Auf der Jagd nach dem Wurm

Tony Hosseiny ist Technical Manager Central Europe & UK von Radware.

Sie stören nicht nur den IT-Betrieb einer Firma. Sie können geschäftskritische Anwendungen regelrecht in die Knie zwingen. Die Rede ist von den gefährlichsten Schädlingen im Internet: den Computerwürmern. Dabei handelt es sich um Programme, welche sich ohne menschliches Zutun selbst vervielfältigen und wichtige Dateien infizieren. Diese Programme, beispielsweise Trojaner, werden oft mit der Absicht programmiert, eine einzelne Anwendung zu stören oder aber, um koordinierte DDos-Angriffe (Destributed Denial of Service) durchzuführen.

Typisch für Würmer ist, dass sie sich an verschiedenen Punkten von Netzwerkanwendungen einschleusen können. Klassischerweise verbreiten sie sich über das Internet-Gateway eines Unternehmens oder werden über infizierte Laptops der Mitarbeiter ins Firmennetzwerk eingeschleppt.

Exponentielle Selbstvermehrung

Die wohl aggressivste Spielart unter allen Computerwürmern ist jene, die sich selbst vermehrt. Der Wurm benutzt dabei normalerweise folgende Methode: Ein IP-Adressraum wird nach dem Zufallsprinzip gescannt, um einen anfälligen Rechner im Internet zu finden. Hat der Wurm einen entsprechenden Host erspäht, infiltriert das Wurmprogramm die anfälligen Anwendungen mit der Schadensroutine. Der zuerst infizierte Host und der neu infizierte Server scannen anschliessend den IP-Adressraum erneut - und infizieren weitere Rechner. So vermehrt sich der Wurm exponentiell.

Gegen dieses Schneeballprinzip mutet die Vermehrungsgeschwindigkeit über die anderen Verbreitungsarten direkt lahm an. Beispielsweise werden viele Würmer über E-Mail, Instant Messaging und Peer-to-Peer verbreitet. Auf diese Art und Weise geschieht eine Infektion in der Regel aber wesentlich langsamer, da es eines Menschen bedarf, der beispielsweise E-Mail-Anhänge öffnet oder Hyperlinks anklickt.

Eine andere, relativ neue Fortpflanzungsvariante für Schadprogramme ist der so genannte «Google Wurm». Dieser benutzt die Suchmaschine Google, um Webseiten nach einer bestimmten Version einer Serveranwendung zu durchsuchen, welche bekanntermassen anfällig für den Wurmcode ist. Diese Suchergebnisse nutzt der Wurm dazu, um sich automatisch selbst an diese Server zu versenden. So muss der Wurm nicht erst herausfinden, ob ein Server an-fällig ist oder nicht. Er überlässt Google die Arbeit.