Neuer Internet-Wurm breitet sich schnell aus

Die Hersteller von Antivirus-Software warnen vor einem neuen Internet-Wurm, der sich derzeit schnell über das Netz der Netze ausbreitet. Betroffen sind Nutzer der Betriebssysteme Windows 2000, NT und XP, sowie Windows 2003 Server. Der Wurm nutzt eine Sicherheitslücke in diesen Systemen aus, die bereits seit Mitte Juli 2003 bekannt ist und mit einem entsprechneden Patch von Microsoft geschlossen werden kann. «Windows 98»-Nutzer sind nicht betroffen.

Die Antiviren-Hersteller gaben dem neuen Schädling den Namen W32.Lovsan oder W32.Blaster. Der Wurm durchsucht alle mit dem Internet verbundene Systeme über TCP-Port 135. Wird ein Windows-PC mit der Sicherheitslücke im Remote-Procedure-Call-Protokoll (RPC) gefunden, wird auf diesem PC eine Shell auf dem TCP-Port 4444 geöffnet. Der Virus überträgt die Datei msblast.exe in das Verzeichnis %WinDir%System32 und startet diese. Nun kann der neu infizierte Computer weitere System über das Internet infizieren.

Der Wurm soll am 16. August 2003 eine Denial-of-Service-Attacke (DoS) gegen den Server windowsupdate.com starten. Dabei wird der Server mit so vielen Anfragen überflutet, dass er nicht mehr antworten kann. Daher ist es dringend empfohlen, den Virus vorher unschädlich zu machen und die Sicherheitslücke vor dem 16.08. mit dem Patch zu schließen, da der Server mit dem Patch dann nicht verfügbar sein kann.

Zu erkennen ist der Virus an rund 20 zufällig geöffneten TCP-Ports, über die Verbindungen zu weiteren Systemem aufgebaut werden und dem offenen UDP-Port 69, auf dem der von Virus gestartete TFTP-Server auf ankommende Verbindungen wartet. Außerdem sind zwei Einträgen in Windows-Registry (HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun "windows auto update" = msblast.exe und HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill) und auch die Datei msblast.exe im Windows-Verzeichnis vorhanden. Bei Systemen mit fehlenden RPC kann Windows entsprechende Fehlermeldungen ausgeben und von alleine herunterfahren.

Die meisten Antiviren-Hersteller bieten bereits entsprechende Tools, um den Virus unschädlich zu machen, etwa das Removal-Tool von Symantec oder das Stinger-Tool von NAI/McAfee. Da der Virus sich nicht per E-Mail verbreitet, kann auch eine richtig konfigurierte Firewall, die vom Virus benutzte Ports blockiert, als Schutz eingesetzt werden.