Botnetz operierte seit Jahrzehnten unerkannt auf alten Routern

Es kommt nicht immer auf die Größe an: Ein Botnetz schaffte es, über Jahrzehnte weitgehend unter dem Radar zu operieren. Jetzt ist es internationalen Strafverfolgungsbehörden aber gelungen, das Netzwerk stillzulegen und die Hinterleute zu identifizieren.

Vier Angeklagte

In der kriminellen Infrastruktur wurden über Jahrzehnte weltweit zehntausende ältere WLAN-Router zusammengeführt. Über das so entstandene Botnetz wurden zwei sogenannte "Residential Proxy"-Netzwerke betrieben: Anyproxy und 5socks. Die beiden Dienste ermöglichten es Nutzern, auf infizierte Router zuzugreifen und diese als Tarnung für Cyberangriffe zu verwenden.

Im Rahmen der Ermittlungen, die unter dem Codenamen "Operation Moonlander" liefen, arbeiteten das US-Justizministerium, die niederländische Polizei, die niederländische Staatsanwaltschaft sowie die thailändische Polizei eng zusammen. Technische Unterstützung kam von den Sicherheitsexperten der Black Lotus Labs des Unternehmens Lumen Technologies.


Infolge der Ermittlungserfolge wurden nun vier Personen angeklagt: drei russische Staatsbürger sowie ein aus Kasachstan stammender Mann. Ihnen wird vorgeworfen, das Botnetz betrieben und über die Plattformen Anyproxy.net und 5socks.net vermarktet zu haben. Insgesamt sollen sie über 46 Millionen Dollar durch den Verkauf von Abonnements eingenommen haben.

Vermietung bringt Geld

Laut der Anklageschrift wurden von den Beschuldigten Router seit dem Jahr 2004 mit Schadsoftware infiziert. Viele der betroffenen Geräte waren veraltet und hatten aktive Fernwartungsfunktionen, wodurch sie besonders anfällig waren. Mithilfe der sogenannten TheMoon-Malware konnten die Täter Proxyserver auf den kompromittierten Routern einrichten, um sie daraufhin für DDoS-Attacken, Krypto-Diebstähle oder Betrug mit Online-Werbung nutzbar zu machen.

Nur etwa zehn Prozent der infizierten Geräte wurden von gängigen Sicherheitstools wie VirusTotal als verdächtig erkannt. Die Täter verschleierten so effektiv ihre Aktivitäten und ermöglichten anderen Kriminellen, eine anonyme Infrastruktur zu nutzen. Das FBI veröffentlichte parallel zur Anklage eine Warnmeldung an die Öffentlichkeit und IT-Verantwortliche. Diese weist darauf hin, dass insbesondere ältere Router-Modelle von Cisco und Linksys gefährdet seien. Siehe auch: