|
Sobig.F
Die Gruppe der Sobig-Computerwürmer ist seit Januar 2003 bekannt. Sie verwendeten verschiedene Methoden zur Ausbreitung. Die bekannteste Variante Sobig.F wurde am 18. August 2003 entdeckt und verbreitete sich auf Rechnern mit dem Betriebssystem Microsoft Windows.[1] Dabei brach Sobig.F alle bis dahin bestehenden Rekorde, was die Effektivität und Geschwindigkeit seiner Verbreitung betrifft. Er wurde bisher nur einmal, ein halbes Jahr später, von MyDoom übertroffen, dem bisher destruktivsten Wurm.[2][3][4] Versionen und DerivateDie Gruppe der Sobig-Würmer besteht aus mehreren Varianten. Die Version Sobig.F ist mit Abstand die bekannteste. Von den Herstellern von Antiviren-Software wird der Wurm teilweise unterschiedlich bezeichnet:
FunktionAm 18. August 2003 um 21:04 Uhr (GMT) wurde in den USA die erste mit Sobig-F infizierte Mail entdeckt. Am 19. August 2003 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Warnung zur F-Variante heraus.[5] Nach drei Tagen gaben IT-Sicherheitsspezialisten bekannt, dass täglich über zwei Millionen Sobig-Mails registriert werden. Als die Situation sich in Nordamerika und Europa wieder beruhigte, wurde China von einer massiven Infektionswelle getroffen. Die ausführbare Datei mit dem Wurmprogramm hat eine Größe von durchschnittlich 70 bis 78 KBytes und ist mit TELock gepackt. Das Schadprogramm kann sich selbst polymorph verschlüsseln. Sobig.F verfügt über einen integrierten SMTP-Server und Routinen, um DNS-Server direkt abzufragen oder Anfragen über das Network Time Protocol zu stellen. Dafür verwendet der Wurm die UDP-Ports 995 bis 999. VerbreitungSobig.F wurde vermutlich über eine pornografische Newsgroup freigesetzt und ist der sechste aus einer Serie von immer ausgeklügelteren Internet-Würmern, die seit Januar 2003 im Internet freigesetzt wurden. Am Montag, den 18. August um 19:46 Uhr (GMT) wurde ein Eintrag in sechs Newsgroups erstellt: alt.binaries.amp, alt.binaries.boneless, alt.binaries.nl, alt.binaries.pictures.chimera, alt.binaries.pictures.erotica und alt.binaries.pictures.erotica.amateur.female – Der Wurm wurde hier als pornografische Bilddatei getarnt erstmals freigesetzt. Das Posting war in allen Gruppen gleichlautend und hatte den Titel: Nice, who has more of it? DSC-00465.jpeg Wenn die vermeintliche Bilddatei von anderen Usern angeklickt wurde, versuchte sich der Wurm auf dem Rechner zu installieren. Der verwendete Account wurde mit Hilfe gestohlener Kreditkartendaten eingerichtet. Er wurde nur einmalig, zum Hochladen des Wurms, verwendet und nur wenige Minuten zuvor erstellt. Sobig.F wird als netzwerkaktiver Massen-Mail-Wurm charakterisiert, der sich an alle E-Mail-Adressen sendet, die er in Dateien mit den Erweiterungen .dbx, .eml, .hlp, .htm, .html, .mht, .wab oder .txt findet.[2] Der eingenistete Wurm öffnet auf den befallenen Rechnern Ports zum Internet, installiert einen eigenen Mailserver und sendet parallel unablässig infizierte E-Mails an beliebige Empfänger.[2][3][4] Diese Aktivitäten geschehen im Hintergrund, der Besitzer des infizierten Computers bekommt keine direkten Hinweise mitgeteilt.
Sobig.F nutzt keine Sicherheitslücken. Für eine Infektion muss der Mailanhang manuell geöffnet werden. Änderungen am SystemWenn der Wurm Sobig.F aktiviert ist, kopiert er sich in das Windows-Verzeichnis mit dem Namen WINPPR32.EXE und legt eine Konfigurationsdatei mit dem Namen WINSTT32.DAT im selben Verzeichnis ab. Folgende Einträge in der Registry werden durchgeführt:[6]
UpdatesDer Wurm ist darauf programmiert, bis zum 10. September 2003 jeden Freitag und Sonntag Kontakt zu bestimmten Rechnern aufzunehmen, um von dort kleine Updates in Form weiterer Instruktionen zu erhalten. Dabei wird ein UDP-Paket an Port 8998 eines Remote-Servers gesandt. Diese angezielten Rechner wurden aufgrund der ermittelten IP-Adressen nach kurzer Zeit vom Netz genommen. Die Adressen der Update-Server lauteten:
Um die Kommunikation mit den Masterservern sicher zu unterbinden, gab die Firma Symantec eine Empfehlung an Systemadministratoren heraus. Man solle die betreffenden IP-Nummern sperren und zusätzlich auch die Ports 991 bis 999 für eingehenden und den Port 8998 für ausgehenden UDP-Verkehr sperren. Der 10. September 2003 ist gleichzeitig ein eingebautes „Verfallsdatum“ für Sobig.F. Wird das schädliche Programm nach diesem Tag ausgeführt, löscht es sich selbst. Der Wurm hält sich dabei nicht an die Systemzeit, sondern fragt auf NTP-Servern die aktuelle UTC-Zeit ab. FolgenDie heuristische Erkennung mancher Antimalwareprogramme konnte die schädlichen Aktivitäten von Sobig.F teilweise unterbinden. Aufgrund der seit 10. September 2003 praktisch nicht mehr auftretenden Neuinfektionen mit Sobig.F wurde der Wurm von IT-Sicherheitsfirmen wie beispielsweise Symantec nach einigen Wochen aus der Gefahrenstufe 4 in die Kategorie 2 verschoben. Von Sobig.F infiziert werden potenziell alle Microsoft-Betriebssystemversionen von Windows 95 bis Windows XP ohne entsprechende Hotfixes.[3] Die erste Edition von Windows 2003 für Server wurde erst eine Woche nach der Sobig.F-Welle veröffentlicht und war somit nicht betroffen. Eine entsprechend konfigurierte Personal Firewall war im Jahr 2003 auf Windows-Rechnern noch nicht etabliert. Zum Standard wurde das erst mit dem Service Pack 2 für Windows XP. Der Sobig-Wurm wäre damit effektiv an der Verbreitung gehindert worden, sofern die Einstellungen nicht pauschal alle ausgehenden Verbindungen ohne weitere Nachfrage zulassen. Einzelnachweise
Weblinks
|
||||||||||||||||||||||||
Portal di Ensiklopedia Dunia
