Ein Script-Kiddie ist ein unerfahrener Angreifer, der fertige Hacking-Tools, Skripte und Exploits anderer verwendet, ohne zu verstehen, wie sie funktionieren.
Wie Script-Kiddies vorgehen
Der Begriff ist eine abwertende Bezeichnung aus der Hackerkultur. Script-Kiddies laden in der Regel öffentlich verfügbare Werkzeuge herunter und richten sie auf jedes Ziel, das sie finden:
- öffentliche Exploits und Proof-of-Concept-Code für bekannte Schwachstellen, gestartet mit Frameworks wie Metasploit;
- Scanner, die im Internet nach ungepatchten oder falsch konfigurierten Systemen suchen;
- „Booter“- oder „Stresser“-Dienste, die DDoS-Angriffe für wenige Dollar verkaufen;
- Malware-Baukästen und Kits aus Foren oder als Malware-as-a-Service.
Die Motive sind meist Neugier, Angeberei in der Szene, Rache in Onlinespielen oder kleiner Profit statt einer klaren Strategie. Viele Script-Kiddies prahlen in Foren oder auf Discord offen mit ihren Taten und hinterlassen dabei leicht verfolgbare Spuren.
Warum Script-Kiddies relevant sind
Geringes Können bedeutet nicht geringe Wirkung. Im Jahr 2000 legte ein 15-jähriger Kanadier mit dem Pseudonym „Mafiaboy“ per DDoS-Angriff Yahoo, eBay, CNN und Amazon lahm. Auch hinter großen Datenpannen und Erpressungskampagnen standen schon Jugendliche. Heute verschafft die kriminelle Dienstleistungsökonomie auch Unerfahrenen professionelle Werkzeuge: Ransomware-Partnerprogramme, Infostealer und Phishing-Kits, die keinerlei Programmierkenntnisse erfordern.
Für Verteidiger sind Script-Kiddies ein ständiges Grundrauschen automatisierter Angriffe. Jedes aus dem Internet erreichbare System mit einer bekannten, ungepatchten Schwachstelle wird innerhalb von Stunden oder Tagen gefunden und angegriffen.
So schützen sich Organisationen
- Systeme mit Internetanbindung zügig patchen, besonders bei Schwachstellen mit öffentlichen Exploits.
- Standardzugangsdaten entfernen und unnötige Ports und Dienste schließen.
- DDoS-Schutz und Ratenbegrenzung für öffentliche Dienste einsetzen.
- Logs auf massenhafte Scans und Ausnutzungsversuche überwachen.
- Die eigene Angriffsfläche regelmäßig mit denselben öffentlichen Scannern prüfen, die auch Angreifer verwenden.
