Gefährlicher RPC-Wurm legt Windows Update lahm

Symantec hat einen Wurm entdeckt, der genau ab dem 1. Januar 2009 beginnt, Schaden anzurichten. Der Wurm verbreitet sich über die RPC-Lücke MS08-067, die Microsoft mit dem ungewöhnlichen Schritt eines außerplanmäßigen Updates im Oktober geschlossen hat.

Der Wurm kommt erst zwei Monate nach Bekanntwerden der Sicherheitslücke, so dass die meisten Rechner bereits gepatcht sein dürften. Wer sich die Malware dennoch einfängt, muss allerdings mit einer ganzen Reihe von Schäden rechnen: So schaltet der Wurm das Windows-Update ab, löscht alle bisherigen Systemwiederherstellungspunkte und blockiert den Zugriff auf alle Internet-Domains, die Namen wie Avira, AVG, Microsoft, McAfee oder Symantec enthalten, um das Herunterladen von Virendatenbank-Updates zu verhindern.

Auch versucht der Wurm, sich im Intranet zu verbreiten, indem er eine Verbindung mit dem ADMIN$-Share auf jedem Windows-Rechner aufnimmt. Dabei probiert er eine Reihe von Standardpasswörtern aus, etwa superuser, qwerty, password und boss123. Auf diese Weise kann sich die Malware auch auf Rechnern verbreiten, die gegen die RPC-Lücke gepatcht sind.

Ab dem 1. Januar 2009 startet der Schädling einen Webserver auf einem Zufallsport und versucht, DSL-Router per UPnP zu modifizieren, um so den Port ins Internet zu routen. Anschließend meldet er den Port und die öffentliche IP-Adresse an mehrere von den Cyberkriminellen aufgesetzte Server, die auf diese Weise Zugriff auf die verseuchten Rechner erhalten. Ein Rücksetzen des Datums auf das Jahr 2008 hat keinen Effekt, da der Wurm Datum und Uhrzeit aus dem Internet bezieht.

Kurioserweise bringt der Virus nicht nur Nachteile für den befallenen Rechner. Um sich schneller verbreiten zu können, schaltet er auf Vista-Rechnern den TCP-Autotuning-Dienst ab und beschleunigt so die Internet-Verbindung.

Gefährdet sind alle Rechner, die den Patch MS08-067 nicht installiert haben. Zudem besteht Gefahr für alle Rechner in einem Netz, in dem mindestens ein verseuchter Rechner steht und die als Administrator-Passwort ein Wort aus einer von Symantec veröffentlichten Liste verwenden.