Computerwurm

Ein Computerwurm ist eine selbständige Programmroutine, die sich selbst reproduziert, indem sie über ein Computernetzwerk an Computerprogrammen oder Betriebssystemen anderer Computern Manipulationen vornimmt.

Ein Wurm kann eine spezielle Schadensroutine enthalten, muss aber nicht. Da ein Wurmprogramm auf befallenen Systemen Ressourcen zur Weiterverbreitung bindet, können selbst Würmer ohne spezielle Schadensroutinen gewaltige wirtschaftliche Schäden erzeugen.

Viren und Würmer

Würmer sind den Computerviren konzeptionell sehr ähnlich. Die Abgrenzung besteht darin, dass ein Virus versucht, Dateien auf einem Computersystem zu infizieren, während ein Wurm versucht, eine Zahl von Computern in einem Netzwerk zu infizieren. Außerdem benötigt ein Virus ein Wirtsprogramm, welches es infiziert. Wird dieses Programm ausgeführt wird gleichzeitig auch das Virus ausgeführt. Bei einem Wurm handelt es sich dagegen um ein eigenständiges Programm.

Tarnung und Verbreitung

Heutzutage verbreiten sich Würmer überwiegend per E-Mail, wobei sie sich als Datei-Anhang an einen kurzen Text anfügen. Verschiedene Mechanismen dienen zum Tarnen des gefährlichen Anhangs bzw. zum automatischen Ausführen:

Tarnung

Würmer bekommen Dateinamen mit doppelten Erweiterungen, z.B. music.mp3.exe, wobei darauf gebaut wird, dass der Anwender die Optionen für die Dateiansicht von Windows nicht geändert hat. Diese werden bei der Installation von Windows so eingestellt, dass Endungen von bekannten Anwendungen nicht angezeigt werden. Der Empfänger des genannten Anhangs sieht also nur music.mp3 und klickt auf den Anhang, um die vermeintliche Musik abzuspielen - schon ist der Wurm aktiviert. Ein Beispiel:

 Content-Type: audio/mpeg;

  name="music.mp3"

  Content-Transfer-Encoding:base64

  Content-Disposition: attachment;

  filename="music.mp3.exe"

 

Oft werden Würmer in ZIP-Archive verpackt, um es Virenscannern zu erschweren, den Schädling zu analysieren.

Automatisches Ausführen

Zum automatischen Ausführen enthält die E-Mail HTML-Code der ein Fenster im Fenster (iframe) erzeugt, in dem der Datei-Anhang mit Hilfe von Javascript gestartet wird. Der Wurm verschickt sich selbst, wobei aus der Adressbuch des Benutzers wahllos Absenderadressen entnommen werden. Es ist daher relativ sinnlos, beim Empfang einer verseuchten E-Mail eine Warnung an die Absenderadresse zu schicken, es trifft höchstwahrscheinlich den Falschen.

Es ist für den Benutzer daher sehr empfehlenswert zumindest die Ausführung von JavaScript und Java in seinem E-Mail-Programm zu deaktivieren. Besser ist es auch noch die Anzeige von HTML zu deaktivieren.

Geschichte

Das Konzept eines Computerwurms oder Netzwerkwurms wurde erstmals 1975 im Science-Fiction-Buch The Shockwave Rider (dt. Der Schockwellenreiter) von John Brunner erwähnt.

Robert Morris programmierte 1988 den Morris-Wurm, der zwar keine Schadensroutine enthielt, aber durch seine aggressive Weiterverbreitung unter Ausnutzung von einigen Unix-Diensten, wie z.B. Sendmail, fingerd oder rexec sowie der r-Protokolle ca. 6000 Rechner lahm legte - das entsprach damals ungefähr 10% des weltweiten Netzes. Allerdings hatte das Morris nicht beabsichtigt - es war ein Programmierfehler, der zu diesem Debakel führte.

Im März 1999 verbreite sich über Outlook der E-Mail-Wurm Melissa. Er führte allerdings keine zerstörende Aktion aus, sondern löste nur eine E-Mail-Flut aus.

Ins öffentliche Bewusstsein gerieten Würmer spätestens 2000 mit dem massiven Auftreten des "ILOVEYOU"-E-Mail-Wurms, der viele Nachahmer inspiriert hat.

Neben den E-Mail-Würmern ist heute die beliebteste Weiterverbreitungsstrategie das Ausnutzen von Sicherheitslücken in häufig installierter Software. Prominente Beispiele sind "Code Red", der 2001 in einer großen Welle Systeme mit dem Microsoft Internet Information Server attackierte, und "SQL Slammer", der 2003 eine Sicherheitslücke im Microsoft SQL Server ausnutzte.

Am 12. August 2003 machte der Wurm W32.Blaster (auch Blaster genannt) Schlagzeilen. Er verbreitete sich aufgrund einer Sicherheitslücke im Microsoft Windows-Betriebssystem, um einen Distributed Denial of Service-Angriff auf Microsoft Server vorzubereiten. Etwa zur gleichen Zeit befiel der Wurm Sobig.F mit massiver Geschwindigkeit unzählige Computer und belastete Mailserver auf der ganzen Welt.

Am 26. Januar 2004 wurde der Wurm Mydoom das erste Mal gesichtet. Die schnelle Verbreitung des Wurms sorgte für ein paar Stunden zu einer durchschnittlich 10-prozentigen Verlangsamung des Internetverkehrs und einer durchschnittlich erhöhten Ladezeit der Webseiten von 50 Prozent.

Am 3. März 2004 machten neue Varianten des Mitte Februar im Internet aufgetauchten Bagle-Wurms Schlagzeilen. Sie können den zentralen Virenschutz in Firmennetzwerken unterlaufen.

April/Mai 2004 taucht mit Phatbot ein neuer Wurm auf, der mit anderen Würmern wie Sasser, Beagle und Mydoom interagiert.

Am 15. Juni 2004 taucht mit EPOC.Cabir der erste Computerwurm auf, der sich über Bluetooth auf Smartphones mit dem Betriebssystem Symbian verbreitet.

Siehe auch: Malware, Computersicherheit, Backdoor, Dropper

Weblinks

• RFC2828: Definition von "Worm"