Was ist ein Botnet in der Cybersicherheit?

Botnets sind Netzwerke kompromittierter Geräte, die für bösartige Zwecke verwendet werden. Erfahren Sie, wie sie funktionieren, und entdecken Sie Strategien, um sich gegen sie zu verteidigen.

Botnetze sind Netzwerke kompromittierter Geräte, die von Cyberkriminellen kontrolliert werden. Dieser Leitfaden erläutert, wie Botnetze funktionieren, wofür sie bei Cyberangriffen eingesetzt werden und welche Herausforderungen sie für die Sicherheit darstellen.

Erfahren Sie mehr über die Methoden zur Erstellung und Verwaltung von Botnetzen sowie über Strategien zu ihrer Erkennung und Verhinderung. Das Verständnis von Botnetzen ist für Unternehmen entscheidend, um ihre Netzwerke zu schützen und Risiken zu mindern.

Was ist ein Botnet im Bereich Cybersicherheit?

Botnetze sind Netzwerke gekaperter Geräte, die mit einer gemeinsamen Art von Malware infiziert sind und von böswilligen Akteuren genutzt werden, um groß angelegte Betrugsmaschen und massive Cyberangriffe zu automatisieren. Jedes einzelne Gerät in einem Botnet wird als „Bot“ oder „Zombie“ bezeichnet, und der böswillige Akteur hinter jedem Botnet wird als „Bot-Herder“ bezeichnet.

Infizierte Geräte oder Bots können Personal Computer, Server, mobile Geräte und Internet of Things (IoT)-Geräte umfassen. Heute verfügen die meisten Botnetze über Millionen von Bots unter der Kontrolle eines einzigen Bot-Herders, wodurch sie in der Lage sind, groß angelegte Angriffe von einem zentralen Punkt aus durchzuführen.

Einzelne Bedrohungsakteure oder kleine Hackerteams können Botnetze nutzen, um deutlich größere Angriffe auszuführen als zuvor möglich. Mit geringem Kosten- und Zeitaufwand sind Botnetze sowohl breit zugänglich als auch effizienter als herkömmliche Angriffsmethoden. Indem ein böswilliger Akteur jeden Computer in seinem Botnet anweist, gleichzeitig dieselben Anweisungen auszuführen, kann er erfolgreich Angriffe starten, die darauf ausgelegt sind, das Netzwerk eines Ziels zum Absturz zu bringen, Malware einzuschleusen, Zugangsdaten abzugreifen oder CPU-intensive Aufgaben auszuführen.

Da Botnetze von einem entfernten Angreifer gesteuert werden, wissen die Eigentümer in der Regel nicht, dass ihr Gerät Teil eines Botnetzes ist. Meistens werden Botnetze von böswilligen Akteuren aufgebaut, die schädliche Software (Malware) auf so viele internetfähige Geräte wie möglich verbreiten. In Kombination mit wurmfähigen Eigenschaften können einige Botnetze sogar andere Maschinen im selben Netzwerk infizieren, was autonome Wachstumsmöglichkeiten und endlose Chancen für Bedrohungsakteure bietet.

Manchmal verkauft oder vermietet der Bot-Herder, nachdem ein Botnet aufgebaut wurde, die Möglichkeit zur Kontrolle seines Botnetzes an andere böswillige Akteure im Dark Web oder auf dem Schwarzmarkt. In jedem Fall werden Botnetze typischerweise eingesetzt, um koordinierte Angriffe über das Internet in Form von DDoS-Angriffen, Massen-E-Mail-Spam-Angriffen, gezielten Eindringversuchen oder finanziellen Sicherheitsverletzungen zu starten.

Wie Botnetze funktionieren

Anstatt auf bestimmte Personen oder Unternehmen abzuzielen, ist Botnet-Malware in der Regel darauf ausgelegt, so viele Geräte wie möglich zu infizieren – je mehr Geräte mit einem Botnet verbunden sind, desto größer sind die Rechenleistung und Funktionalität, die diese Geräte für die Ausführung automatisierter Aufgaben bereitstellen. Um keinen Verdacht zu erregen, nutzen Botnetze in der Regel nur einen kleinen Teil der Ressourcen des infizierten Geräts und laufen im Hintergrund.

Bot-Herder können Botnetze erstellen, indem sie Malware über Dateifreigabe, E-Mail, Protokolle von Social-Media-Anwendungen oder unter Verwendung anderer Bots als Vermittler an ahnungslose Empfänger senden. Nach dem Öffnen infizieren schädliche Dateien Geräte mit bösartigem Code, der den Computer anweist, sich beim Bot-Herder zurückzumelden. Im Gegenzug gibt der Bot-Herder Befehle an infizierte Geräte weiter und kann Bots sogar aktualisieren, um ihre gesamte Funktionalität als Reaktion auf Gegenmaßnahmen des angegriffenen Systems zu verändern.

Geräte können auch über Schwachstellen in Firmware, auf Websites und in Anwendungen infiziert werden. Einige Botnetze verwenden wurmfähigen Code, um jedes Gerät in einem Netzwerk zu infizieren, das für einen bestimmten Softwarefehler anfällig ist. Unternehmens-IoT-Geräte, auf denen häufig alte und ungepatchte Firmware läuft, sind für diese Art von Infektionsvektor besonders anfällig.

Wenn ein Bot-Herder erfolgreich eine ausreichende Anzahl von Bots infiziert hat, ist der nächste Schritt die Mobilisierung. Der Bot-Herder sendet Befehle oder Updates an die infizierten Geräte, und die Bots führen die Anweisungen aus.

Arten von Botnetzen

Allgemein gesprochen gibt es zwei Arten von Strukturen, die Bot-Herder zur Steuerung ihrer Botnetze verwenden. Die erste ist ein zentralisiertes Modell mit direkter Kommunikation zwischen dem Bot-Herder und jedem Gerät im Botnet. Die zweite ist ein dezentralisiertes System mit mehreren Verbindungen zwischen den Botnet-Geräten.

Zentralisierte Client-Server-Modelle

Botnetze der ersten Generation arbeiten in der Regel nach einem Client-Server-Modell, was bedeutet, dass ein Command-and-Control-Server (C&C) zur Steuerung des gesamten Botnetzes verwendet wird. Zentralisierte Modelle sind jedoch aufgrund der Einfachheit ihrer Struktur anfälliger für einen Single Point of Failure.

Am häufigsten nehmen C&C-Kommunikationskanäle die Form von Internet Relay Chat (IRC)- oder HTTP-Botnetzen an.

• Internet Relay Chat (IRC)-Botnetze: Einige der frühesten Botnetze verwenden vorkonfigurierte IRC-Server und -Kanäle, um Bots aus der Ferne zu steuern. Diese Art von Angriff erfordert in der Regel eine geringe Bandbreite und nutzt einfache Kommunikationsmethoden, um die Identität zu verschleiern und eine Erkennung zu vermeiden.

• HTTP-Botnetze: Webbasierte Botnetze ermöglichen es Bot-Herdern, das HTTP-Protokoll zu verwenden, um Befehle an Bots zu senden und ihre Aktivitäten als normalen Webverkehr zu tarnen. Bei dieser Art von Angriff besuchen Bots den Server regelmäßig, um neue Updates und Befehle zu erhalten.

Dezentralisierte Peer-to-Peer (P2P)-Modelle

Botnetze der neuen Generation verwenden überwiegend Peer-to-Peer (P2P)-Modelle, die es Bots ermöglichen, Befehle und Informationen untereinander und ohne direkten Kontakt zu C&C-Servern auszutauschen. Obwohl sie im Vergleich zu IRC- oder HTTP-Botnetzen schwieriger umzusetzen sind, sind P2P-Botnetze widerstandsfähiger, da sie nicht auf einen einzelnen, zentralisierten Server angewiesen sind.

In einem P2P-Modell teilt und aktualisiert jeder Bot Informationen zwischen Geräten, indem er sowohl als Client als auch als Server arbeitet.

Arten von Botnet-Angriffen

Botnetze werden von Bot-Herdern verwendet, um verschiedene Arten von Botnet-Angriffen auszuführen. Während einige Angriffe häufiger oder ausgefeilter sind als andere, stellen alle Arten von Botnet-Angriffen ernsthafte Bedrohungen für die Cybersicherheit dar.

Phishing-Angriffe

Im Gegensatz zu anderen Arten von Social-Engineering-Angriffen konzentriert sich Phishing auf schiere Masse. Angreifer senden in der Regel Phishing-E-Mails an so viele Empfänger wie möglich, in der Hoffnung, dass nur einer auf den Betrug hereinfällt. Phishing-Angriffe erfordern nur wenig anfänglichen Aufwand oder Investitionen und können für Angreifer enorme Erträge bringen.

Mit der Leistung von Botnetzen im Rücken können Phishing-Angriffe scheinbar endlose E-Mail-Postfächer erreichen. Und weil Botnetze sowohl weit verbreitet als auch automatisiert sind, ist das Stoppen einer Phishing-Kampagne sehr schwierig.

Distributed Denial of Service (DDoS)-Angriffe

Distributed Denial of Service-Angriffe (DDoS) gehören zu den häufigsten Angriffsarten, die Botnetze ausführen. Bei einem DDoS-Angriff sendet das Botnet eine überwältigende Anzahl von Anfragen an den angegriffenen Server oder die Anwendung und bringt diese zum Absturz. Wenn Tausende oder Millionen von Geräten gleichzeitig versuchen, sich mit einem einzelnen Server zu verbinden, ist der Server nicht mehr in der Lage, eingehende Paketanfragen zu bewältigen, und wird offline genommen, wodurch er für echte Kunden nicht mehr verfügbar ist.

Es gibt mehrere prominente Beispiele für DDoS-Angriffe, die von Botnetzen ausgeführt wurden. Eines der erfolgreichsten Beispiele ist Mirai-Malware, deren Autor „Anna Senpai“ den Quellcode der schädlichen Software bekanntermaßen auf der Website von Hackforums veröffentlichte.

Nach der Veröffentlichung wurde der Code verwendet, um mehrere Nachahmer-Botnetze zu erstellen, die darauf ausgelegt waren, Linux-IoT-Geräte zu infizieren, darunter Sicherheitskameras, Drucker, Router und andere internetverbundene Geräte. Darüber hinaus wurde die Malware auch eingesetzt, um den unabhängigen Sicherheitsblogger Brian Krebs anzugreifen, nachdem er aufgedeckt hatte, welche zwei Personen hinter früheren DDoS-Angriffen auf Github und den DNS-Anbieter Dyn standen.

Durch Botnetze unterstützte DDoS-Angriffe stellen auch für Nutzer jenseits der eigentlichen Ziele ein ernstes Problem dar. Da die meisten Websites von externen Internetdienstanbietern (ISPs) oder Content Delivery Networks wie Akamai, Cloudflare und Fastly gehostet werden, können DDoS-Angriffe mehrere Kunden gleichzeitig betreffen.

Im Fall des Angriffs auf Brian Krebs war Akamai gezwungen, seine Website abzuschalten, um ihre anderen Kunden vor einem Denial of Service zu schützen.

Finanzielle Sicherheitsverletzungen

Botnetze können auch verwendet werden, um direkt Gelder von Unternehmen und Kreditkarteninformationen zu stehlen. Botnetze sammeln Finanzinformationen mit einer Vielzahl von Methoden, darunter Keylogging oder das Erfassen von Screenshots, und senden die gesammelten Informationen an den Remote-Server des Bot-Herders zurück. In einigen Fällen können Finanzinformationen gegen eine erhebliche Gebühr auf dem Schwarzmarkt verkauft werden.

Eines der berüchtigtsten Botnetze für finanzielle Sicherheitsverletzungen, GameOver Zeus malware, war dafür verantwortlich, über kurze Zeiträume hinweg direkt Millionen von Dollar von mehreren Unternehmen über Phishing-E-Mails zu stehlen.

Backdoor-Botnetze

Backdoor-Botnetze verlassen sich darauf, dass infizierte Geräte andere Geräte infizieren und sie dem Botnet hinzufügen, damit sie vom Bot-Herder gesteuert werden können. Wie andere Arten von Botnet-Angriffen beginnen Backdoor-Botnetze typischerweise damit, dass ein Benutzer unwissentlich Malware installiert.

Im Gegensatz zu anderer Botnet-Malware dringen Backdoor-Botnetze jedoch durch die „Hintertür“ in Systeme ein, was schwerer zu erkennen ist. Das Botnet muss nicht unbedingt von einem Benutzer hereingelassen werden, da es automatisch einen Weg finden kann, die vorhandenen Sicherheitsmaßnahmen zu umgehen.

Gezielte Eindringversuche

Gezielte Eindringversuche werden typischerweise von kleineren Botnetzen ausgeführt, die darauf ausgelegt sind, die spezifischen, hochwertigen Systeme oder Netzwerke von Unternehmen zu kompromittieren. Sobald sie sich im Inneren befinden, können Angreifer noch tiefer in die Systeme eines Unternehmens eindringen und Zugang zu dessen wertvollsten Assets erhalten.

Diese Arten von Angriffen können als Teil einer umfassenden Kampagne oder als eine Reihe von Versuchen über einen längeren Zeitraum durchgeführt werden, um Zugang zu den Systemen und Netzwerken eines Unternehmens zu erhalten. Bot-Herder hinter gezielten Eindringversuchen verfügen in der Regel über zusätzliche Fachkenntnisse und Ressourcen, um Kampagnen über einen langen Zeitraum durchzuführen und ihre Angriffsmethoden anzupassen, zu justieren und zu verbessern, um die Abwehrmaßnahmen ihres Ziels zu umgehen.

Remote Desktop Protocol (RDP)-Angriffe

Remote Desktop Protocol (RDP)-Server ermöglichen es Geräten, sich ohne direkten Kontakt mit anderen Geräten oder Netzwerken zu verbinden. Wenn Botnetze RDP-Server angreifen, können sie sich leicht in Unternehmen ausbreiten und jedes einzelne Gerät infizieren, das mit dem Netzwerk oder anderen Geräten in Berührung kommt.

RDP-Botnet-Angriffe sind mit der Verlagerung hin zu Remote-Arbeit zunehmend populär geworden und werden häufig über Credential Stuffing, Brute Force und Malware ausgeführt.

Credential Stuffing

Credential-Stuffing-Angriffe sind darauf ausgelegt, Datenbanken oder gestohlene Listen von Zugangsdaten (wie Passwörter und Benutzernamen) mit mehreren Konten abzugleichen, um eine Übereinstimmung zu finden. Credential Stuffing, auch als „List Cleaning“ oder „Breach Replay“ bekannt, kann durch Botnetze automatisiert werden, um täglich zig Millionen Konten zu testen.

Websites mit schwacher Sicherheit werden häufig Opfer von Credential-Stuffing-Angriffen, die sich in der Regel durch die Verwendung starker, eindeutiger Passwörter vermeiden lassen.

Wie man Botnetze verhindert, erkennt und stoppt

Botnetze gehören zu den ausgefeiltesten Arten von Malware, die heute existieren, und stellen massive Cybersicherheitsbedenken für Regierungen, Unternehmen und Einzelpersonen gleichermaßen dar. Bei so vielen Botnetzen im Internet, von denen viele sich kontinuierlich als Reaktion auf neue Schwachstellen und Sicherheitsmängel verändern, unterscheidet sich jedes Botnet wahrscheinlich erheblich von allen anderen.

So schwierig es auch ist, es gibt einige Möglichkeiten, Botnet-Angriffe zu erkennen und zu verhindern, bevor sie irreversiblen Schaden anrichten.

1. Prävention

Zu verhindern, dass Botnet-Malware Geräte infiziert, ist der sicherste Weg, sie vor Botnet-Angriffen zu schützen. Unternehmen und Einzelpersonen können:

• Software auf dem neuesten Stand halten
• Auf ungewöhnliche Aktivitäten im Netzwerk achten
• Fehlgeschlagene Anmeldeversuche nachverfolgen
• Das Klicken auf verdächtige Links vermeiden
• Keine E-Mails von unbekannten Absendern öffnen oder wenn sie von einem bekannten Absender verdächtig erscheinen
• Sichere Passwörter erstellen (und bei Bedarf neue verwenden)
• Fortschrittliche Cybersicherheitssoftware verwenden

2. Erkennung

Wenn Botnet-Malware in ein Computersystem eindringt, ist es wichtig, sie so schnell wie möglich zu erkennen. Benutzer können auf Folgendes achten:

• Ungewöhnlich hohe CPU-Auslastung des Webservers
• Übermäßige Speicherauslastung
• Nicht-native Verkehrsprofile
• Netzwerkblockaden durch übermäßigen Netzwerkverkehr

Die Kontrolle der Firewall kann ebenfalls nützlich sein, um Botnet-Kommunikation im Netzwerk zu erkennen. Das wirksamste Mittel zur Abschreckung einer Botnet-Infektion ist jedoch eine robuste verhaltensbasierte KI-Sicherheitslösung, die die Ausführung von Malware-Payloads auf dem Gerät verhindern kann.

3. Behebung

Leider ist es deutlich schwieriger, mit einem Botnet umzugehen, sobald es eingedrungen ist und beginnt, Schaden anzurichten. An diesem Punkt müssen Benutzer höchstwahrscheinlich das Netzwerk herunterfahren, alle Passwörter ändern und sogar das Computersystem reparieren.

Die gute Nachricht ist, dass es Softwarelösungen gibt, die die Behebung deutlich besser handhabbar machen. EDR-Schutz auf Endpoints und vollständige Transparenz über jedes Gerät im Netzwerk eines Unternehmens sind der beste Weg, Botnet-Angriffe sowohl zu verhindern als auch zu erkennen – damit sie gestoppt werden können, bevor sie beginnen.

Botnetze mit SentinelOne stoppen

Die Gewährleistung von XDR-Schutz für Endpoints mit vollständiger Transparenz über jedes Gerät im Netzwerk ist der einzige sichere Weg, um Einzelpersonen, Unternehmen und Regierungsbehörden vor Botnetzen zu schützen.

Als einzige Cybersicherheitsplattform, die moderne Unternehmen in die Lage versetzt, autonome Maßnahmen in Echtzeit zu ergreifen, bietet SentinelOne’s Singularity XDR Platform mehr Transparenz über dynamische Angriffsflächen und Analysen für plattformübergreifende Sicherheit. Durch die Zentralisierung von Endpoint-, Cloud-, Identitäts- und Datensicherheit in einer einzigen Plattform erhalten Benutzer Echtzeit-Ergebnisse bei der Behebung in Maschinengeschwindigkeit sowie plattformübergreifende Datenanalysen im Unternehmensmaßstab.

Erfahren Sie mehr über SentinelOne’s rekordverdächtige MITRE ATT&CK evaluation mit 100 % Prävention und fordern Sie noch heute eine Demo an, um den Weg zu einem umfassenden Botnet-Schutz zu beginnen.

---

Gefällt Ihnen dieser Artikel? Folgen Sie uns auf LinkedIn, Twitter, YouTube oder Facebook, um unsere Inhalte zu sehen.

Lesen Sie mehr über Cybersicherheit

• macOS Red Team: Spoofing Privileged Helpers (and Others) to Gain Root
• Going Deep | A Guide to Reversing Smoke Loader Malware
• Build Your Own Ransomware (Project Root) | Behind Enemy Lines Part 2
• Der Bildungssektor und die zunehmende Bedrohung durch Cyberkriminalität
• YARA Hunting for Code Reuse: DoppelPaymer Ransomware & Dridex Families
• Privilege Escalation | macOS Malware & The Path to Root Part 2
• Das Streben nach Transparenz & Hunting bringt unsichtbare Opportunitätskosten mit sich
• Das Gute, das Schlechte und das Hässliche in der Cybersicherheit

FAQs

Sind Botnets illegal?

Für sich genommen sind Botnets einfach Netzwerke von Computern. Daran ist nichts Illegal, solange der Bot-Herder die ausdrückliche Zustimmung der Gerätebesitzer hat, sie zu steuern. Forscher könnten beispielsweise daran interessiert sein, ihre eigenen „Botnet-Labore“ zu Forschungszwecken einzurichten.

Die Aktivitäten, für deren Ausführung Botnets typischerweise eingesetzt werden, sind jedoch häufig illegal. So gilt beispielsweise die Installation von Malware auf einem Computer, der jemand anderem gehört, als Straftat. Es ist auch illegal, Geräte zur Durchführung anderer unerlaubter Aktivitäten anzuweisen, was bedeutet, dass Bot-Herder im Falle einer Festnahme durch Strafverfolgungsbehörden mit mehr als einer Anklage rechnen müssen.

Wo werden Botnets heruntergeladen?

Botnets werden typischerweise über Malware heruntergeladen, die in per E-Mail zugestellten Links geöffnet wird. Die meisten Bot-Herder möchten unentdeckt und anonym bleiben, daher können sie andere Infektionsmethoden verwenden, wenn Phishing-E-Mails erfolglos sind.

Wie man Botnets blockiert

Das Blockieren von Botnets kann schwierig sein. Hacker und Bot-Herder suchen ständig nach neuen Wegen, um herkömmliche Sicherheitslösungen zu umgehen, und Endbenutzer sind nur Menschen, was bedeutet, dass sie zu Fehlern neigen.

Der beste Weg, ein Botnet zu blockieren, besteht darin, zu verhindern, dass es Geräte überhaupt erst infiziert – eine Fähigkeit, die nur die fortschrittlichsten Cybersicherheitslösungen bieten.