Gefahren 2004: Gemeine Tricks und Würmer

Das Jahr 2003 verlief laut Kaspersky zudem unter dem Zeichen pausenloser Epidemien durch E-Mail-Würmer. Im Januar wurden die Würmer Ganda und Avron entdeckt. Ersterer wurde in Schweden geschrieben und ist bis jetzt in Skandinavien einer der meist verbreiteten Würmer. Der Wurm-Autor ist Ende März von der schwedischen Polizei festgenommen worden. Der Wurm Avron wurde zum ersten auf dem Gebiet der ehemaligen UdSSR geschriebenen Wurm, der eine bedeutende Epidemie globalen Ausmaßes auslösen konnte. Die Ausgangstexte für den Wurm wurden auf den Web-Seiten von Viren-Autoren veröffentlicht, was zum Erscheinen weiterer, weniger erfolgreicher Varianten führte.

Ebenfalls im Januar erschien der erste Wurm der Sobig-Family auf der Bildfläche, die danach regelmäßig Viren-Epidemien hervorrief. Die Modifikation Sobig.f schlug sämtliche Rekorde und wurde zum meist verbreiteten Wurm im Internet-Verkehr in der Geschichte des Internet. Auf dem Höhepunkt der Sobig.f-Epidemie, die im August anfing, enthielt jede 20ste Mail eine Kopie des Wurms. Eines der Ziele der Sobig-Autoren war die Errichtung eines ganzen Netzwerks von infizierten Rechnern zur Durchführung von DoS-Attacken auf beliebige Web-Seiten sowie in Funktion als Server zum Verschicken von Spam-Mails.

Große Beachtung in der Computer-Virenforschung fand der Mail-Wurm Tanatos.b alias Bugbear. Die erste Version von Bugbear war bereits Mitte 2002 geschrieben worden. Erst nach fast einem Jahr tauchte dann die zweite Variante auf. Der Wurm benutzte die bereits ‚traditionelle‘ und längst bekannte Schwachstelle im Sicherheitssystem von Microsoft Outlook (IFRAME) zum automatischen Starten seines Bodys aus infizierten Mails.

Es tauchten weiterhin neue Würmer der Lentin-Familie (alias Yaha) auf. Angaben lassen darauf schließen, dass sie in Indien von einer der lokalen Hacker-Gruppen in einem ‚virtuellen Krieg‘ zwischen indischen und pakistanischen Viren-Autoren geschrieben wurden. Die größte Verbreitung erlangten die Versionen M sowie O, in denen sich der Virus als ZIP-Archiv im Anhang von infizierten Mails verbreitete.

Auch die russischen Viren-Autoren blieben nicht hinter ihren ‚Kollegen‘ zurück. Der zweite Wurm aus der ehemaligen UdSSR, welcher eine globale Epidemie hervorrief, war Mimail. Der Wurm benutzte zu seiner Aktivierung eine Schwachstelle im Internet-Explorer, die dann den Namen ‚Mimail-based‘ erhielt. Sie ermöglichte es, einen binären Code aus einer HTML-Datei zu entnehmen und ihn zur Ausführung zu starten. Zum ersten Mal wurde sie im Mai 2003 in Russland benutzt (Trojan.Win32.StartPage.L). Danach wurde diese Schwachstelle in der Mimail-Familie verwendet sowie in einigen Trojanern. Der Autor des Wurms Mimail veröffentlichte die Ausgangstexte im Internet, was im November 2003 einige neue Varianten verursachte, die von anderen Autoren geschrieben wurden, unter anderem US-amerikanischen und französischen.

Der September 2003 verlief im Zeichen des Internet-Wurms Swen. Swen, der sich als Update von Microsoft ausgab, infizierte hunderttausende Rechner weltweit und ist bis jetzt einer der meist verbreiteten Würmer geblieben. Den Viren-Autoren gelang es, die Lage zum Zeitpunkt seines Erscheinens auszunutzen, als die Anwender von den Lovesan- und Sobig.f-Epidemien aufgeschreckt bemüht waren, rechtzeitig neue Patches für ihre Betriebssysteme zu installieren.

Unbedingt Erwähnung finden sollten auch noch zwei weitere Epidemien. Zum einen durch Sober, einem nicht sehr komplexen Wurm, der von einem deutschen Viren-Autor in Anlehnung an die Nr. 1 des Jahres, Sobig.f , geschrieben wurde. Zum anderen der Backdoor-Trojaner Arcore. Dieser fand trotz seiner vergleichsweise geringen Verbreitung Beachtung wegen seiner interessanten Technologie zur Tarnung seiner Anwesenheit im System: Arcore stellt seinen Code in die Zusatzprotokolle (Alternate Data Streams) des Dateisystems NTFS. Noch interessanter ist, dass er die zusätzlichen Ströme nicht von Dateien, sondern Verzeichnissen nutzt.