Was ist ein Denial-of-Service-Angriff (DoS)?

Denial-of-Service (DoS) ist eine der ältesten und hartnäckigsten Formen von Cyberangriffen. Das Ziel ist einfach: die Verfügbarkeit eines legitimen Dienstes zu unterbinden.

Formen von Denial-of-Service-Angriffen

DoS-Angriffe laufen hauptsächlich über folgende Techniken ab:

• Flooding: Ein koordinierter Angriff überlastet die für den Dienst zuständigen Server mit mehr Datenverkehr, als sie bewältigen können
• Ausnutzung einer Sicherheitslücke: Bestimmte Nachrichten - sogenannte Exploits - machen den Dienst unzugänglich, indem sie seine Rechenressourcen erschöpfen, etwa durch eine Endlosschleife, Verlangsamung, Absturz, Einfrieren oder Neustart der Anwendung.

So nutzen Angreifer Sicherheitslücken aus oder überlasten Ressourcen wie Netzwerkbandbreite, CPU und Arbeitsspeicher, bis das Ziel seine Kunden nicht mehr bedienen kann.

Eine der wirksamsten Formen dieses Angriffs ist die verteilte Variante - Distributed Denial of Service (DDoS) -, bei der ein Angreifer mehrere Rechner infiziert und kontrolliert und anschließend einen Angriff auf das Opfer koordiniert. Angriffe mit der oben beschriebenen Flooding-Methode sind typischerweise DDoS-Angriffe.

DoS- und DDoS-Angriffe sind schwer nachzuverfolgen und haben erhebliche Auswirkungen. Sie sind so alt wie das kommerzielle Internet und entwickeln sich ständig zu moderneren und effektiveren Methoden der Dienstverweigerung weiter, etwa durch den jüngsten Einsatz von künstlicher Intelligenz und Cloud-Technologie bei der Koordination dieser Angriffe.

Wie beginnt also ein DoS-Angriff?

Wie Geräte rekrutiert, gehackt und ausgenutzt werden

Vielleicht hast du schon von Botnetzen und den Risiken kostenloser VPNs gehört. Schadprogramme herunterzuladen, die sich hinter legitimen Diensten verstecken, ist eine der häufigsten Methoden, mit denen Geräte gehackt werden. Das erinnert an die philosophische Maxime aus den Reddit-Foren: Wenn der Dienst kostenlos ist, bist du das Produkt.

Die Grundidee hinter einem DDoS-Angriff - also der verteilten Form eines DoS-Angriffs, die derzeit am häufigsten eingesetzt wird - besteht zuerst darin, genug Rechenleistung zu mobilisieren, um den Dienst des Opfers zu überlasten. Dazu werden anfällige Geräte übernommen und mit Schadsoftware versehen, sodass der Drahtzieher des Angriffs sie fernsteuern kann.

Die Gesamtheit der gekaperten Computer, Server und IoT-Geräte heißt Botnetz und ist die Rechenarmee der Cyberkriminellen. Zweitens dient der Einmarsch in diese "Nation" aus Computern dazu, die Quelle des Angriffs zu verschleiern. Die Verantwortlichen für DDoS-Angriffe werden daher selten für ihre Verbrechen zur Rechenschaft gezogen.

Bevor du also ein „kostenloses“ VPN oder einen Webdienst herunterlädst, bedenke, dass dein Gerät in ein kriminelles Botnetz hineingezogen werden könnte und dass ohne dein Wissen verschiedene illegale Aktivitäten - insbesondere DDoS-Angriffe - mit deiner IP-Adresse in Verbindung gebracht werden könnten.

Architektur eines DoS-Angriffs

Unten siehst du ein Beispiel für eine verteilte Architektur: Ein Angreifer kompromittiert über Handler mehrere Rechner, hält dabei seine Identität geheim und belastet die Besitzer der Rechner, die für das Botnetz rekrutiert wurden.

Abbildung 1.1 – Architektur von Handlern und Agenten.

Die zentrale Idee hinter Handlern, also Zwischenservern zwischen dem Angreifer und den infizierten Rechnern, ist, die Rückverfolgung des verantwortlichen Hackers oder der Gruppe zu erschweren. Agentenrechner - die Soldaten an vorderster Front - reagieren daher direkt auf die Handler-Server und führen einen DoS- oder DDoS-Angriff auf das Opfer aus, entweder mit Exploits oder durch Flooding. Handler werden natürlich vom Angreifer gesteuert.

Was haben Agenten und Handler gemeinsam? In der Regel sind schwache Cybersicherheitsrichtlinien dafür verantwortlich, wie zum Beispiel:

• Schwache oder Standard-Passwörter
• Falsch konfigurierte Firewalls
• Veraltete Systeme ohne Sicherheitspatches.

Auch Social Engineering ist eine der wirksamsten Methoden, um in Geräte einzudringen und sie zu kontrollieren - Kriminelle fälschen routinemäßig interne Unternehmenskommunikation, um die Installation von Schadsoftware auszulösen, manipulieren Mitarbeiter dazu, privilegierten Zugriff auf das Unternehmenssystem zu gewähren, oder verschicken schlicht bösartige Links per E-Mail.

Cloud, KI und die Revolution des DoS-Marktes

Risiko in den Wolken

Niemand möchte sich an die Jahre der COVID-19-Pandemie erinnern: Lockdowns, Wirtschaftskrise, überlastete öffentliche Gesundheitsdienste und Todesfälle... Es waren in der Tat qualvolle Jahre. Eine bleibende Auswirkung - für manche vielleicht positiv - war jedoch die Beschleunigung und Verbreitung des Homeoffice.

Von zu Hause aus zu arbeiten bedeutet jedoch in fast allen denkbaren Szenarien, per Fernzugriff auf das System des Unternehmens zuzugreifen. Das wiederum setzt voraus, dass Dienste in Clouds verfügbar sind.

Grob gesagt sind Clouds sehr leistungsstarke Rechner in riesigen Rechenzentren auf der ganzen Welt, die kommerzielle Dienste hosten und bereitstellen. Mit anderen Worten: Der Dienst läuft nicht auf deinem Rechner oder dem Server deines Unternehmens, sondern auf den Rechnern von Cloud-Anbietern wie AWS, Microsoft Azure und Google Cloud.

Häufig beauftragt ein Unternehmen zwei, drei oder mehr Cloud-Anbieter mit dem Hosting seiner Dienste. Jede Cloud hat jedoch unterschiedliche Einstellungen, Berechtigungen und Logs. Diese Fragmentierung kann zu Sicherheitsinkonsistenzen führen. Noch wichtiger: Die massive Nutzung von Cloud-Diensten vergrößert die potenzielle Angriffsfläche.

Daran sieht man: DoS-Angriffe entwickeln sich jeweils mit dem Stand der Technik ihrer Zeit weiter.

Heim-PCs

In den 1990er- und 2000er-Jahren führte die Verbreitung von Heim-PCs zur Entstehung selbstreplizierender Würmer und anderer Malware wie Phatbot, die in Windows-Systeme eindrangen und in Botnetzen eingesetzt wurden.

Das Internet der Dinge

Zwischen 2010 und 2015 hat die Revolution der IoT-Geräte (Internet der Dinge) die Zahl anfälliger Rechner stark vervielfacht und zu symbolträchtigen Fällen wie Mirai geführt.

Cloud-Dienste

Nach 2020 brachte die massive Verbreitung von Cloud-Diensten sowohl neue Möglichkeiten als auch neue Risiken mit sich. Heute lassen sich volumetrische Angriffe gegen kritische Cloud-Dienste richten, indem deren Skalierbarkeit ausgenutzt wird. So werden DDoS-Angriffe zu einem wirtschaftlichen Angriff: Die Cloud bewältigt den Datenverkehr, berechnet aber jede einzelne Anfrage.

Risikobeschleunigung durch KI

Gleichzeitig spielt künstliche Intelligenz bei diesen Angriffen mittlerweile eine zentrale Rolle. Früher waren Angriffe auf die manuelle Koordination durch Hacker oder Gruppen angewiesen, heute werden sie durch Algorithmen des maschinellen Lernens automatisiert. Diese Systeme analysieren Abwehrmaßnahmen in Echtzeit und passen den Angriff innerhalb von Sekunden an, sodass er widerstandsfähiger wird. Hinzu kommt - durch die Demokratisierung mit Modellen wie FraudGPT und WormGPT haben nun sogar Anfänger Angriffstools zur Hand. Script-Kiddies betreiben inzwischen Pair Programming mit großen Sprachmodellen (LLMs) und steigern so ihre Schlagkraft, selbst bei geringer technischer Ausbildung.

KI revolutioniert den Markt

Die Kombination aus Cloud und KI hat den DDoS-Markt daher revolutioniert: Die Cloud liefert Skalierbarkeit und wirtschaftliche Wirkung, KI Anpassungsfähigkeit und Zugänglichkeit.

Nicht zuletzt geht es hier um einen DDoS-Markt: So wie wir monatlich Streaming- und Cloud-Speicherdienste mieten können, gibt es auf Telegram-Kanälen auch kriminelle Märkte für DDoS-Angriffe auf Abruf.

Tatsächlich war es noch nie so einfach, deinen Konkurrenten am Black Friday anzugreifen oder deinen Lieblingsfeinden Millionen von HTTP-Anfragen pro Sekunde zu "schenken".