Botnetz nach ISP-Störung kurz geschwächt

Passwort-Diebstahl durch Zeus-Trojaner läuft wieder auf Hochtouren

Der Internet Service Provider (ISP) Troyak.org steht bereits seit einiger Zeit in Verdacht, etlichen Command-and-Control- Servern (C&C-Server) für Spam - und Malware - Botnetze Unterschlupf zu gewähren. Insbesondere wird Troyak zur Last gelegt, etwa ein Viertel der C&C-Server zu hosten, die sich mit Zeus- bzw. Zbot-infizierten Zombie -Rechnern verbinden.

Dieser Verdacht scheint sich nun zu bestätigen; denn als Troyak in dieser Woche kurzzeitig vom Netz getrennt war, gingen auch die Zeus-Aktivitäten massiv zurück. Doch offenbar haben die eigentlichen Botnetz-Betreiber um die drohende Abschaltung gewusst: Der Security-Experte Scansafe, mittlerweile ein Teil von Cisco Systems, hat kurz vor dem Shutdown von Troyak einen deutlichen Anstieg der Malware-Aktivitäten registriert.

„Alle Daten scheinen darauf hinzuweisen, dass sie [die Botnetz-Betreiber, Anm. d. Red.] eine Vorwarnung und somit eine gute Chance bekommen hätten, ihre Bots zu aktualisieren“, argwöhnt Mary Landsman, Senior Security Researcher von Scansafe. Die Botnetz-Störung sei nur von kurzer Dauer gewesen. Sämtliche Verbindungen seien wieder aktiv, nachdem der ISP neue Upstream-Provider gefunden habe: „Alle geprüften IP-Adressen waren wieder verfügbar, als Troyak wieder online ging.“

Trojaner der Familie Zbot/Zeus sind bekannt dafür, sensible Daten wie Passwörter zu stehlen. Die Zahl infizierter Rechner, die in hunderten verschiedener Zeus-Botnetze organisiert sind, wird aktuell auf etwa 1,6 Millionen geschätzt. Im Jahr 2007 wurde eine ältere Version von Zeus/Zbot dazu verwendet, um europäische und amerikanische Banken bzw. deren Kunden um 20 Millionen US-Dollar zu erleichtern.

Das Botnetz gilt auch heute noch als eine der größten Plagen der Finanzindustrie: Die Trojaner werden genutzt, um Online-Banking-Formulare zu manipulieren. So wird dem Kunden beispielsweise ein falscher Saldo angezeigt, obwohl das Konto bereits leergeräumt ist.