Mariposa (Botnet)

Mariposa (span. ‚Schmetterling‘) ist eines der größten bisher aufgedeckten Botnets. Erzeugt wurde es mittels des Butterfly-Toolkits.

Verbreitung

Infiziert wurden die betroffenen Rechner unter anderem über Links in Instant Messages, welche auf präparierte Websites verwiesen und eine Lücke im Microsoft Internet Explorer ausnutzten. Daneben geschah die Verbreitung auch über Tauschbörsen und USB-Sticks. Eine Analyse registrierte durchschnittlich vier Zugriffe pro Tag auf die entsprechenden Domains.

Größe

Das Botnetz soll aus 13 Millionen Rechnern bestanden haben und war zum damaligen Zeitpunkt damit das größte bekannte seiner Art. Infiziert waren PCs aus 190 Ländern, darunter auch Rechner von 500 Großunternehmen in den USA.

Verwendung

Das Mariposa wurde nicht als klassisches Spam-Botnet genutzt, das Ziel der Aktionen scheint vielmehr der Datenklau gewesen zu sein. So sammelte es Daten von mehr als 800.000 Nutzern, unter anderem Zugangsdaten zu Online-Banking-Accounts, E-Mail-Konten, Zugangsdaten zu Unternehmensnetzen und vieles mehr. Daneben wurde das Netz aber auch an andere vermietet, so wurde Anfang November eine DoS-Attacke auf arabische Websites registriert.

Aufdeckung

Erste Anzeichen auf die Existenz des Mariposa-Botnets fand das Defense Intelligence Team im Mai 2009. In der anschließenden Analyse des Botnets konnten zahlreiche Master-Server identifiziert werden. Der „Command and Control Server“ wurde am 23. Dezember 2009 vom Netz genommen.

Ende Februar 2010 wurden drei Spanier festgenommen, denen vorgeworfen wird das Botnetz betrieben zu haben. Die Festnahme erfolgte in einer gemeinsamen Aktion der Guardia Civil, des FBI, dem Georgia Tech Information Security Center, dem Sicherheitsspezialisten Panda Security und dem Defense Intelligence Team.

Im Juli 2010 hat die slowenische Polizei drei ehemalige Informatikstudenten verhaftet, ihnen wird vorgeworfen die Malware, welche zum Aufbau des Botnetzes genutzt wurde, entwickelt zu haben und an die Botnetz-Betreiber verkauft zu haben.