DDoS-Botnetze vermehren sich nach der Abschaltung von Kimwolf und Aisuru

DDoS-Botnetze bauen sich schnell wieder auf, nachdem Behörden zwei der größten bekannten Operationen, Kimwolf und Aisuru, gestört haben.

Forscher warnen, dass Abschaltungen die unmittelbaren Auswirkungen eines Botnetzes verringern können, aber nicht die unsicheren Geräte beseitigen, die seinen Betrieb überhaupt ermöglicht haben. Daher konkurrieren neue Gruppen um denselben Bestand an ungeschützten Routern, Kameras, Android-Geräten und anderer vernetzter Hardware.

Die neuesten Erkenntnisse zeigen, dass Botnetz-Aktivitäten trotz der jüngsten Maßnahmen der Behörden weiterhin ein globales Problem darstellen.

Aisurus Infrastruktur wuchs nach der Störung

Eine groß angelegte Operation störte Aisuru und Kimwolf im März. Die Behörden nahmen außerdem einen Kanadier fest, der verdächtigt wird, Kimwolf betrieben zu haben.

Durch die Aktion wurde Kimwolf als aktives Botnetz ausgeschaltet. Forscher berichten jedoch, dass sich Aisuru schnell erholte. Innerhalb von vier Monaten hatte sich die bekannte Infrastruktur von Aisuru im Vergleich zu ihrer Größe vor der Störung mehr als verdoppelt.

Aisuru ist aktuellen Branchendaten zufolge inzwischen für schätzungsweise 33 Prozent des weltweiten DDoS-Angriffsverkehrs verantwortlich. Die Gruppe hatte zuvor mit Angriffen im Terabit-pro-Sekunde-Bereich Aufmerksamkeit erregt.

Große DDoS-Botnetze überlasten Websites und Netzwerke, indem sie Datenverkehr von einer enormen Zahl kompromittierter Geräte auf ein Ziel lenken. In den vergangenen Jahren sind Angriffe dieser Größenordnung immer häufiger geworden.

Kimwolfs Modell verbreitete sich unter rivalisierenden Gruppen

Kimwolf ist möglicherweise nicht mehr aktiv, doch seine Methoden haben sich verbreitet. Forscher identifizierten mehr als 20 konkurrierende Botnetze, die offenbar Teile seines Modells übernommen haben.

Die Zahl der täglich aktiven DDoS-Endpunkte ist im vergangenen Jahr stark gestiegen. Forscher schätzen, dass sie von rund einer Million Geräten auf acht bis neun Millionen angewachsen ist.

Der Wettbewerb hat die Struktur vieler Angriffe verändert. Ein typischer Angriff umfasst inzwischen etwa 20.000 bis 30.000 IP-Adressen, verglichen mit Hunderttausenden, die mit einigen früheren Kimwolf-Kampagnen in Verbindung gebracht wurden.

Das macht die Bedrohung jedoch nicht weniger ernst. Auch ein kleinerer Angriff kann ein Unternehmen, einen öffentlichen Dienst oder eine Onlineplattform stören. Die wachsende Zahl von Betreibern erschwert zudem die Überwachung und Zerschlagung des Ökosystems.

Unsichere Geräte versorgen Botnetze weiterhin mit Ressourcen

Das grundlegende Problem ist die enorme Zahl schlecht gesicherter Geräte, die mit dem Internet verbunden sind. Aisuru hat Router, CCTV-Systeme, Android-TV-Boxen und andere Geräte des Internets der Dinge ins Visier genommen.

Viele dieser Produkte verwenden weiterhin werkseitig voreingestellte Zugangsdaten oder laufen mit Software, die bekannte Schwachstellen enthält. Besitzer installieren möglicherweise nie Updates, während manche Geräte bereits lange vor ihrer Außerbetriebnahme keine Unterstützung mehr erhalten.

Die Forscher wiesen außerdem auf ein anhaltendes Problem mit Residential-Proxy-Netzwerken hin. Diese Netzwerke können Geräte in Privathaushalten für Angreifer zugänglich machen, insbesondere wenn günstige Android-Hardware unerwünschte Proxy-Software oder unsichere Einstellungen enthält.

Dadurch entsteht ein ständiger Vorrat an Geräten, die Botnetz-Betreiber rekrutieren können. Die Entfernung von Command-and-Control-Servern kann eine Operation stören, doch neue Infrastruktur kann entstehen, solange verwundbare Endpunkte online bleiben.

Hersteller und Nutzer tragen gemeinsam Verantwortung

Forscher identifizierten Probleme entlang der gesamten Lieferkette für Geräte. Komponentenhersteller können unsichere Softwarebestandteile veröffentlichen, Gerätehersteller können diese während der Produktion übersehen und Nutzer können weiterhin auf veraltete Produkte setzen.

Gerätebesitzer können ihr eigenes Risiko verringern, indem sie Standardpasswörter ändern, Sicherheitsupdates installieren und nicht mehr unterstützte Hardware ersetzen. Unternehmen sollten außerdem ein Verzeichnis ihrer vernetzten Geräte führen und unnötigen Internetzugriff entfernen.

Dauerhafte Fortschritte erfordern jedoch, dass Hersteller sichere Standardeinstellungen und zuverlässige langfristige Updates bereitstellen.

Fazit

DDoS-Botnetze entwickeln sich weiter, weil ihre Betreiber noch immer Millionen anfälliger Geräte finden können. Die Maßnahmen gegen Kimwolf und Aisuru schwächten große Akteure, zeigten jedoch auch, dass Strafverfolgungsmaßnahmen allein das Problem nicht lösen können. Um die nächste Generation von Botnetzen zu verhindern, ist eine stärkere Sicherheit im gesamten Geräteökosystem erforderlich.