Moderne Botnetzerkennung (MoBE)
Der Trend hin zu modernen Botnetzen lässt sich daran erkennen, dass es gezielt verdeckte Botnetze gibt, die zur Spionage sowohl auf der Ebene von Regierungen als auch zur Industriespionage verwendet werden. Ein solches Botnetz ist beispielsweise das im März 2009 entdeckte "GhostNet": In einer gezielten Aktion konnten unbekannte Angreifer mehr als 1.200 Rechner in über 100 Ländern infiltrieren und mit einem Bot infizieren.
Im Rahmen des Forschungsprojekts "Moderne Botnetzerkennung" (MoBE) werden verschiedene Techniken und Werkzeuge geschaffen, um diese Arten von modernen Botnetzen erkennen und bekämpfen zu können. Dabei grenzen sich die hier vorgestellten Lösungsansätze von verwandten Arbeiten insbesondere dadurch ab, dass hohe Datenschutzanforderungen eingehalten werden und Skalierbarkeit im Hinblick auf den Einsatz in Hochgeschwindigkeitsnetzen gewährleistet wird. Das Projektziel ist die Schaffung von bisher nicht vorhandenen Mechanismen, die deutsche Bürger, Unternehmen und sonstige Institutionen vor den enormen Schäden von Botnetzen schützt. Bereits kurz nach Beginn des Projekts wurde ein Erkennungsmechanismus entwickelt, der Botnetze detektiert, die das DNS-Protokoll als Trägerprotokoll für den Command and Control Kanal benutzen.
MoBE setzt sich aus den vier Konsortialpartnern Westfälische Hochschule (Institut für Internet-Sicherheit, Prof. Dr. Norbert Pohlmann), Ruhr-Universität Bochum (Prof. Dr. Thorsten Holz), G Data Software AG sowie Vodafone D2 GmbH zusammen. Die Projektlautzeit beträgt 2,5 Jahre und begann am 1.7.2011. Das gesamte Finanzvolumen beläuft sich auf rund 1,4 Millionen Euro mit einem Förderanteil von einer Million Euro.
Publikationen
Die folgenden Publikationen sind im Rahmen des Projekts entstanden.
- Christian Rossow, Dennis Andriesse, Tillmann Werner, Brett Stone-Gross, Daniel Plohmann, Christian J. Dietrich, Herbert Bos. "P2PWNED — Modeling and Evaluating the Resilience of Peer-to-Peer Botnets". 34th IEEE Symposium on Security and Privacy, S&P 2013, San Francisco, CA.
- Christian J. Dietrich, Christian Rossow, Norbert Pohlmann. "CoCoSpot: Clustering and Recognizing Botnet Command and Control Channels using Traffic Analysis". A Special Issue of Computer Networks On "Botnet Activity: Analysis, Detection and Shutdown", Elsevier, July 2012.
- Christian J. Dietrich, Christian Rossow, Norbert Pohlmann. "Exploiting Visual Appearance to Cluster and Detect Rogue Software". 28th Symposium On Applied Computing, SAC 2013, Coimbra, Portugal.
- Chris Grier, Lucas Ballard, Juan Caballero, Neha Chachra, Christian J. Dietrich, Kirill Levchenko, Panayiotis Mavrommatis, Damon McCoy, Antonio Nappa, Andreas Pitsillidis, Niels Provos, Zubair Rafique, Moheeb Abu Rajab, Christian Rossow, Kurt Thomas, Vern Paxson, Stefan Savage, Geoffrey M. Voelker (alphabetical order). "Manufacturing Compromise: The Emergence of Exploit-as-a-Service". 19th ACM Conference on Computer and Communications Security, CCS 2012, Raleigh, NC, USA.
- Christian Rossow, Christian J. Dietrich, Herbert Bos. "Large-Scale Analysis of Malware Downloaders". 9th Conference on Detection of Intrusions and Malware & Vulnerability Assessment, DIMVA 2012, Heraklion, Greece.
- Christian J. Dietrich, Christian Rossow, Felix C. Freiling, Herbert Bos, Maarten van Steen, Norbert Pohlmann. "On Botnets that use DNS for Command and Control". European Conference on Computer Network Defense, EC2ND 2011.
- Marc Kührer, Thorsten Holz. "An Empirical Analysis of Malware Blacklists". PIK – Praxis der Informationsverarbeitung und Kommunikation. Volume 35, Issue 1, Pages 11–16, ISSN (Online) 1865-8342, ISSN (Print) 0930-5157, DOI: 10.1515/pik-2012-0003piko.2012.35.1.11, April 2012.
- Christian Rossow, Christian J. Dietrich, Christian Kreibich, Chris Grier, Vern Paxson, Norbert Pohlmann, Herbert Bos, Maarten van Steen. "Prudent Practices for Designing Malware Experiments: Status Quo and Outlook". 33rd IEEE Symposium on Security and Privacy, S&P 2012, San Francisco, CA.
- Armin Büscher, Thorsten Holz. "Tracking DDoS Attacks: Insights into the Business of Disrupting the Web" . 5th USENIX Workshop on Large-Scale Exploits and Emergent Threats (LEET ’12)
- G. Stringhini, M. Egele, A. Zarras, T. Holz, C. Kruegel, G. Vigna. "B@bel: Leveraging Email Delivery for Spam Mitigation". USENIX Security Symposium, August 2012
- Chris Grier, Lucas Ballard, Juan Caballero, Neha Chachra, Christian J. Dietrich, Kirill Levchenko, Panayiotis Mavrommatis, Damon McCoy, Antonio Nappa, Andreas Pitsillidis, Niels Provos, Zubair Rafique, Moheeb Abu Rajab, Christian Rossow, Kurt Thomas, Vern Paxson, Stefan Savage, Geoffrey M. Voelker (alphabetical order) "Manufacturing Compromise: The Emergence of Exploit-as-a-Service" . 19th ACM Conference on Computer and Communications Security, CCS 2012