Von Helmut Martin-Jung

Als vor zwei Wochen der Internetanbieter McColo vom Netz getrennt wurde, war die Hydra des Werbemülls zunächst kopflos. Doch sie erholt sich.

Der Schlag traf die Spam-Mafia überraschend, aber nicht unvorbereitet. Als vor gut zwei Wochen der amerikanische Internetanbieter McColo vom Netz getrennt wurde, war die Hydra des Werbemülls zwar zunächst kopflos. Die vielen hunderttausend Rechner, welche die Spammer ohne Wissen und Zustimmung der Besitzer in Netzen sogenannter Bots wie ferngesteuerte Roboter für ihre Zwecke missbrauchen, versuchten vergeblich, die bei McColo angesiedelte Kommandozentrale zu erreichen, um sich neue Aufträge abzuholen.

Als die aber ausblieben, blieb auch der Spam aus: So wenig Werbemüll habe es zuletzt im April 2007 gegeben, stellte der Onlinedienst heise.de noch vergangene Woche fest. Doch seither steigt das Aufkommen wieder an - wie im antiken Mythos wachsen dem Monster neue Köpfe nach.

Die Programme, die heimlich auf den gekaperten Rechnern installiert worden sind, haben eine eingebaute Notfunktion, wie der amerikanische Sicherheitsdienstleister FireEye im Falle eines konkreten Spam-Netzes herausfand. Rechner, die für das Botnetz "Srizbi" gekapert worden sind, bilden mit einem Zufallsprogramm Namen für Internetseiten und reservieren diese automatisch bei Registrierungsunternehmen. Über eine dieser Adressen können die Spamversender dann die Bot-Armee zur neuen Kommandozentrale leiten und so wieder neue Befehle herausgeben.

Ermittlungen in Minuten

Eine Zeitlang vermieste FireEye den Spammern das Geschäft. Nachdem Experten der Firma die Programme der Kriminellen auseinandergenommen hatten, konnten sie vorhersagen, nach welchem Muster neue Namen registriert werden sollten und beanspruchten die Namen für sich. Da aber jedesmal eine Anmeldegebühr bezahlt werden muss, konnte die Firma das nicht unendlich weitertreiben, wie ihr Sicherheitschef Fengmin Gong sagt. Man suche nun nach Möglichkeiten, für eine solche vorausschauende Registrierung von Internetseiten Geld aufzutreiben.

Lohnen würde sich diese Anstrengung im Moment zumindestens schon. Kaum hatte FireEye seine Bemühungen eingestellt, trat der neue Kopf der Hydra schon wieder in Aktion. Als Zentrum wurde dieses Mal ein Server eines Dienstleisters in Estland ausgemacht. Auch der wurde zwar schnell wieder abgeschaltet, doch ist damit zu rechnen, dass die Spammer alles daransetzen, ihre Kommandozentrale in ein Land zu verlagern, wo der Arm des Gesetzes nicht so schnell ist oder aber wo es erst gar keine Gesetze gegen Spam gibt.