BKA und Kollegen legen Botnetze mit Millionen gekaperten Geräten still

In einer international koordinierten Aktion haben deutsche und nordamerikanische Strafverfolgungsbehörden zwei der weltweit größten Botnetze außer Betrieb gesetzt. In diesen waren Millionen von gekaperten Geräten zusammengeschaltet.

Aisuru und Kimwolf

Wie die Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) und das Bundeskriminalamt (BKA) mitteilten, richtete sich der gestrige Einsatz gegen die Netzwerke "Aisuru" und "Kimwolf". Beteiligt daran waren auch Behörden aus Kanada und den USA. Beide Botnetze galten aufgrund ihrer enormen Größe und Leistungsfähigkeit als erhebliche Gefahr für digitale Infrastrukturen weltweit.

Im Zuge der Maßnahmen wurde die technische Infrastruktur der Netzwerke abgeschaltet. Zudem identifizierten Ermittler zwei mutmaßliche Betreiber. Gegen sie laufen nun strafrechtliche Verfahren. An Wohnorten in Deutschland und Kanada fanden Durchsuchungen statt, bei denen umfangreiche Beweismittel sichergestellt wurden. Neben Datenträgern beschlagnahmten die Behörden auch Kryptowährungen im fünfstelligen Wert. Den Zugriffen gingen monatelange Ermittlungen voraus, die laut Angaben der Behörden eine enge internationale Abstimmung und hohe technische Expertise erforderten.


Die Botnetze hatten zuvor insbesondere durch großangelegte DDoS-Angriffe Aufmerksamkeit erregt. Dabei werden Server gezielt mit Anfragen überlastet, um Dienste lahmzulegen. Nach Einschätzung der Ermittler umfasste das "Aisuru"-Netzwerk mehrere Millionen kompromittierte Internet-of-Things-Geräte wie Router oder Webcams. Das damit verbundene "Kimwolf"-Botnetz bestand überwiegend aus infizierten Android-TV-Boxen in ähnlicher Größenordnung.

Unbemerkte Infektionen

Die betroffenen Geräte werden in der Regel unbemerkt durch Schadsoftware infiziert und anschließend ferngesteuert für Angriffe genutzt. Darüber hinaus diente Kimwolf auch als sogenanntes Proxy-Netzwerk: Kriminelle konnten gegen Bezahlung auf die Geräte zugreifen, um ihre eigene Internetkommunikation zu verschleiern.

Nach Angaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) können Infektionen häufig ohne aktives Zutun der Nutzer erfolgen, insbesondere bei Geräten mit Sicherheitslücken oder veralteter Software. Unsichere oder unveränderte Standardpasswörter erhöhen das Risiko zusätzlich. Das BSI unterstützte die Maßnahmen technisch, unter anderem durch das sogenannte "Sinkholing", bei dem schädlicher Datenverkehr umgeleitet und kontrolliert wird. Betroffene Nutzer sollen über ihre Internetanbieter informiert werden und erhalten Hinweise zur Bereinigung infizierter Geräte.


Siehe auch: