"Operation Payback": Das LOIC-Tool

Was ist das LOIC-Tool?

Die mit der Programmiersprache C# programmierten Ionenkanonen werden ursprünglich von Netzwerkadministratoren verwandt, um ihren eigenen Systemen einen Stresstest unterziehen zu können. Hierzu erzeugt das Tool eine Unmenge unnützer Anfragen, die auf ein vorher definiertes Ziel einprasseln. Beim Abarbeiten dieser Anfragen steigt die Rechenlast für das Ziel enorm, da dieses, gezwungen durch Internetprotokolle wie beispielsweise TCP, erst einmal antworten muss. Zudem wird bei dem Test massiv die Datenleitung beansprucht, sodass andere Anfragen den Zielrechner schwerer bis gar nicht mehr erreichen. Die Informationen, die der Administrator aus diesem Test gewinnen kann, geben ihm Aufschluss über die maximale Belastbarkeit seiner Computersysteme.

Welche Funktionen bringt das LOIC-Tool mit sich?

Mit der Low Orbit Ion Canon ist es möglich definierte Ziele mit den Protokollen TCP, UDP und HTTP zum Abarbeiten von sinnlosen Anfragen zu zwingen und je nach Rechenleistung eine anfallende Datenlast Nahe des eigenen Limits zu erzielen. Darüber hinaus bietet sie seit der Version 1.0.0.4 den AdministratorInnen besonders großer Netze die Möglichkeit bequem mehrere Kanonen gemeinsam über einen IRC-Channel zu steuern. Hierbei entsteht ein Verbund von Ionenkanonen, der auch als "Hive" bezeichnet wird. Der IRC-Channel, der die nötigen Zieldaten liefert und zentral von einem Rechner aus bedienbar ist, nennt sich "Hivemind". Diese Funktion erspart dem/der SystemadministratorIn unnötige Einstellungen an mehreren Kanonen und Fußmärsche zwischen den einzelnen Rechnern, da diese sich nun im "Automodus" befinden.

Welche Systemvoraussetzungen benötigt das LOIC-Tool?

Das Tool ist in seiner aktuellen Version sowohl für Linux, Mac und Windows XP/VISTA/7 erhältlich. Sollte der/die SystemadministratorIn aus unerfindlichen Gründen ein Microsoft-Produkt besitzen, so benötigt diese/r noch Microsoft Framework 3.5. Auch auf älteren Systemen ist das Tool noch relativ performant, allerdings wird empfohlen den Virenscanner abzuschalten, da dieser das Tool meist als Virus erkennt.

Ist der Besitz des LOIC-Tools strafbar?

Dies kann von meiner Seite aus nicht beurteilt werden. Wichtig hierbei ist vor allem die nationale Gesetzlage. Für alle UserInnen und SystemadministratorInnen aus den Staaten der europäischen Union ist dieser Artikel wohl sehr aufschlussreich. In den Vereinigten Staaten drohte ein sogenannter Rechtsexperte mit Haftstrafen von bis zu zwei Jahren bei alleinigen Besitz des Tools.

Sind die Attacken gegen öffentliche Webseiten strafbar?

Definitiv ja. DDoS-Attacken, die zum Abschalten von Webseiten dienen, stellen einen "schweren Eingriff in die Kommunikation" dar. Genauso wie die erfolglosen DDoS-Attacken gegen Wikileaks, stellen die erfolgreichen gegen u.a. Paypal, Mastercard und Visa eine Straftat dar und können bei entsprechender Beweislage mit Haft- oder Geldstrafen geahndet werden. Zudem können betroffene Unternehmen zivilrechtlich Schadensersatzforderungen geltend machen. Unklar ist allerdings noch wie die Verfolgungs- und Nachweisraten bei der "Operation Payback" aussehen. Neben der Verhaftung des 16-jährigen Hackers Jerenz0er wurde nun auch der 19-jährige Hacker Awinee in den Niederlanden in Gewahrsam genommen. Beide werden verdächtigt einen IRC-Chatraum der "Operation Payback" betrieben zu haben. Ob dieser Chatraum der Hivemind selber war, ist derzeit noch nicht bekannt.

Können sich die AktivistInnen vor möglicher Strafverfolgung bei solchen öffentlichen DDoS-Attacken schützen?

Der Schutz vor möglicher Repression durch Strafverfolgung gestaltet sich bei solchen Attacken als äußerst schwierig, weshalb schon im ersten Tutorial auf das Vorhandensein von technischen Kenntnissen der "Technologie Internet" hingewiesen wurde. Jeder Internetzugang mit dem sich ein Rechner das WWW auf den Bildschirm holen kann, verfügt über eine eigene externe IP-Adresse, die ihm von seinem Internetserviceprovider zur Verfügung gestellt wird. Zudem erhält der Computer noch einmal eine interne IP-Adresse, die ihm das Netzwerk mit dem Internetzugang, zuweist. Der Anschluss ist damit einmalig identifizierbar im Internet und der Computer einmalig im Netzwerk - nun kann eine gesicherte Datenkommunikation anhand von Internetprotokollen mit anderen Computern, welche ebenfalls diese einmaligen Adressen auf den jeweiligen Ebenen Internet und Netzwerk haben, stattfinden.
Wird eine unnütze Anfrage im Rahmen einer DDoS-Attacke an einen Webserver gestellt, enthält diese die externe IP-Adresse des Internetanschlusses und die interne des Netzwerkes. Die Internetprotokolle zwingen den angegriffenen Rechner zu antworten und er tut dieses an die externe IP-Adresse des Angriffsrechners und von dort an die interne. Ironischerweise ist die Funktion, die das Tool in einem Hive sehr mächtig macht, auch die Funktion, die die Strafverfolgung sehr einfach macht. Es werden überall digitale Fingerabdrücke hinterlassen, welche in sogenannten Kommunikationslogs für unterschiedliche Zeitspannen aufgezeichnet werden. Strafverfolgungsbehörden können auf Antrag Einsicht in die Logs nehmen, so sie denn vorhanden sind. Diese können beispielsweise in Firmen, im eigenen Router, im Uni-Netzwerk und noch an vielen anderen Orten vorgefunden werden. Auch die Unsinnigkeit und Masse der Anfragen ist aus solchen Logs zu erschließen.
Das Benutzen von Verschleierungsnetzwerken wie beispielsweise dem TOR-Netzwerk macht bei einer DDoS-Attacke ebenfalls keinen Sinn, da die Anfragen zuerst auf die Computer des Anonymisierungsnetzwerkes treffen und diese lahmlegen würden. Dieses gilt ebenso für Proxyserver. Die einzige wirksame Möglichkeit, die die AngreiferInnen haben, eine externe IP-Adresse bei einer DDoS-Attacke zu verbergen, ist eine verschlüsselte VPN-Verbindung. Allerdings sind solche Verbindungen ohne ein gewisses Know-How nur schwer zu erstellen.

Gibt es nicht noch andere Möglichkeiten, die die AktivistInnen in Erwägung gezogen haben könnten?

Leider kann ich dies nicht genau beurteilen. Es gibt sicherlich einige technische Lösungen, die mir nicht bekannt sind. Zudem kann von meiner Seite aus nicht beurteilt werden, inwieweit die große Beteiligung an der "Operation Payback" die AktivistInnen vor Strafverfolgung schützt. Es ist beispielsweise möglich, dass bei einer DDoS-Attacke die Logdatei überläuft oder der Logrechner seinen Dienst quittiert. Viele AktivistInnen könnten sich anonym in Internetcafes gesetzt oder fremde W-LANs gehackt haben. Dies sind allerdings nur Spekulationen. Wie sich die Strafverfolgungsbehörden in den nächsten Tagen zu dem Thema LOIC und DDoS-Attacken verhalten werden, werden wir sicherlich bald erfahren.

Mehr Artikel zur Operation Payback, Leakspin und Blackface gibt's auf'm Blog