Online-Bezahldienst PayPal und beim Internetauktionshaus eBay einzuschleichen. Offenbar haben die Drei jede Möglichkeit genutzt, um aus ihren Wurmprogrammen Profit zu schlagen.

US-Unternehmen wurde erpresst
Daneben glauben die niederländischen Ermittlungsbehörden genug Beweise dafür zu haben, dass die Verhafteten eine nicht genannte US-amerikanische Firma mit der Androhung einer verteilten DoS-Attacke gedroht zu haben. Bei dieser Art von Netzangriff werden die Rechner eines Botnetzes dazu benutzt, die anzugreifenden Unternehmensserver gleichzeitig und andauernd so lange mit Anfragen zu bombardieren, bis die Server diese Last nicht mehr bewältigen können und sich abschalten. „Mit 100.000 infizierten Computern ist das jetzt entschärfte Botnetz eines der größten, die jemals entdeckt wurden“, feierten die niederländischen Ermittler per Pressemitteilung ihren Erfolg.

Ein Erfolg, aber kein großer Schlag
Craig Schumar, Virenexperte bei der US-Sicherheitsfirma McAfee. sieht das ein wenig realistischer. Die Zerschlagung des Botnetzes sei zwar durchaus ein Erfolg, doch insgesamt alles andere als ein großer Schlag gegen die um sich greifende Online-Kriminalität. Die drei Niederländer seien austauschbar. Es werde andere geben, die das Kommando über die 100.000 Rechner übernehmen werden, erklärte der Experte. Die drei Niederländer seien zwar aus dem Verkehr gezogen worden. Aber andere Kriminelle haben womöglich längst schon ihre Plätze eingenommen.

Zurück zur News-Übersicht