BKA zerschlägt Botnetze „Aisuru“ und „Kimwolf“ – Millionen Geräte betroffen

Ermittlern ist ein Schlag gegen zwei der aktuell größten Botnetze gelungen. Wie das Bundeskriminalamt (BKA) gemeinsam mit der Generalstaatsanwaltschaft Köln (ZAC NRW) mitteilt, wurden die Infrastrukturen der Netzwerke „Aisuru“ und „Kimwolf“ am 19. März in einer international abgestimmten Aktion abgeschaltet. An den Maßnahmen beteiligt waren neben deutschen Behörden auch Strafverfolger aus den USA und Kanada.

Millionen infizierter Geräte im Einsatz

Nach Angaben der Ermittler umfassten beide Botnetze jeweils mehrere Millionen kompromittierte Geräte. Beim Aisuru-Netzwerk handelte es sich vor allem um infizierte IoT-Geräte wie Router oder Webcams. Beim Netzwerk „Kimwolf“ lag der Schwerpunkt dagegen eher auf Android-Geräten, vor allem auf günstigen TV-Boxen, die oft dauerhaft online sind. Was viele Nutzer dabei gar nicht mitbekommen: Die Geräte werden im Hintergrund kompromittiert und anschließend Teil des Botnetzes. Von außen ist davon in der Regel nichts zu sehen, während sie im Hintergrund bereits ferngesteuert eingesetzt werden.

DDoS-Angriffe und Proxy-Netzwerk

Die Botnetze kamen vor allem für groß angelegte DDoS-Angriffe zum Einsatz. Dabei werden gezielt Server oder Dienste mit Anfragen überlastet, bis diese nicht mehr erreichbar sind. Darüber hinaus erzielten nach Angaben der Ermittler insbesondere die Betreiber des Kimwolf-Netzwerks auch kommerzielle Einnahmen. Teile der Infrastruktur dienten als Residential-Proxy-Netzwerk. Kunden konnten darüber Internetverkehr über die infizierten Geräte leiten und so ihre eigene Identität verschleiern.

Durchsuchungen und Sicherstellungen

Im Zuge der Ermittlungen konnten zwei mutmaßliche Administratoren identifiziert werden. Gegen sie wird nun strafrechtlich ermittelt. An Wohnorten in Deutschland und Kanada fanden Durchsuchungen statt. Dabei wurden unter anderem Datenträger sowie Kryptowährungen im fünfstelligen Bereich sichergestellt.

Infektion oft unbemerkt

Besonders problematisch: Die Infektion der Geräte erfolgt in vielen Fällen ohne aktives Zutun der Nutzer. Angreifer nutzen gezielt bekannte Schwachstellen in internetfähigen Geräten aus.

Als Risikofaktoren gelten insbesondere:

• veraltete Firmware
• fehlende Sicherheitsupdates
• unveränderte Standardpasswörter

BSI übernimmt technische Maßnahmen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützte die Operation unter anderem durch sogenanntes Sinkholing. Dabei wird der Datenverkehr der Botnetze auf kontrollierte Systeme umgeleitet. Zudem informiert das BSI betroffene Nutzer über ihre Internetanbieter, wenn Hinweise auf eine Infektion vorliegen.