20. Dezember 2010

Um den Vorgang noch einmal kurz zusammenzufassen. Wikileaks.info ist einer von vielen Mirrors der Wikileaks.Inhalte. Der hier bei intern.de seit Jahren bekannte Betreiber der Website wollte allerdings nicht den 2.000sten Mirror der Cablegate-Daten errichten. Stattdessen zog er es vor, unter wikileaks.info eine Liste von Mirror-Sites der aktuellen Wikileaks-Informationen einzurichten. Unter mirror.wikileaks.info dagegen entstand ein Mirror der "alten" Wikileaks-Daten. Hier sind noch die früheren Wikileaks-Dokumente zu finden, die aus der Zeit stammen, als Wikileaks noch nicht im Besitz der vielen tausend US-Dokumente (Afghanistan, Irak, Cablegate) war.

Diese Informationen sind auf der offiziellen Wikileaks-Website (aktuelle wikileaks.ch) aus unbekannten und eigentlich auch unverständlichen Gründen nicht mehr zu finden.Ebenso ist es unverständlich, wieso Wikileaks nicht mehr die frühere Domain wikileaks.org benutzt.

Diese ursprünglich von Wikileaks genutzte Domain ist heute per redirect auf mirror.wikileaks.info gerichtet. Das bedeutet, die Person, die Kontrolle über die wikileaks.org hat, will diese Domain mit den alten Wikileaks-Informationen verbinden. Ein Umstand, dem man eine gewisse Bedeutung beimessen kann, denn es wäre ebenso gut möglich gewesen, den Domain-Eintrag auf die wikileaks.ch oder die dort genutzte IP zu richten.

Vielleicht geht das zu weit, doch man könnte daraus ableiten, dass die Domain nach der Kündigung durch den DNS-Dienstleister EveryDNS nicht mehr in der Kontrolle von Wiklieaks beziehungsweise Julian Assange war. Möglicherweise hat jemand Kontrolle über die Domain, der früher Wikileaks unterstützte, es heute aber nicht mehr tut.

Wie auch immer, nach dem Redirect der wikileaks.org auf die Mirror-Website mirror.wikileaks.info war der Server einem vorher unbekannten Ausmaß an Traffic ausgesetzt. Weil ein russischer Bulletproof-Provider Sicherheit vor Behördenzugriffen und zugleich stabilen Service versprach, wurde dessen Angebot angenommen. Web-Kriminelle haben allerdings die gleichen Bewertungsmaßstäbe und daher befindet sich die Domain wikileaks.info nun in schlechter Gesellschaft, wie Trend Micro und Spamhaus feststellten.

Spamhaus ging aber noch weiter und gab eine inzwischen entschärfte Malware-Warnung heraus. Obwohl es keinen Beleg dafür gab, dass unter wikileaks.info Malware verbreitet wird. Der Sourcecode von wikileaks.info zeigt keine Unregelmäßigkeiten, er ist "sauber".

Als der Betreiber der wikileaks.info das in einer Pressemitteilung klarstellen wollte, ging der Furor sogar noch weiter. Jetzt erregte man sich darüber, dass die Leser dieser Pressemitteilung sich bei Spamhaus beschwerten. Sie "realisierten"´demnach nicht, dass sie es nicht mit Wikileaks zu tun haben. Folgerichtig wurde dann auch eine verteilte DoS-Attacke mit dieser Pressemitteilung in Verbindung gebracht. Und weil ein von Anonymous benutzter IRC-Server ebenfalls im IP-Bereich des russischen Hosters angesiedelt war, wurde schnell darauf geschlossen, dass Anonymous diesen Angriff ausführt.

Erst einen Tag später, am Sonntag, folgte dann wieder eine Richtigstellung: "Nach der Analyse der Traffic-Muster", die erst nach dem Verfassen einer Schuldzuweisung erfolgte, stellte sich heraus, dass weder "LOIC noch ein anderes *OIC Tool" für die Angriffe verwendet wurde. Die "typischen Anonymous-Waffen" kamen nicht zum Einsatz, Anonymous war also auch nicht für die Angriffe verantwortlich.

Stattdessen heißt es jetzt: "Es scheint jetzt viel wahrscheinlicher, dass die DDoS das Werk von Leuten hinter der Heihachi (russ. Provider) Cybercrime-Gruppe sind, oder Leute, die dort hosten".

Eine sehr schnelle Schlussfolgerung, wenn man bedenkt, dass bisher nicht einmal genauere Informationen über die aktuelle Attacke vorliegen. Zumal es keineswegs das erste Mal ist, dass Spamhaus Opfer einer DoS-Angriffs wird.Denn die Spam-Gegner haben viele echte Feinde. Zur Zeit ziehen sie es aber offenbar vor, wikileaks.info als wichtigsten Feind zu betrachten.

Links:

• mirror.wikileaks.info 
• wikileaks.info 
• Posting von Steve Linford (Spamhaus) 
• Spamhaus Warnung und mehrfache Updates 
• Wikileaks.info Pressemitteilung