G DATA: Storm-Botnetz lässt die Muskeln spielen
Bochum – Das Storm-Botnetz ist zurzeit aktiver denn je und stellt seine Leistungsfähigkeit eindrucksvoll unter Beweis. Gerade in den letzten Wochen zeigten die Täter wieder einmal ein besonderes Gespür für Schlagzeilen und verkündeten kurzerhand den Dritte Weltkrieg, den Tod der New York Yankees und einen terroristischen Anschlag auf US-Präsident Bush. Die reißerischen „Breaking News“ sollen potentielle Opfer auf gekaperte und präparierte Webserver locken. Nach erfolgreicher Malware-Infektion erfolgen die Übernahme des PCs, der Diebstahl der persönlichen Daten und die Einbindung in das Storm-Botnetz.
In den kommenden Wochen und Monaten erwarten die Experten des G DATA Security Labs im Dunstkreis der Olympischen Spiele in Peking eine zusätzlich Verschärfung des Gefahrenpotentials. Online-Kriminelle jeglicher Couleur und somit sicherlich auch die Storm-Bande werden ihrerseits versuchen, als Trittbrettfahrer vom medialen Hype dieses Mega-Events zu profitieren.
Erfolgsrezept Breaking News
Die Masche der Storm-Bande ist einfach und zugleich äußerst effektiv: Millionenfach versenden die Täter E-Mails mit vermeintlichen Top-Nachrichten aus den Bereichen Showbiz, Politik, Mega-Events oder Katastrophen-News. Als „Mind Opener“ konzipiert, werden diese Top-News eingesetzt, um neugierigen Empfänger auf gekaperte Webseiten zu locken. Dort lauert dann gefährlicher Schadcode, der sich per Drive-by-Download unbemerkt vom Anwender auf den PC installiert. Ein weiterer Trick sind infizierte Download-Dateien - oftmals in angeblichen Video-Codecs versteckt, die für die korrekte Darstellung der angebotenen Videos erforderlich sein sollen.
Gelingt die Infektion, wird oftmals weiterer Schadcode nachgeladen, der alle persönliche Daten an die Täter übermittelt - wie beispielsweise Zugangsdaten und Passwörter für Online-Banking oder Kreditkarteninformationen. Der letzte Schritt in dieser Wertschöpfungskette ist dann die Einbindung des infizierten Rechners in das Storm-Botnetz. Die so vernetzen Zombie-PCs werden von den Tätern gewinnbringend als Spam-Schleudern oder für DDoS-Attacken vermietet.
Funktionsweise des Storm-Botnetzes
Die Professionalität der Online-Kriminellen zeigt sich nicht zuletzt auch in dem ausgeklügelten Aufteilungs-System der gekaperten PCs. Die Sturmwurm-Gang hat die Botnetze so aufgeteilt, dass Rechner hinter einem Router nur Spam versenden, wohingegen Rechner ohne Router für das Hosten von Spam- und Phishingseiten genutzt werden. Die Auflösung eines Domainnamens verweist zudem ständig auf andere Botnetzrechner (Fast Flux). Auf diese Weise ist es deutlich schwieriger, die schädlichen Webseiten vom Netz zu nehmen.
Olympiade – Doping für Online-Kriminelle
Die Olympiade in Peking könnte sich für Online-Kriminelle als besonders lohnenswerter Mega-Event erweisen. Nach Einschätzung des G DATA Security Labs ist von einem verstärkten Aufkommen gezielten Oympia-Spams und Phishing-Mails kurz vor und auch während der Spiele auszugehen. Mögliche Themen: Angebliche Doping-Fälle, vermeintliche Enthüllungs-Videos oder Angebote von Karten-Kontingenten. Erste Fälle von „Breaking News-Spam“ mit Olympia-Bezug und Links auf infizierte Webseiten sind bereits aufgetreten.
Storm-Spam: Schlagzeilen der letzen 10 Tage
- Bejing Olympics cancelled, moved to Atlanta
- Obama trouser fly slip
- Heath Ledger awarded posthumous oscar
- Yankee Stadium demolished
- Beckham caught in nightcam
- Elton John dies in rocket ship
- Earthquake in California destroys Schwarzenegger house
- Ninja attack in New York Times Square
- Super tornado forming around the region
- Michael Jordan caught with fraud
- Three weeks of thunderstorm coming
- Angelina Jolie dies in miscarriage
- James Brown dies of heart attack
- Afghan bombing kills President Bush
- North korea nuclear fallout
- New york yankees team killed in bus crash
- Super earthquake detected
- Google and Yahoo merger derails Microsoft plans
- Obama caught with pants down
Hintergrundinformation zum Storm-Botnetz
Im Januar 2007 zog der Sturm Kyrill über weite Teile Europas und richtete enorme Schäden an. Kaum war der Wind abgeflaut, kursierten E-Mails, die im Anhang readmore.exe weitere Informationen über die Folgen des Sturms versprachen. So bekam der Sturmwurm seinen Namen (ungeachtet der Tatsache, dass es sich nicht um einen Wurm, sondern ein Trojanisches Pferd handelt und von der gleichen Gruppe schon Ende Dezember 2006 E-Mails mit Festtags- und Neujahrsglückwünschen verbreitet wurden).
Ziel der E-Mails ist es nach wie vor, die infizierten Rechner in ein Botnetz zu integrieren, das zum Versenden von Spam und für verteilte Überlastangriffe (DDoS) genutzt wird. In den folgenden Monaten gab es weitere Wellen mit Falschmeldungen („Saddam Hussein alive!“ oder „Fidel Castro dead“) und Virenwarnungen. Auch diese Mails enthielten den Schadcode als Dateianhang.
Im Juni 2007 fand dann ein Wechsel der Taktik statt: E-Cards und Glückwunschkarten lockten Nutzer auf Webseiten, wo zum Betrachten der Karte eine (schädliche) Datei installiert werden muss. Zusätzlich wird im Hintergrund versucht, Sicherheitslücken der Browser bzw. von Browserkomponenten zu nutzen. Die Infektion erfolgt dann während des Betrachtens der Grußkarte. Weitere Maschen waren der Download von Codecs zum Betrachten von Videos oder Software zur sicheren Datenübertragung oder zum Schutz der Privatsphäre. Auch das Anwerben von Betatestern wurde als Masche genutzt.
Im September vergangenen Jahres wurden wieder aktuelle Ereignisse zum Anlass genommen, um Opfer auf schädliche Webseiten zu locken. Zunächst begann es mit dem „Labor Day“, gefolgt vom Start der neuen Football-Saison der NFL. Hier wurden die gefährlichen Downloads als „Free NFL Game tracker“ angepriesen. Weitere Maschen bezogen sich auf Online-Spiele, „Krackin“-Software, Haloween und wieder Weihnachts- und Neujahrsglückwünsche. Im Herbst war es eine Weile ruhig um das Sturm-Botnetz. Offenbar haben die Täter ihre Aktivitäten von St. Petersburg nach China und in die Türkei verlegt, um nun umso vehementer zu agieren.