Würmer

• Prozeß-Würmer
  Ein Computer-Wurm setzt sich aus einer Anzahl von Prozessen, den Wurm-Segmenten,zusammen. Diese sind auf die Rechner eines Netzwerks verteilt und haben die Möglichkeit, gemeinsam bestimmte Leistungen zu erbringen:
  "Ein Wurm-Segment ist ein eigenständiger Prozeß, der die Fähigkeit besitzt, eine eventuell modifizierte Abbildung von sich selbst über das Netzwerk auf einen anderen Rechner zu übertragen und dort zu aktivieren. Die erzeugten Abbildungen müssen diese Eigenschaft ebenfalls besitzen. Das Verhalten aller zugehörigen Segmente bestimmt das Verhalten eines Computer-Wurms. Die Ausbreitung der Wurm-Segmente erfolgt im Gegensatz zu einem Computer-Virus ohne eine Infektion von Dateien." (Klaus-Peter Kossakowski)
  Ein Prozess-Wurm ist also nur im Arbeitspeicher der infizierten Rechner vorhanden.Dies ähnelt sehr einem Rechencluster und es gab dazu auch Versuche, mit Würmern ein verteiltes Rechnen zu realisieren.

  Der "Internet-Wurm" war einer der ersten Verteter seiner Art. Er ist ein reiner Prozess-Wurm, der versucht, auf anderen Rechnern ein Shell-Script zu starten, das dann seinerseits versucht, andere Rechner zu infizieren. Der Wurm nutzt verschiedene Sicherheitslücken aus, die im Folgenden beschrieben werden:

  • Entwickleroption in Sendmail: Manche Versionen des Sendmail-Dämons waren mit einer Debug-Option übersetzt worden, die für Entwickler gedacht war. Diese Option erlaubte die Interpretation einer über E-Mail empfangenen Nachricht als Befehl. Damit konnte per E-Mail eine Shell auf den Betroffenen Rechnern gestartet werden.
  • Im Finger-Dämon wurde ein Buffer-Overflow einer Funktion der Standard-C-Bibliothek ausgenutzt. Die Funktion übernimmt beim Aufruf einen Kommandozeile-Parameter dessen Länge nicht überprüft wird. Schickt man nun eine sehr lange Zeichenkette als Parameter an den Finger-Dämon, so wird über den Speicherplatz, der für die Speicherung des Parameters vorgesehen ist, hinausgeschrieben und der Prozeß selbst verändert. Dies ermöglichte es, eine Shell mit den Rechten des Finger-Dämons zu startet.
  • Ausnutzung von RSH: Es gibt bei RSH eine Option, die es erlaubt, vertrauenswürdige Rechner anzugeben (Eintrag in der ".rhosts"-Datei), bei denen dann die Abfrage des Passworts entfällt. So konnte der Wurm weitere Rechner befallen.
  • Bei dem neu befallen System wurde ein Paßwort-Cracker eingesetzt, um weitere Accounts mit ".rhosts"-Einträgen zu knacken. Mit dem erratenen Passwort kann der Wurm nun in andere Rechner eindringen (siehe auch Seite 5.html).

  Ein neueres Beispiel ist der "Code-Red"-Wurm, der sich über einen Buffer-Overflow im HTTP-Server IIS von Microsoft verbreitet. Der Wurm schlug genau einen Monat nach Bekanntwerden des Fehlers zu und infizierte innerhalb 24 Stunden mehrere hunderttausend Rechner. Der Wurm öffnet eine TCP/IP Verbindung auf dem HTTP-Port 80 und nistet sich mit Hilfe des Buffer-Overflows im Speicher des Servers ein. Von dort aus versucht er weitere Server zu infizieren. Zwischen 20 und 24 Uhr GMT veranlaßt er außerdem, dass alle infizierten Rechner einen DDoS-Angriff auf die Webseite des weißen Hauses führen.

• E-Mail-Würmer
  Sie sind in der Lage, sich selbst über ein Netzwerk zu verschicken. Das Vorhandensein dieser Funktion grenzt sie von den Viren ab. Anders als die Prozeß-Würmer infizieren die E-Mail-Würmer auch Dateien.

  Der Loveletter ("I Love You" - so genannt wegen des E-Mail-Betreffs) ist ein Visual-Basic-Script (.vbs) und verschickt sich als Attachment in einer E-Mail. Das das Attachment trägt den Namen "LOVE-LETTER-FOR-YOU.TXT.vbs". Das Betriebsystem Wondows hat die üble Eigenart, Bei Dateien bekannte, registrierte Endungen (".vbs", ".exe" ".doc", ".xls", usw.) per Voreinstellung auszublenden. Der User sieht somit nur ein Attachment namens "LOVE-LETTER-FOR-YOU.TXT", das unverdächtig wirkt. Da aber Attachments mit der Endung ".vbs" mit dem VBS-Interpreter verknüpft sind, wird das Attachment beim Anklicken sofort ausgeführt. Einmal aktiviert, nimmt das Virus verschiedene Veränderungen am System vor. Zunächst sorgt es dafür, daß es bei jedem Systemstart aufgerufen wird. In einem zweiten Schritt manipuliert es die Startseite des Internet Explorers, so daß das Trojaner-Programm "BUGSFIX.EXE" heruntergeladen und ausgeführt wird. Dieses dient dazu, Passwörter auszuspionieren und an den Empfänger "mailme@super.net.ph" zu senden. Zur Verbreitung benutzt der Wurm den IRC-Client "mIRC" und den Mailer "Outlook". Das Programm "mIRC" wird so umkonfiguriert, daß der Wurm automatisch an andere Nutzer versandt wird. Mit Hilfe von Outlook versendet sich der Wurm an alle Einträge des Adressbuches. Als weitere Schadensfunktion schreibt sich der Wurm über alle Dateien Endungen "jpg", "jpeg", "mp3", "mp2", "js", "jse", "css", "wsh", "sct", "hta", "vbs" und "vbe", an die er ein ".vbs" anhängt. Die ersten Nachfolger des Loveletter-Wurms waren einfache Modifikationen, spätere Varianten hatten Erweiterungen, z. B. ein eigener SMTP-Mailer, der der Weiterversand auch ohne Outlook ermöglicht.

Gegenmaßnahmen

Die Problematik von Würmern wird nochmals in Seite 5.html behandelt und auf Gefahren, die speziell die Anwenderseite betreffen, wird im vorherigem Kapitel eingegangen.

Zurück

Inhaltsverzeichnis

Nächste

Diplomarbeiten zum Runterladen: