DDoS-Attacke auf Estland: Keine Verbindung nach Moskau

Nach der jüngsten verteilten Denial-of-Service-Attacke (DDoS) auf Server der estnischen Regierung gibt es neue Hinweise über die Ausgangspunkte des Angriffs. Danach handelt es sich möglicherweise nicht um die konzertierte Aktion eines einzelnen Urhebers, sondern um die spontane Zusammenarbeit eines losen Bündnisses verschiedener Angreifer. Offenbar wollten die Angreifer damit ihr Missfallen über die Verlegung des russischen Kriegerdenkmals aus dem Zentrum der Hauptstadt Talinn auf einen Friedhof am Stadtrand ausdrücken. Die soziale Relevanz der Verlegung ist nicht zu unterschätzen – für die in Estland geborenen Russen steht die bronzene Statue für das Kriegsopfer Russlands im Zweiten Weltkrieg, während die Esten darin ein Symbol der russischen Besatzung sehen.

Von den Netzwerkexperten Arbor Networks gesammelte Daten zeigen, dass die Ausgangspunkte der Angriffe weltweit verstreut und nicht an einigen wenigen Orten konzentriert waren. Die Attacken wurden mit unterschiedlichen Bandbreiten von weniger als 10 bis 95 MBit/s gefahren, der Hauptteil lag dabei zwischen 10 und 30 MBit/S. Drei Viertel der Angriffe dauerten nicht länger als eine Stunde, nur 5,5 Prozent liefen länger als 10 Stunden. Allerdings hatte ein Botnetz mit einer Kapazität von bis zu 100 MBit/s den weltweit größten Effekt. Angesichts des IT-Standards in Estland hatten diese Attacken eine vernichtende Wirkung auf die angegriffenen Systeme.

Sicherheitsexperte Jose Nazario von Arbor Networks erklärte gegenüber heise security UK, auch wenn verschiedene Regierungsstellen durch die Attacken offline gehen mussten, habe es offensichtlich keinen Versuch gegeben, außer Webservern noch weitere kritische Regierungsinfrastruktur ins Visier zu nehmen. Zudem habe es keine Erpressungsversuche gegeben. "Wir haben auch schon Tools außerhalb von Botnetzen gesehen, die die Computer der Leute in Paketschleudern verwandeln – ein Mensch-Net, sozusagen", kommentierte Nazario.

Er weist auf ein Skript hin, das die IP-Adressen und DNS-Server von rund 18 estnischen Websites mit Pings überflutet. "Das wurde von verschiedenen Leuten in russischsprachigen Foren herumgereicht, einen 'rauchenden Colt' als Beweis für Verbindungen zur russischen Regierung gibt es nicht", erklärte Nazario. "Also sehen wir hier den russischen Nationalismus am Werk, aber keine Verbindung zur russischen Regierung. Keine der von uns analysierten weltweiten Quellen weisen auf eine klare Verbindung zwischen Moskau und Talinn hin, stattdessen geht es von überall auf der Welt nach Estland". (mba, heise security UK) / (mba) / (vbr/c't)