Botnet - Schätzung der Zombies

[Plzen.]

Hallo,
ich bereite mich gerade auf einen Vortrag über Botnetzwerke vor.
Und man liest stets nur, dass die Größe eines Botnetzes geschätzt wird. Laut F-secure sei Conficker z. B. rund 9 Millionen Zombies stark.
Aber woran wird das festgemacht? Wie kann man einschätzen, wie groß ein Botnet ist?
Wird ein bestimmtes Vorgehen einem bestimmten Bot zugeordnet?

Nunja, beim Versuch, etwas darüber zu finden, blieb ich bislang erfolglos.

Ty, Micha

 

[jotecklen]

Chaosradio Express hat das Thema mal recht ausführlich aufgegriffen.

http://chaosradio.ccc.de/cre155.html


Ein paar Stunden Stoff sind das, aber lohnt sich echt sich das mal reinzutun.

 

[rony]

es wird geschaut wie oft zombies vorkommen.

dabei unterscheidet man zwischen verwaltungsrechnern, privaten rechnern und firmenrechnern. natürlich gibt es noch mehr arten, aber das kommt auf die gesellschaft an, die die schätzung macht.

nun kann man diese zahl hochrechnen, also wenn 1 von 10 privat rechnern teil eines bodnetztes sind könnte man sagen 10% der privatrechner.

man versucht es aber genauer zu erfassen, so werden zahlen von hunderten oder tausenden von rechnern analysiert.
unteranderem auch die funde von virenscannern.

hinzu kommt, dass versucht wird die zahl der versendeten spam oder rechenleistung zu erfassen, und daraus dann die anzhal der rechner ermittelt wird.

natürlich sind das alles nur werte die relativ "ungnau" sind. soll heißen, bei 9 millionen, können es auch mal 500k mehr oder weniger sein.... aber es werden keine 2 oder 30 millionen rechner sein.

es sind richtwerte mit denen man arbeiten kann.

 

[Samurai76]

Ich bin der Meinung, das die Zählung gemacht wird, in dem der (die) C&C-Server beobachtet werden. Die ausgehenden Pakete werden anhand der IP gezählt, da aber bei Privaten Anschlüssen eine IP über mehrere Tage hinweg mehreren Rechner zugeordnet wird, kann man halt nur schätzen.

 

[jan4321]

Sowiet ich weiß, wird der Datenverkehr mit den Comand und Control Server analysiert. Desweitern kann natürlich auch über die art der Verbreitung, die ausgenutzten Lücken etz. darauf geschlossen werden. Ansonsten kenne ich noch gulli.com da trieben sich früher immer gern mal skripkiddys und Leute mit Hack halb wissen rum XD Oder du sucht mal nach: Security boards

 

[Sherman123]

Aus genauen Datenverkehrsauswertungen.

 

[enteon]

zur exakten analyse bricht man auch gerne mal mithilfe von honeypots in die server ein. wobei die botnetzbetreiber seit neustem ihrerseits ihre server als honeypots benutzen und den untersuchenden falsche kontrolle und falsche daten vorgaukeln.

es bleibt spannend

(außer man hat linux^^)