10
Gegen wen kämpfen wir?

Das Internet hat Geografie bedeutungslos gemacht - in naher Zukunft werden wir eher Opfer von Internetkriminalität als von Straftaten in der wirklichen Welt werden. Das gilt insbesondere in Ländern mit niedriger Kriminalitätsrate.

Vor dem Internet waren Taschendiebe und Autoknacker die Straftäter, die es am häufigsten auf Otto-Normalverbraucher abgesehen hatten. Dabei kamen die meisten Täter aus der Nähe. Taschendiebe fliegen nicht um die halbe Welt, um deine Brieftasche zu stehlen. Doch in dem Maße, wie wir die echte Welt verlassen und in die Online-Welt einziehen, müssen wir uns mit, sagen wir mal, brasilianischen oder vietnamesischen Internetangreifern beschäftigen. In deren Augen sind wir genau so nah wie jedes andere Opfer irgendwo auf der Welt.

Sich gegen unbekannte Feinde zu verteidigen, ist schwierig. Um unsere Informationssysteme zu schützen, müssen wir wissen, gegen wen wir kämpfen und warum sie uns angreifen. Unsere Anstrengungen werden vergebens sein, wenn wir unsere Feinde nicht kennen.

Schuljungen

In der ersten Zeit der Computerviren waren Schuljungen, die zum Spaß Schadsoftware schrieben, das Problem. Sie hatten keine Hintergedanken, sondern wollten einfach sehen, wie viel Schaden sie anrichten konnten oder wie weit sich das von ihnen erschaffene Virus verbreiten konnte. Warum wurden nur Jungs beim Erstellen von Viren erwischt? Ich vermute, dass Mädchen ebenfalls Viren erstellten, aber zu schlau waren, um sich erwischen zu lassen.

Da Informationsnetzwerke damals sehr rudimentär waren, verbreiteten sich Viren über Floppy Disks. Im Jahr 1992 erhielten wir ein Musterexemplar eines neuen bis dahin unbekannten Virus. Er kam per Post auf einer Floppy Disk. Ich dekompilierte die Malware und verfasste folgende Beschreibung:

Das Cinderella-II-Virus wurde Ende 1992 gefunden. Es basiert teilweise auf dem finnischen Cinderella-Virus. Diese Viren stammen möglicherweise vom selben Autor. Das Virus ist bisher nur in Finnland festgestellt worden.

Cinderella II bleibt in Arbeitsspeichern aktiv und infiziert fast alle COM- und EXE-Dateien, die ausgeführt werden. Die infizierten Daten wachsen um 783 Bytes an. Das Virus verändert den Zeitstempel der Dateien, die es infiziert, nicht.

Es wird aktiviert, nachdem es eintausend Dateien infiziert hat. Wenn das Virus aktiviert ist, versucht es, die Daten auf der Festplatte zu überschreiben, scheitert jedoch möglicherweise aufgrund eines Programmierfehlers.

Offensichtlich beabsichtigte der Autor den Assemblerbefehl INT 13, AH=03 h, auszuführen, absolutes Schreiben auf Diskette. Ziele sind die Festplatte, der Master Boot Record (MBR) und die Partitionstabelle. Damit würde der Start des Computers verhindert. Allerdings funktioniert es aufgrund des Programmierfehlers nicht.

Danach wird der Text »Cinderella I« in Endlosschleife gedruckt und bringt den Rechner zum Absturz. Dieser Text ist mittels XOR-Operation verschlüsselt und nicht sichtbar, wenn man den Code des Virus untersucht.

Insgesamt ist Cinderella II ein einigermaßen funktionsfähiges Virus. Finnische Viren-Autoren scheinen ihre Fähigkeiten weiterzuentwickeln.

Cinderella und Cinderella II verbreiteten sich auf Bulletin Board Systemen (BBS). Ich verfolgte die Verbreitungswege und sammelte Hinweise auf die Herkunft des Virus. Endlich fand ich die Benutzerkennung, die die erste Version des Schadprogramms an ein großes BBS geschickt hatte, sprach mit dem Systemoperator und überzeugte ihn, mir die dazugehörige Telefonnummer zu geben.

Am nächsten Tag rief ich die Nummer an. Ein Herr mittleren Alters aus dem ländlichen Raum hob ab. Nachdem ich ihm den Grund für meinen Anruf genannt hatte, erfuhr ich, dass die Familie einen 16-jährigen Sohn hatte, der seinen Computer nutzte, um verschiedene Dienste abzurufen.

Ich fragte, ob ich mit ihm sprechen könne. Der Junge erkannte schnell, dass er erwischt worden war. Wir unterhielten uns, und ich fragte ihn, warum er Viren erstellte. Seine Antwort habe ich nie vergessen: »Ich lebe mit meinen Eltern auf dem Land. Hier ist es einsam. Die nächste Ortschaft ist zehn Kilometer entfernt, und wir haben keine Nachbarn. Zum Zeitvertreib schrieb ich einen Virus und verfolgte die BBS-Diskussionen, während es um die Welt reiste. Ich fühlte mich richtig gut, als es sich in Kalifornien verbreitete. Ich kann hier nicht weg, aber ich habe etwas erstellt, das es konnte.«

In gewisser Weise verstand ich den Jungen. Er war ein typischer Virenschreiber seiner Zeit: ein talentierter, frustrierter junger Mann, der seine Spuren im Internet hinterlassen wollte.

Spammer

In der Zeit, als ich Menschen wie den Autor von Cinderella anrief, hätte ich es nicht geglaubt, wenn mir jemand gesagt hätte, dass wir es schon bald mit Berufsverbrechern statt mit Bastlern zu tun haben würden. Internetkriminalität ist heute ein weltweites Phänomen.

Bei einigen Gelegenheiten habe ich schon in den 1990er Jahren vorhergesagt, dass Virenschreiber anfangen könnten, mit ihren Angriffen Geld zu verdienen. Das trat ein, und Geld ist eindeutig das Hauptmotiv für moderne Malware-Angriffe. Die Veränderung begann im Jahr 2003, als Leute, die Junk-Mails verschickten (Spammer), sich mit Virenschreibern zusammenschlossen. Der Versand von Spam-Nachrichten (Spamming) oder unerwünschter E-Mail-Werbung wurde Anfang der 2000er Jahre zu einem echten Problem. Primitive E-Mail-Filter wurden eingerichtet, um Spam-Nachrichten Einhalt zu gebieten, konnten aber leicht umgangen werden.

Der erste wirklich wirksame Spam-Filter wurde von Paul Graham entwickelt. Er beschrieb seine Technik in seinem im Jahr 2002 veröffentlichten Artikel »Ein Plan für Spam«. Der Plan war, ausgehend von Bayes' Theorem, normale E-Mails von Spam zu trennen, indem er einem Algorithmus beibrachte, wie eine unerwünschte E-Mail aussieht. Mit anderen Worten: die Nutzung maschinellen Lernens.

Graham, der Entwickler des ersten Bayes-Filters, ist heute für den Start-up-Beschleuniger Y Combinator bekannt, der Dropbox, Twitch, Coinbase, DoorDash, Airbnb und Stripe den Weg bereitet hat. Interessanterweise ist der Mitbegründer des Y Combinators Robert Morris, der 1988 als Schreiber des ersten Internetwurms (Morris-Wurms) in die Annalen der Informationssicherheit einging. Der Wurm gelangte auf die Titelseiten diverser Zeitungen, und Morris wurde für das Erstellen des Wurms zu einer dreijährigen Bewährungsstrafe verurteilt. Der Morris-Wurm verbreitete sich quer durchs Internet, erreichte Finnland aber nie, weil das finnische Universitätsnetzwerk erst am 19. November 1988 - zwei Wochen nach dem Ausbruch der Morris-Wurm-Pandemie - mit dem Backbone-Netzwerk des Internets verbunden wurde. Heute ist Morris als Professor tätig, und seine Homepage nimmt wie folgt Bezug auf seinen Hintergrund als Wurmschreiber: »Robert Morris ist Professor für Computerwissenschaft an der MIT. Im Jahr 1988 machte seine Entdeckung des Speicherüberlaufs der Öffentlichkeit das Internet erstmals bekannt. Er hat seinen Doktor in Computerwissenschaft in Harvard gemacht.«

Anfangs stoppte man Spam-Mails am wirkungsvollsten, indem man eine Liste der verwendeten E-Mail-Server erstellte und alle E-Mails von diesen Adressen herausfilterte.

Spammer versuchten, dies zu umgehen, indem sie ständig neue Server aufboten, aber diese wurden schnell entdeckt. Sie mussten sich etwas Neues einfallen lassen.

Daraufhin fanden Spammer einen Weg, sich der Fähigkeiten von Hobbyvirenschreibern zu bedienen und ihre Netzwerke von tausenden infizierten Heimcomputern zu nutzen. Junge Kerle, die zum Spaß Viren erstellten, konnten die Rechner, die sie infiziert hatten, kontrollieren, hatten dafür aber keine sinnvolle Verwendung. Die Spammer erkannten, dass sie diese Heimcomputer für den Versand von E-Mails nutzen konnten. So mussten sie ihre eigenen Server nicht benutzen, und die Nachrichten von den Rechnern echter Nutzer waren schwieriger herauszufiltern.

Infizierte Rechner wurden im Jahr 2003 schnell handelbare Ware. Verkäufer waren Virenschreiber, die ihre Fähigkeiten erstmals zu Geld machen konnten. Käufer waren die Spam-Könige der Welt, die diesen neuen Weg nutzten, um unzählige Millionen von Spam-Nachrichten zwecks Verkaufs von Produkten, die sie reich machten, zu versenden.

Das war eine offenkundige Zäsur unter den Virenschreibern. Einige der alten Hobbyschreiber und Puristen hassten Spam und die neue Ära, in der ihr Hobby zu Geld gemacht worden war, um massenhaft Viagra-Werbung zu verschicken.

Ein großer Anteil von Virenschreibern brach die Verbindungen zu diesem Betätigungsfeld ab, hörte mit dem Virenschreiben auf und verschwand.

Die Verbleibenden taten es für Geld. Das Zeitalter der Berufsverbrecher auf dem Gebiet der Malware hatte begonnen.

Professionelle Cybergruppen

Im Jahr 2016 erfand ich einen neuen Ausdruck: Cybercrime-Einhörner. Einhörner steht hier für Technologie-Start-ups mit Milliarden US-Dollar-Bewertungen. Irgendwann begann ich zu überlegen, ob es letztendlich professionelle Cybergruppen geben würde, die vermögend genug wären, um als Einhörner betrachtet...