Das Abschalten der zentralen Bot-Netz-Server wird die Spam-Landschaft verändern
Bot-Netz-Betreiber rüsten ihre Systemarchitektur auf
Nach dem Abschalten der Spam-Schleudern McColo und Atrivo werden sich die Spamversender und Bot-Netz-Betreiber jetzt auf eine neue Strategie und Systemarchitektur verlegen - vermuten Sicherheitsexperten.
"Nach dem Abschalten der beiden ISPs (Internet Service Provider) McColo und Intercage, alias
Atrivo, werden die Botnetzbetreiber schon bald auf neue dezentrale Strukturen ausweichen", sagt
Graham Cluley, Senior-Technology-Consultant bei Sophos.
Zwar gäbe es schon lange viele Anzeichen für eine neue dezentrale Organisation der Bot-Netze,
doch so lange die großen Mega-Server wie McColo noch funktionsfähig waren, gab es laut Cluley
keinen äußeren Druck für eine Umstellung. "Jetzt aber sind die Karten neu gemischt. Die
Bot-Netz-Betreiber wissen genau, dass sie keine zentralen Server mehr betreiben können, da diese
sofort wieder abgeblockt werden", erläutert Cluley die neue Situation.
Dem stimmt auch Joe Stewart von Secureworks zu. "Zwei Architekturen werden jetzt hoch im Kurs
stehen: eine sehr flexible Hosting-Plattform, die sich in Windeseile auf andere Server verschieben
lässt, so dass die Jäger immer zu spät dran sind sowie eine Peer-to-Peer (P2P) Architektur nach dem
Vorbild des Storm-Botnet", ist seine Vermutung.
Auf jeden Fall sind die Bot-Netz-Betreiber vorerst aufgescheucht und müssen neue Wege
einschlagen. Der Vorteil davon ist, dass sich das Spam-Volumen noch für einige Zeit in Grenzen
halten wird, doch der Nachteil ist, dass die Methoden jetzt noch raffinierter werden und folglich
die Spam-Versendung noch schwerer zu bekämpfen ist.
"In beiden Architekturen sind noch einige Hürden zu knacken, denn einer total dezentralen Lösung
steht die Forderung nach einem zentralen Managen der Command-and-Control (C&C) Einrichtungen
gegenüber", so Stewart. So ist auch Storm kein reines P2P-System, sondern verfügt über eine
abgestufte C&C-Struktur, die sogar soweit geht, dass bei Bedarf das gesamte Netz von der
Zentrale aus abgeschaltet werden kann.
Harald Weiss/CZ
Lesen Sie mehr zum Thema
