Verwirrung um neues Hacker-Tool

Die Behauptungen eines anoymen Programmierers mit dem Alias „NT Canuck“ beschäftigten derzeit die Sicherheitsexperten. Canuck gibt in mehreren Postings in Security-Foren an, er könne ganze Netze bis zum Stillstand beschäftigen oder abstürzen lassen. Dazu habe er mit einer weiteren Person ein Tool entwickelt.

Derzeit ist noch unklar, ob das Programm tatsächlich so wirkungsvoll ist, wie NT Canuck das beschreibt. Das Tool wurde sowohl Microsoft als auch dem CERT (Computer Emergency Response Team) vorgelegt. Die Analysen fallen jedoch zwiespältig aus. Laut Stephen Toulouse vom Microsoft Security Response Center (MSRC), welches das Programm seit November testet, setzt das Hacker-Werkzeug auf sogenannte UDP-Floods. Dabei werden Rechner und Netzwerk-Geräte wie Router und Switches so lange mit fragmentierten Paketen beschossen, bis sie schliesslich kapitulieren. NT Canuck hält sich bedeckt, was den Ansatz seines Programms betrifft, und schreibt in seinem ersten Posting vom November „Ich kann nicht allzu viele Details angeben, Diskretion ist wichtig.“

Stephen Toulouse bezeichnet den Poster zwar als sachkundig, meint aber: „Wir hatten einige Schwierigkeiten, das Szenario zu reproduzieren, mal abgesehen von einigen Floods.“ Beim Einsatz von Canucks Programm sei das Netz zwar langsamer geworden, aber nicht eingefroren, gab der Microsoft-Techniker an.

Auch das CERT ist der Meinung, dass es sich bei den Entdeckungen von NT Canuck nicht um eine neue oder generelle Lücke in den Internet-Protokollen handelt. Laut CERT-Analyst Jason Rafail ähnelt der Effekt einem Problem, zu dem das CERT bereits 1996 ein Papier veröffentlich hat. Andere Tester berichten – natürlich anonym – dennoch vom Stillstand ganzer Netze beim Einsatz des umstrittenen Tools.

Laut NT Canuck handelte es sich dabei aber stets um Netze, bei denen recht alte Geräte zum Einsatz kamen. Das CERT meint dazu, dass die Netzwerk-Hardware unter der Last schlicht abgestürzt sein könnte. Die Lage bleibt undurchsichtig – eine generelle Warnung vor dem möglichen Fehler ist bislang weder vom CERT oder Microsoft ergangen, und auch der renommierten Security-Mailingliste „Bugtraq“ taucht das Tool noch nicht als Bedrohung auf.