Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03160.jsonl.gz/2001

WürmerComputer-Würmer sind Programme, die sich selbst über ein Rechnernetzwerkverbreiten könnn. Es gibt sie in verschiedenen Ausprägungen, beispielsweisesolche, die auf Netzwerk-Prozessen basieren oder Würmer, die sich selbst per E-Mail verschicken können (I-love-you, Goner, Sircam oder Nimda). Es lassen sichgrob zwei Gruppen unterscheiden:
- Prozeß-Würmer
Ein Computer-Wurm setzt sich aus einer Anzahl von Prozessen, den Wurm-Segmenten,zusammen. Diese sind auf die Rechner eines Netzwerks verteilt und haben die Möglichkeit, gemeinsam bestimmte Leistungen zu erbringen:
"Ein Wurm-Segment ist ein eigenständiger Prozeß, der die Fähigkeit besitzt, eine eventuell modifizierte Abbildung von sich selbst über das Netzwerk auf einen anderen Rechner zu übertragen und dort zu aktivieren. Die erzeugten Abbildungen müssen diese Eigenschaft ebenfalls besitzen. Das Verhalten aller zugehörigen Segmente bestimmt das Verhalten eines Computer-Wurms. Die Ausbreitung der Wurm-Segmente erfolgt im Gegensatz zu einem Computer-Virus ohne eine Infektion von Dateien." (Klaus-Peter Kossakowski)
Ein Prozess-Wurm ist also nur im Arbeitspeicher der infizierten Rechner vorhanden.Dies ähnelt sehr einem Rechencluster und es gab dazu auch Versuche, mit Würmern ein verteiltes Rechnen zu realisieren.
Der "Internet-Wurm" war einer der ersten Verteter seiner Art. Er ist ein reiner Prozess-Wurm, der versucht, auf anderen Rechnern ein Shell-Script zu starten, das dann seinerseits versucht, andere Rechner zu infizieren. Der Wurm nutzt verschiedene Sicherheitslücken aus, die im Folgenden beschrieben werden:
- Entwickleroption in Sendmail: Manche Versionen des Sendmail-Dämons waren mit
einer Debug-Option übersetzt worden, die für Entwickler gedacht war. Diese
Option erlaubte die Interpretation einer über E-Mail empfangenen Nachricht als
Befehl. Damit konnte per E-Mail eine Shell auf den Betroffenen Rechnern
gestartet werden.
- Im Finger-Dämon wurde ein Buffer-Overflow einer Funktion der
Standard-C-Bibliothek ausgenutzt. Die Funktion übernimmt beim Aufruf
einen Kommandozeile-Parameter dessen Länge nicht überprüft wird.
Schickt man nun eine sehr lange Zeichenkette als Parameter an den Finger-Dämon,
so wird über den Speicherplatz, der für die Speicherung des Parameters
vorgesehen ist, hinausgeschrieben und der Prozeß selbst verändert. Dies
ermöglichte es, eine Shell mit den Rechten des Finger-Dämons zu startet.
- Ausnutzung von RSH: Es gibt bei RSH eine Option, die es erlaubt, vertrauenswürdige
Rechner anzugeben (Eintrag in der ".rhosts"-Datei), bei denen dann die Abfrage des
Passworts entfällt. So konnte der Wurm weitere Rechner befallen.
- Bei dem neu befallen System wurde ein Paßwort-Cracker eingesetzt, um weitere
Accounts mit ".rhosts"-Einträgen zu knacken. Mit dem erratenen Passwort kann
der Wurm nun in andere Rechner eindringen (siehe auch
Seite 5.html).
Ein neueres Beispiel ist der "Code-Red"-Wurm, der sich über einen Buffer-Overflow im
HTTP-Server IIS von Microsoft verbreitet. Der Wurm schlug genau einen Monat nach
Bekanntwerden des Fehlers zu und infizierte innerhalb 24 Stunden mehrere hunderttausend
Rechner. Der Wurm öffnet eine TCP/IP Verbindung auf dem HTTP-Port 80 und nistet
sich mit Hilfe des Buffer-Overflows im Speicher des Servers ein. Von dort aus versucht
er weitere Server zu infizieren. Zwischen 20 und 24 Uhr GMT veranlaßt er
außerdem, dass alle infizierten Rechner einen DDoS-Angriff auf die Webseite des
weißen Hauses führen.
- E-Mail-Würmer
Sie sind in der Lage, sich selbst über ein Netzwerk zu verschicken. Das
Vorhandensein dieser Funktion grenzt sie von den Viren ab. Anders als die
Prozeß-Würmer infizieren die E-Mail-Würmer auch Dateien.
Der Loveletter ("I Love You" - so genannt wegen des E-Mail-Betreffs) ist ein
Visual-Basic-Script (.vbs) und verschickt sich als Attachment in einer E-Mail. Das
das Attachment trägt den Namen "LOVE-LETTER-FOR-YOU.TXT.vbs". Das Betriebsystem
Wondows hat die üble Eigenart, Bei Dateien bekannte, registrierte Endungen
(".vbs", ".exe" ".doc", ".xls", usw.) per Voreinstellung auszublenden. Der User
sieht somit nur ein Attachment namens "LOVE-LETTER-FOR-YOU.TXT", das unverdächtig
wirkt. Da aber Attachments mit der Endung ".vbs" mit dem VBS-Interpreter verknüpft
sind, wird das Attachment beim Anklicken sofort ausgeführt. Einmal aktiviert,
nimmt das Virus verschiedene Veränderungen am System vor. Zunächst sorgt es
dafür, daß es bei jedem Systemstart aufgerufen wird. In einem zweiten Schritt
manipuliert es die Startseite des Internet Explorers, so daß das Trojaner-Programm
"BUGSFIX.EXE" heruntergeladen und ausgeführt wird. Dieses dient dazu, Passwörter
auszuspionieren und an den Empfänger "<email-pii>" zu senden.
Zur Verbreitung benutzt der Wurm den IRC-Client "mIRC" und den Mailer "Outlook".
Das Programm "mIRC" wird so umkonfiguriert, daß der Wurm automatisch an andere
Nutzer versandt wird. Mit Hilfe von Outlook versendet sich der Wurm an alle Einträge
des Adressbuches. Als weitere Schadensfunktion schreibt sich der Wurm über alle
Dateien Endungen "jpg", "jpeg", "mp3", "mp2", "js", "jse", "css", "wsh", "sct",
"hta", "vbs" und "vbe", an die er ein ".vbs" anhängt. Die ersten Nachfolger
des Loveletter-Wurms waren einfache Modifikationen, spätere Varianten hatten
Erweiterungen, z. B. ein eigener SMTP-Mailer, der der Weiterversand auch ohne
Outlook ermöglicht.
Gegenmaßnahmen
Würmer nutzen normalerweise mehrere bekannte Schwachstellen in Kombination aus.
Sobald Schwachstellen bekannt sind und auf einschlägigen Mailinglisten oder Websites
der bekannten CERTs auftauchen, muss umgehend gehandelt und diese beseitigt werden.
Unnötige Systemdienste, die allgemein wenig benutzt werden und daher tendenziell mehr
Fehler enthalten können, sollte man deaktivieren. Intrusion-Detection-Systeme (IDS)
können gegen verdächtiges Verhalten von Prozeß-Würmern helfen.
Gerade gegen E-Mail Würmer gibt es mehrere wirksame Mittel. Zum einen kann
man, sofern man darauf nicht angewiesen ist, das jeweilige Makro-System, auf dem der
Wurm basiert deaktivieren. Ein Filtersystem, welches eingehende E-Mail auf verdächtige
Anhänge überprüft und natürlich ständig auf dem neuesten Stand
gehalten werden muß, kann das Unheil schon im Vorfeld verhindern.
Oft hilft auch gesunder Menschenverstand. Wenn man zum Beispiel von einem bekannten
E-Mail Kontakt plötzlich in einer fremden Sprache und mit seltsamem Betreff
angeschrieben wird, ist es sicher nicht verkehrt, die E-Mail mit einer gewissen Vorsicht
handzuhaben.
Die Problematik von Würmern wird nochmals in Seite 5.html
behandelt und auf Gefahren, die speziell die Anwenderseite betreffen, wird im
vorherigem Kapitel eingegangen.