Sasser: Neuer Internet-Wurm bedroht Internet-Nutzer

Ein neuer Inernetwurm bedroht seit dem 30.04.2004 Internet-Nutzer. «Sasser» genannt und inzwischen schon in einer zweiten Version aufgetaucht, bedroht er Nutzer der Betriebssysteme Windows 2000 und XP. Anwender von Windows 98/Me/NT sind nicht betroffen.

Sasser nutzt eine bereits von Blaster bekannte Verbreitungsmethode: Statt per E-Mail, versucht der Wurm durch eine Schwachstelle im sogenannten Local Security Authority Subsystem Service (LSASS) der neueren Windows-Systeme auszunutzen. Für die seit dem 13. April 2004 bekannte Lücke hat Microsoft bereits einen Patch zum Download bereit gestellt.

Der Wurm verbreitet sich nicht über E-Mail-Nachrichten! Computer mit der genannten Sicherheitslücke werden infiziert, bloß wenn Sie Verbindung zum Internet haben. Sasser benötigt auch keine Aktion des Anwenders. Wird der PC über die Internet-Verbindung infiziert, öffnet er mehrere TCP Ports und startet auch einen FTP-Server auf dem TCP Port 5554. Über diese Verbindung wird die eignetliche Wurm-Datei avserve.exe (15.872 Byte) nachgeladen. Der Wurm startet dann vom neu infizierten Computer Angriffsversuche ins Internet und ins lokale Netzwerk. Außerdem werden einige weitere Dateien erzeugt.

Bei der Infektion oder dem Infektionsversuch kann es zu einer Fehlermeldungen mit anschließendem automatischen Neustart des Systems kommen. Dieser Prozess kann auch abgebrochen werden: Sobald eine Meldung erscheint, dass der Rechner heruntergefahren werden muss, klickt man im Startmenü auf Ausführen und gibt in der dann angezeigten Eingabezeile den Befehl »shutdown -a« ein. Dann natürlich mit OK bestätigen. Der Computer kann danach allerdings nur noch mit der Tastenkombination Strg-Alt-Entf und anschließendem Klick auf die Schaltfläche «Herunterfahren...» heruntergefahren werden.

Die meisten Antiviren-Hersteller bieten bereits entsprechende Updates zum Entfernen des Wurmes. Außerdem muss man auf jedem Fall vorher die Sicherheitslücke mit dem Microsoft-Patch (s. oben) geschlossen werden. Auch einige Stand-Alone Tolls, wie der Stinger von McAfee kann den Wurm entfernen.