Zusätzlicher Schutz gegen Malware für Nutzer der Border Gateway Protocol (BGP) Feeds von Spamhaus

Was ist anders an dieser neuen BGP Community?

Wenn Sie das lesen und sich wundern, wie BGP-Feeds Schutz bieten können, legen wir Ihnen die Lektüre unseres BGP-Leitfadens für Anfänger ans Herz. Oder lesen Sie einfach hier weiter.

Abonnenten des Spamhaus BGP-Feeds haben zurzeit Zugriff auf drei Communitys:

1. „Don’t Route or Peer“-Liste (DROP-Liste) von Spamhaus
2. Die verbesserte DROP-Liste von Spamhaus (EDROP)
3. Botnet Controller List (BCL) – Dedicated. IP-Adressen von Servern, die als Hosts von Botnet Command-and-Controllers (C&Cs) dienen.

Die neue Community (die „Botnet Controller List – Compromised) listet die IP-Adressen legitimer Geräte auf, die Angreifer aktiv missbrauchen, um Botnet C&Cs zu hosten.

Warum ist es wichtig, den Zugriff auf diese IP-Adressen zu sperren?

Jede Malware-Familie funktioniert auf ihre ganz eigene Weise. Betreiber von Malware wie der berüchtigte Emotet hosten Botnet C&Cs vorzugsweise auf beeinträchtigten Geräten und nicht auf einem eigenen Server. Einige der Gründe:

1. Durch die direkte Kommunikation mit beeinträchtigten Geräten (IP-Adressen) können Angreifer vorhandene Sicherheitsvorrichtungen wie DNS-Firewalls umgehen.
2. In der Regel fällt es Endnutzern eher schwer, ihre infizierten Geräte zu säubern. Tatsächlich wissen die meisten Endnutzer nicht einmal, dass ihre Geräte beeinträchtigt sind oder eines ihrer Geräte als Botnet C&C-Server missbraucht wird.

Wenn Sie also Verbindungen nur zu speziellen Botnet C&C-IP-Adressen blockieren, bleibt die Tür zu Ihrem Netzwerk für einige der gefährlichsten Bedrohungen wie Emotet und Qakbot weit offen.

Sind Sie wegen der steigenden Anzahl falsch positiver Einträge beunruhigt?

Lassen Sie uns das klarstellen. Eine mit einem legitimen Gerät zusammenhängende IP-Adresse aufzulisten, ist KEIN falsch positiver Eintrag. Verteidigungsmechanismen sollten jeglichen Verkehr an IP-Adressen abweisen, die als Host eines Botnet C&C bekannt sind, unabhängig davon, ob die für den Host verantwortliche Person sich der Tatsache bewusst ist. Zur Erinnerung: Die Betreiber der Netzwerke, in denen das beeinträchtigte Gerät gehostet wird, werden von unserem Rechercheteam sofort benachrichtigt, wenn die IP-Adresse gelistet wird. Die betroffenen Teams dieser Netzwerke können sich also schnell an die Bereinigung der Situation begeben. Ist das Problem behoben und der Botnet C&C deaktiviert, wird der Listeneintrag in unseren BGP-Feeds innerhalb weniger Stunden automatisch gelöscht.

Historisch beruht die traditionelle BCL (auf der sich nur IP-Adressen befinden, die Botnet C&Cs hosten) darauf, möglichst keine falsch positiven Einträge zu haben. Verständlicherweise machen sich die Nutzer des neuen BCL-Datensatzes vielleicht Sorgen, dass auch einige zulässige Verbindungen abgewiesen werden.

Tatsächlich können geringfügige Kollateralschäden auftreten. Dabei ist der Begriff „Kollateralschaden“ vermutlich zu stark für das, worum es hier geht. Auf der einen Seite stehen Ihre Interessen, die Sicherheitsinteressen Ihrer Kunden und die Widerstandsfähigkeit Ihres Netzwerks, auf der anderen Seite geringfügige Unannehmlichkeiten – da fällt die Entscheidung leicht.

Wollen Sie Verkehr von einer IP-Adresse empfangen, die als Host eines Botnet C&C bekannt ist, Betrügern die Tür zu den Daten Ihrer Kunden öffnen und Angriffe mit Ransomware ermöglichen? Was ist schlimmer: ein großes Unternehmensnetzwerk, das mit Ransomware verschlüsselt wird, oder (im schlimmsten Fall) eine kleine Zahl blockierter, potenziell legitimer Verbindungen mit einem einzelnen DSL-Abonnenten in einem Dritt-Netzwerk?

Darüber hinaus hat dieser neue Datensatz eine viel kürzere Laufzeit (die sogenannte Time-to-live, auch TTL), denn unser Rechercheteam listet IP-Adressen in diesem Datensatz für einen erheblich kürzeren Zeitraum und überprüft die Einträge kontinuierlich, um sich zu vergewissern, ob der Botnet C&C noch aktiv ist.

Wenn Sie ein ISP sind und dies lesen: Seien Sie versichert, dass Sie nicht der Erste sind, der beeinträchtigte IP-Adressen, die Botnet C&Cs hosten, am Network Edge abweist. Und auch nicht der Letzte.

Woher stammt der Datensatz?

Die neue Partnerschaft zwischen Spamhaus und abuse.ch hat den Datenzugriff deutlich erweitert. Der neue „BCL – Compromised“-Datensatz mit beeinträchtigten Hosts enthält Daten aus dem Feodo Tracker von abuse.ch, der mit den wichtigsten Malware-Bedrohungen wie Emotet, Qakbot, Dridex und Bumblebee zusammenhängende Botnet C&C-Infrastrukturen verfolgt und validiert. Übrigens erscheinen all diese Malware-Familien in den Top 20 in unserem Botnet Threat Update, Q3 2022 (auf Englisch).

Wenn Sie diese Daten über Spamhaus nutzen, profitieren Sie vom Zugang zu technischem Support, einem robusten Service und schneller Problemlösung bei falsch positiven Einträgen.

Ich bin schon BGP-Abonnent. Wie komme ich an diese Daten?

Wie oben erwähnt, können aktuelle BGP-Nutzer die zusätzliche Community ohne Extrakosten nutzen.

Um an die Daten zu gelangen, melden Sie sich einfach im Kundenportal an und fordern über die „Kontakt“-Schaltfläche Zugriff auf das neue BGPf-Profil an, einschließlich der Botnet Controller List – Compromised Hosts.