Botnet Dridex ist nicht auszurotten

Noch immer ist das Botnet Dridex aktiv. Wie das Sicherheitsunternehmen Trend Micro erklärt, scheinen die von internationalen Sicherheitsbehörden im Oktober durchgeführten Aktionen das Netzwerk nicht vollständig zerschlagen zu haben. So habe etwa die Beschlagnahmung von Servern dem Botnet einen empfindlichen Schlag versetzt, die Malware sei aber “noch lange nicht tot”, wie Trend Micro in einem Blog erklärt.

Eine Analyse der Dridex-Infektionen in den zwei Wochen vor und nach der Abschaltung der Server habe ergeben, dass die Zahl der betroffenen Nutzer um 24 Prozent zurückgegangen sei, so Trend Micro weiter. Außerdem habe sich die regionale Verbreitung der Opfer stark verändert. Der Anteil der US-Nutzer sei von 29,53 Prozent auf 13,64 Prozent zurückgegangen.

Zuletzt führte Frankreich mit 25,55 Prozent die Rangliste an, gefolgt von Großbritannien mit 18,50 Prozent und den USA. Deutschland, das vor der Polizeiaktion nicht in den Top Ten vertreten war, liegt nun auf dem sechsten Platz, hinter Australien und Belgien und vor den Philippinen, Italien, Indien und Spanien.

Trend Micro erklärt, dass Befehlsserver aktiv sind, die sich außerhalb der Reichweite der Strafverfolger befinden. Andere Server seien von Ermittlern noch nicht entdeckt worden. Außerdem sei mit dem Systemadministrator Andrey Ghinkul nur ein Mitglied der Dridex-Gruppe verhaftet worden. Es seien inzwischen sogar neue Varianten der Malware in Umlauf gebracht worden, die neue Befehlsserver nutzten.

Dridex sei besonders widerstandsfähig, da es als Botnet as a Service (BaaS) entwickelt worden sei. Tatsächlich bestehe es aus vielen einzelnen Botnetzen mit eigenen Konfigurationsdateien. Eine Peer-to-peer-Architektur, wie sie auch Gameover Zeus verwende, helfe den Cyberkriminellen zudem, ihre Befehlsserver sowie deren Aktivitäten zu verstecken.

“Aktionen wie diese sind effektiv, um die Aktivitäten von Cybercrime-Operationen kurzfristig zu stören, aber langfristiger Erfolg ist nicht immer garantiert”, heißt es von Trend Micro. “Sie haben zur Folge, dass die ineffektivsten Bedrohungen verschwinden und Cyberkriminelle aus ihren Fehlern lernen können. Um Cyberverbrechen wirklich aufzuhalten, sind Verhaftungen notwendig.”

An der Aktion gegen Dridex waren neben dem FBI und der britischen National Crime Agency auch das Bundeskriminalamt und das zu Europol gehörende European Crime Centre beteiligt. Unterstützung erhielten die Ermittler von Dell Secure Works, Spamhaus, abuse.ch und dem US-Cert.

Dridex stiehlt laut Brett Stone-Gross, Mitarbeiter von Dell Secure Works, Anmeldedaten, Zertifikate, Cookies und andere vertrauliche Informationen, um beispielsweise Geld auf Konten der Hacker zu überweisen. Von US-Konten von Penneco Oil wurden 2012 beispielsweise 3,5 Millionen Dollar auf Konten in Russland transferiert, teilt das FBI mit.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.