Was sind Botnetze? Botnet-Angriffe erklärt

Botnetze (abgeleitet von „Roboternetzwerken“) sind Netzwerke aus Computern oder Geräten, die durch Malware kompromittiert wurden und unter der Kontrolle eines entfernten Angreifers stehen, der oft als Botmaster oder Bot-Hirte bezeichnet wird.

Kriminelle Akteure können böswillige Angriffe wie Distributed-Denial-of-Service-Angriffe (DDoS), Datendiebstahl, Dienstunterbrechungen, Spamkampagnen oder Klickbetrug starten oder Botnetze nutzen, um unbefugten Zugriff auf kritische Systeme zu erlangen. Viele dieser Angriffe könnten die IT-Infrastruktur eines Unternehmens zum Absturz bringen oder lahmlegen.

Wie funktionieren Botnet-Angriffe?

Ein Botnet-Angriff wird aktiviert, wenn ein Krimineller die Kontrolle über mehrere Computer (Zombie-Geräte oder Bots) in einem Netzwerk übernimmt und sie mit Malware infiziert. Diese Bots bilden ein Netzwerk versklavter Computer. Der Bot-Hirte (oder Botmaster) nutzt sie, um Angriffe auf Unternehmensnetzwerke zu starten, etwa Spam zu versenden, sensible Daten zu stehlen oder sogar Websites zum Absturz zu bringen.

Der Bot-Hirte verwendet einen Command-and-Control-Server (C&C), um mit den Zombie- oder Bot-Computern zu kommunizieren – den infizierten Computern, aus denen das Botnetz besteht – und Befehle zu erteilen. So kann der Angreifer die Aktionen des Botnetzes koordinieren und seine Ressourcen auf ein bestimmtes Ziel richten.

Command-and-Control-Server bei Botnet-Angriffen

Es gibt zwei Arten von C&C-Servern: zentralisierte und dezentralisierte. Beide sind anfällig für Botnet-Angriffe, aber der jeweilige Ansatz unterscheidet sich.

Zentralisiert: Client-Server-Modell

Bei einem zentralisierten C&C-Server sind der Bot-Hirte und die Bots zur Kommunikation und Übermittlung von Befehlen mit derselben zentralen Stelle verbunden. Der Bot-Hirte erteilt den Bots Befehle, und diese antworten, indem sie Informationen zurücksenden oder die Befehle ausführen.

Dadurch wird der C&C-Server zu einem einzigen Ausfallpunkt, der von Strafverfolgungsbehörden oder Sicherheitsforschern außer Betrieb gesetzt werden kann.

Dezentralisiert: Peer-to-Peer-Modell (P2P)

Bei diesem Modell muss jedes infizierte Gerät direkt mit anderen Bots kommunizieren. Der Bot-Hirte kann über einen einzelnen Bot Befehle an das gesamte Botnetz oder an bestimmte Bots erteilen.

Bei dieser Art von C&C-Server gibt es keinen einzelnen Ausfallpunkt, wodurch es für Verteidiger schwieriger wird, ihn außer Betrieb zu setzen.

Phasen beim Aufbau eines Botnetzes

Der Aufbau eines Botnetzes erfolgt in drei Phasen: Vorbereitung und Aufspüren, Infektion und Wachstum sowie Aktivierung.

Phase 1: Vorbereiten und Aufspüren

In der ersten Phase identifiziert der Bot-Hirte mit dem Internet verbundene Geräte mit ausnutzbaren Schwachstellen, etwa Computer, Router, Server und Geräte des Internets der Dinge (IoT). Anschließend sucht der Bot-Hirte nach Schwachstellen in den anvisierten Systemen. Dazu können schwache Passwörter, veraltete Software oder andere Sicherheitslücken gehören, über die das Zielsystem infiltriert werden kann.

Phase 2: Infizieren und Vergrößern

In der zweiten Phase installiert der Kriminelle Malware, die das Gerät in einen Zombie verwandelt, der aus der Ferne gesteuert werden kann. Kriminelle Akteure können digitale Unternehmensressourcen auf verschiedene Weise infizieren, etwa durch Social-Engineering-Techniken wie Phishing-E-Mails oder durch das Ausnutzen von Softwareschwachstellen.

Anschließend sucht der Angreifer auf dem infizierten Gerät nach weiteren verwundbaren Geräten und wiederholt den Vorgang. So baut er nach und nach ein Netzwerk infizierter Geräte auf.

Phase 3: Aktivieren

In der dritten Phase aktiviert der Bot-Hirte schließlich das Botnetz, indem er es mit einem C&C-Server verbindet. Dadurch kann der Angreifer alle infizierten Systeme aus der Ferne steuern und für den vorgesehenen böswilligen Zweck nutzen, etwa zum Sammeln von Daten, zum Starten von DDoS-Angriffen, zum Versenden von Spam-E-Mails oder zum Verbreiten von Malware.

3 Arten von Botnetzen

Botnetze gibt es hauptsächlich in drei Varianten: Internet Relay Chat (IRC), P2P und Spam.

Internet-Relay-Chat-(IRC-)Botnetze

IRC wurde 1988 eingeführt und ist ein Protokoll für textbasierte Chatsysteme, das für den Instant-Messaging-Austausch zwischen mit dem Internet verbundenen Computern verwendet wird. Ein IRC-Botnetz ist eine Sammlung von mit Malware infizierten Rechnern, die aus der Ferne über einen IRC-Kanal gesteuert werden können. IRC-Botnetze gehören zu den ältesten und verbreitetsten Botnetzen und sind leicht zu erkennen.

P2P-Botnetze

P2P-Botnetze nutzen einen dezentralisierten Ansatz zur Kommunikation und Verbreitung. In diesem Fall fungiert der Bot oder Zombie sowohl als Befehlsverteilungsserver als auch als Client, der Befehle empfängt. Im Vergleich zu anderen Botnetzen ist dieses Modell widerstandsfähiger gegenüber Abwehrmaßnahmen und schwieriger außer Betrieb zu setzen.

Spam-Botnetze

Über 100 Milliarden Spamnachrichten und E-Mails werden täglich versendet. Botnetze übertragen etwa 85 % dieser Spamnachrichten. Der Bot-Hirte nutzt Spam-Botnetze, um Millionen unerwünschter E-Mails und böswilliger Nachrichten zu versenden und damit Phishingkampagnen zu verbreiten, die Identitäten stehlen, oder Malware zu verteilen, die Computer und andere mit dem Internet verbundene Geräte kompromittieren soll.

7 häufige Arten von Botnet-Angriffen

Botnetze können für eine enorme Vielzahl böswilliger Aktivitäten eingesetzt werden. Am häufigsten sind jedoch DDoS-Angriffe, Spamkampagnen, Banking-Trojaner, Credential-Stuffing, Klickbetrug, Kryptomining und Ransomware.

DDoS-Angriffe

DDoS-Angriffe überfluten ein Zielsystem oder -netzwerk mit Datenverkehr aus zahlreichen Quellen, um es außer Betrieb zu setzen. Kriminelle Akteure nutzen Botnetze für DDoS-Angriffe, weil sie von einer großen Zahl von Computern aus erhebliche Datenverkehrsmengen erzeugen können.

Es gibt verschiedene Arten von DDoS-Angriffen, etwa UDP-Floods (User Datagram Protocol), TCP-SYN-Floods (SYN steht für Synchronisation) und HTTP-Floods. Jede dieser Varianten verwendet eine andere Methode zur Erzeugung von Datenverkehr.

• UDP-Flood-Angriffe umfassen das Senden großer Mengen von UDP-Paketen an ein Zielsystem, wodurch dessen Fähigkeit zur Verarbeitung eingehenden Datenverkehrs überlastet wird.
• SYN-Flood-Angriffe umfassen das Senden einer großen Zahl von TCP-SYN-Paketen an ein Zielsystem. Dadurch werden dessen Ressourcen gebunden, weil es gezwungen wird, zahlreiche halboffene Verbindungen aufzubauen.
• HTTP-Flood-Angriffe umfassen das Senden großer Mengen von HTTP-Anfragen an einen Zielwebserver, der dadurch mit Datenverkehr überlastet wird.

Hinweis: Wir haben die besten DDoS-Schutzdienste geprüft, um diese Art von Angriff abzuwehren.

Spamkampagnen

Angreifer nutzen Botnetze, um große Mengen von Spam-E-Mails zu versenden und Malware zu verbreiten sowie Betrugs- oder Phishing-Aktionen zu bewerben. Diese E-Mails lassen sich nur schwer filtern oder blockieren, weil sie aus vielen verschiedenen Quellen stammen.

Banking-Trojaner

Bot-Hirten können Botnetze nutzen, um Schadsoftware wie Banking-Trojaner zu verbreiten, die sensible Informationen wie Bankdaten, Kreditkartendaten und andere vertrauliche finanzielle und persönliche Informationen stehlen sollen.

Banking-Trojaner werden häufig über Phishing-E-Mails oder böswillige Websites verbreitet. Sie sind schwer zu erkennen, weil sie im Hintergrund und ohne Wissen des Endnutzers arbeiten und sensible Informationen erfassen.

Credential-Stuffing

Bei dieser Art von Angriff beschafft sich der Botmaster auf betrügerische Weise große Listen von Zugangsdaten aus Datenlecks oder anderen Quellen. Anschließend versucht er, diese gestohlenen oder erratenen Benutzernamen und Passwörter auf einer Zielwebsite oder -anwendung zu verwenden, die auch zu einem anderen, nicht verwandten Dienst gehören kann, um Zugriff auf Benutzerkonten zu erlangen.

Credential-Stuffing-Angriffe sind häufig erfolgreich, weil viele Menschen auf mehreren Websites denselben Benutzernamen und dasselbe Passwort verwenden. Es empfiehlt sich, für verschiedene Dienste unterschiedliche Passwörter zu verwenden. Diese Passwörter sollten eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Passwort-Manager können dabei helfen, Passwörter für zahlreiche Konten einfach zu verwalten und sichere, unterschiedliche Passwörter zu erstellen.

Klickbetrug

Botnetze können verwendet werden, um betrügerische Klicks auf Pay-per-Click-Werbekampagnen zu erzeugen, wodurch das Werbebudget eines Unternehmens aufgebraucht werden kann. Klickbetrug ist schwer zu erkennen, weil die Klicks scheinbar aus legitimen Quellen stammen. Tatsächlich werden sie jedoch von Botnet-gesteuerten Computern erzeugt.

Kryptomining

Botnetze können die Rechenleistung infizierter Computer nutzen, um Kryptowährungen zu schürfen und Einnahmen für Hacker zu generieren. Das Mining von Bitcoin erfordert erhebliche Rechenleistung. Botnetze können die Ressourcen vieler Computer effizient nutzen, um Kryptowährungen zu schürfen, ohne die dafür erforderliche Infrastruktur selbst besitzen zu müssen.

Ransomware

Angreifer nutzen Botnetze häufig, um Ransomware über Phishing-E-Mails oder böswillige Websites zu verbreiten und so viele Computer gleichzeitig zu infizieren. Diese Malware verschlüsselt die Dateien eines Opfers und fordert im Austausch für den Entschlüsselungsschlüssel eine Zahlung.

Häufige Ziele und Motive von Botnetzen

Zu den primären Zielen eines Bot-Hirten gehören unter anderem Computersysteme, Server, Netzwerke und Websites. Diese Geräte werden ins Visier genommen, um sie für böswillige Aktivitäten wie DDoS-Angriffe, Spamkampagnen, Datendiebstahl, Phishing und Klickbetrug einzusetzen.

Typischerweise – wenn auch nicht immer – besteht das Hauptmotiv eines kriminellen Akteurs darin, Geld zu verdienen. Er kann ein Botnetz monetarisieren, indem er den Zugriff darauf verkauft, durch Klickbetrug Einnahmen generiert oder damit sensible Informationen stiehlt, die auf dem Schwarzmarkt oder im Darknet verkauft werden. Neben den finanziellen Anreizen können Angreifer ein Botnetz auch nutzen, um kritische Zielsysteme lahmzulegen oder aus politischen oder ideologischen Gründen DDoS-Angriffe zu starten.

So verhindern Sie Botnet-Angriffe

Es gibt keine absolut sichere Methode, Botnetze zu verhindern. Mit der richtigen Strategie können Sie Ihre Abwehr jedoch erheblich verbessern. Um das Risiko zu minimieren, sollten Sie Ihre Software und Geräte durch Sicherheitsupdates auf dem neuesten Stand halten, eine leistungsfähige Firewall einsetzen, Compliance und Netzwerkverkehr überwachen und sicherstellen, dass Daten regelmäßig gesichert werden.

• Software regelmäßig aktualisieren und patchen: Stellen Sie sicher, dass die gesamte Unternehmenssoftware einschließlich Betriebssystemen, Webbrowsern und Plug-ins aktualisiert wird. Veraltete Software kann Schwachstellen enthalten, die von Botnetzen ausgenutzt werden können.
• Firewalls und Antivirensoftware verwenden: Bei regelmäßigen Systemscans kann Antivirensoftware dabei helfen, Botnet-Malware auf Ihren Geräten zu erkennen und zu entfernen, während Firewalls Eindringlinge daran hindern können, unbefugten Zugriff auf Systeme zu erlangen.
• Sicheres Surfverhalten praktizieren: Besuchen Sie keine Websites, denen Sie nicht vertrauen, und öffnen Sie keine verdächtigen E-Mails und klicken Sie nicht auf unbekannte Links.
• Starke Passwörter verwenden: Verwenden Sie am besten für alle Konten sichere und einzigartige Passwörter und ändern Sie diese regelmäßig.
• Netzwerkverkehr überwachen: Durch die regelmäßige Überwachung Ihres Netzwerkverkehrs können Sie ungewöhnliche Aktivitäten wie Verkehrsspitzen, ungewöhnliche Datenübertragungen und verdächtige IP-Adressen leichter erkennen.
• Datensicherungen: Sichern Sie wichtige Daten regelmäßig an einem sicheren externen Speicherort, der nicht mit Ihrem Netzwerk verbunden ist. So können Sie Ihre Daten im Fall eines Botnet-Angriffs oder eines anderen Datenverlusts wiederherstellen.

Einen Botnet-Angriff stoppen und sich davon erholen

Auch wenn das Stoppen und die Bewältigung eines Botnet-Angriffs komplex sind, kann es entscheidend sein, den Schaden zu begrenzen und künftige Angriffe zu verhindern, um Ihr Unternehmen vor einer Katastrophe zu schützen. Folgende Maßnahmen können Sie ergreifen:

1. Infizierte Geräte isolieren: Trennen Sie jedes infizierte Gerät umgehend von Ihrem Unternehmensnetzwerk und dem Internet, damit es nicht mit dem C&C-Server kommunizieren kann.
2. Nach Malware suchen und sie entfernen: Verwenden Sie seriöse Antivirensoftware , um infizierte Geräte nach Botnet-Malware zu durchsuchen und diese zu entfernen.
3. Passwörter ändern: Ändern Sie alle Passwörter für Konten, die möglicherweise kompromittiert wurden.
4. C&C-Kommunikation blockieren: Verwenden Sie Firewalls und andere Netzwerksicherheitstools , um die Kommunikation zwischen infizierten Geräten und dem C&C-Server zu blockieren. Dadurch wird verhindert, dass das Botnetz Befehle empfängt oder gestohlene Daten sendet.
5. Software aktualisieren: Aktualisieren Sie die gesamte Software und Firmware auf Ihren Geräten, einschließlich Betriebssystemen, Webbrowsern, Plug-ins und IoT-Geräten. So lassen sich Schwachstellen verhindern, die Botnetze ausnutzen können.
6. Netzwerkverkehr überwachen: Überwachen Sie Ihren Netzwerkverkehr auf ungewöhnliche Aktivitäten wie ausgehende Daten, Verbindungen zu verdächtigen IP-Adressen und ungewöhnliche DNS-Anfragen.
7. Aus Backups wiederherstellen: Hier kommt Ihr Notfallwiederherstellungsplan ins Spiel. Nach der erfolgreichen Entfernung der Botnet-Malware ist es an der Zeit, mit der Wiederherstellung zu beginnen. Starten Sie einen Datenwiederherstellungsplan durch die Wiederherstellung von Daten aus Backups. Befolgen Sie, sofern verfügbar, die in Ihrem unternehmenseigenen Notfallwiederherstellungsplan beschriebenen Schritte, um diesen Prozess abzuschließen.
8. Professionelle Hilfe in Anspruch nehmen: Beauftragen Sie einen Cybersicherheitsexperten oder ein professionelles Cybersicherheitsteam damit, Ihr System gegen künftige Angriffe zu schützen. 

Fazit: So schützen Sie Ihr Unternehmen vor Botnet-Angriffen

Botnet-Angriffe bedrohen die Sicherheit – und das Überleben – von Unternehmen. Daher müssen Sie proaktive Maßnahmen ergreifen, um Ihre Unternehmenssysteme davor zu schützen. Experten empfehlen Unternehmen, in Cybersicherheitstechnologien zu investieren, damit sie Cyberangriffe eindämmen können. Der Abschluss einer Cyberversicherung kann ebenfalls dazu beitragen, im Fall eines Angriffs die Kosten für Ausfallzeiten und die Systemwiederherstellung zu decken.

Wir haben die besten Unternehmen für Netzwerksicherheit im Enterprise-Bereich geprüft, damit Sie Ihr Netzwerk sicher halten und Ihre sensiblen Daten schützen können.