Warnung vor Computerwurm

Mittlerweile soll angeblich das FBI erste konkrete Hinweise auf den Ursprung des Wurms, beziehungsweise auf seine Einspeisung ins Netz erhalten haben. Der Virenschreiber soll mittels eines Account beim Provider und Newsgroup-Dienstleister Easynews Sobig.F über Usenet-Postings in Umlauf gebracht haben. Die Firma sicherte nach US-Medienberichten zu, mit den Ermittlungsbehörden zusammen zu arbeiten. Der Account bei Easynews sei mit einer gestohlenen Kreditkarte nur zu dem Zweck eröffnet worden, den Wurm freizusetzen, erklärte die Firma.

Zum Vergrößern anklicken....

Meldung vom 22.08.2003 15:51
Mail-Wurm Sobig.F versucht nachzuladen

Die Antiviren-Spezialisten von F-Secure warnen davor, dass der massiv verbreitete Sobig.F-Wurm ab dem heutigen Freitagabend möglicherweise neue Komponenten von Rechnern im Netz bezieht. Dadurch könnte der Wurm noch weiteren Schaden verursachen.

Andere Hersteller von Antiviren-Software bestätigen diese Informationen. So gibt auch Symantec an, dass Sobig.F in der Lage ist, beliebigen Programmcode von verschiedenen fest durch verschlüsselte Angaben im Code verankerten "Master-Servern" zu laden und auszuführen. Diese Funktion ließe sich durch den Wurm beispielsweise verwenden, um sich selbst zu aktualisieren oder gar, um Schadroutinen nachzuladen.

Sobig.F kommuniziert mit NTP-Servern, um sich die aktuelle UTC-Zeit zu holen. Nach Angaben von Symantec soll der Schädling von Freitag bis Sonntag jeweils zwischen 19 und 22 Uhr UTC (zwischen 21 und 24 Uhr deutscher Sommerzeit) versuchen, mit den Master-Servern Kontakt aufzunehmen. Möglicherweise könnte die Gefahr durch Sobig.F also ab dem heutigen Freitagabend, 21 Uhr mitteleuropäischer Zeit, neue Dimensionen annehmen. Ob Sobig tatsächlich zum angegebenen Zeitpunkt neue Komponenten lädt und welche Funktion diese ausführen sollen, ist zum gegenwärtigen Zeitpunkt noch unklar.

Hinweise zum Schutz vor Viren und Würmern, auch vor Sobig.F, bieten die Antiviren-Seiten von heise Security: Rechner, die von dem Wurm nicht befallen sind, können natürlich auch keine zusätzlichen Schadroutinen ausführen ...

Update: Nach Angaben der Antiviren-Firmen ist es mittlerweile gelungen, die verschlüsselte Liste der Master-Server aus dem Wurmcode zu extrahieren:

12.158.102.205
12.232.104.221
24.197.143.132
24.202.91.43
24.206.75.137
24.210.182.156
24.33.66.38
61.38.187.59
63.250.82.87
65.177.240.194
65.92.186.145
65.92.80.218
65.93.81.59
65.95.193.138
66.131.207.81
67.73.21.6
67.9.241.67
68.38.159.161
68.50.208.96
218.147.164.29

Administratoren sollten diese IP-Adressen vorsorglich auf den Firewalls blockieren, damit im Infektionsfall kein Dateitransfer mit diesen Servern stattfinden kann.

Laut F-Secure handelt es sich bei diesen 20 Systemen offenbar um ständig ans Internet angebundene DSL-Verbindungen. Nun arbeiten die Antiviren-Unternehmen in Koordination mit verschiedenen CERTs mit Hochdruck daran, diese Master-Server vom Netz zu nehmen. Dies wird nach Aussagen von F-Secure allerdings kein leichtes Unterfangen: "Unglücklicherweise haben die Wurm-Autoren diesen Schritt vorausgesehen", sagt Mikko Hypponen von F-Secure. "Diese 20 Master-Rechner sind alle bei unterschiedlichen Providern angebunden, was es wahrscheinlich macht, dass man nicht alle Server bis 21.00 Uhr mitteleuropäischer Zeit abklemmen kann. Selbst wenn nur ein Server erreichbar bleiben sollte, genügt das, um den Wurm zu versorgen."

Um die Kommunikation mit den Masterservern zu unterbinden, empfiehlt Symantec zusätzlich, die Ports 991 bis 999 für eingehenden und den Port 8998 für ausgehenden UDP-Verkehr zu sperren.

Zum Vergrößern anklicken....

Meldung vom 23.08.2003 10:41
Attacke von Mail-Wurm Sobig.F läuft anscheinend ins Leere

Die Versuche des Mail-Wurms Sobig.F am gestrigen Freitagabend, von infizierten Rechnern aus Verbindungen zu Servern im Internet herzustellen und möglicherweise neue Schadfunktionen nachzuladen, liefen offensichtlich ins Leere. Antiviren-Spezialisten, unter anderem von F-Secure, Network Associates oder Symantec, konnten die verschlüsselte Liste der Master-Server, die im Code angegeben war, knacken und die entsprechenden Maschinen im Netz überwachen beziehungsweise weitgehend blockieren. Nach Angaben von F-Secure war während der Zeit, zu der Sobig.F aktiv wurde (19 bis 22 Uhr UTC am Freitagabend) nur noch ein Server online, der allerdings durch extrem hohen Netzwerkverkehr praktisch lahmgelegt war.

Für den heutigen Samstagabend öffnet sich wieder das gleiche Zeitfenster von 19 bis 22 Uhr UTC (21 bis 24 Uhr mitteleuropäischer Sommernzeit), in dem vom Wurm befallene Rechner versuchen, Kontakt zu den Servern aufzunehmen. Da diese mittlerweile aber bekannt sind und weitgehend unter Kontrolle zu sein scheinen, dürfte sich die weitere Gefahr einer neuen Schädlingswelle in Grenzen halten. Bislang ist allerdings immer noch nicht bekannt, welches Programm Sobig.F von den Servern nachladen sollte. Der zuletzt noch verfügbare Server leitete laut Symantec lediglich auf eine P.orno-Site weiter, ohne dass dort erkennbar war, dass irgendeine besondere Software zu den vom Wurm befallenen Rechnern übertragen werden sollte.

Mittlerweile soll angeblich das FBI erste konkrete Hinweise auf den Ursprung des Wurms, beziehungsweise auf seine Einspeisung ins Netz erhalten haben. Der Virenschreiber soll mittels eines Account beim Provider und Newsgroup-Dienstleister Easynews Sobig.F über Usenet-Postings in Umlauf gebracht haben. Die Firma sicherte nach US-Medienberichten zu, mit den Ermittlungsbehörden zusammen zu arbeiten. Der Account bei Easynews sei mit einer gestohlenen Kreditkarte nur zu dem Zweck eröffnet worden, den Wurm freizusetzen, erklärte die Firma.

Berichten, nach denen "Millionen von Rechnern" von Sobig.F befallen seien, widersprachen die Antiviren-Firmen allerdings. Jedoch habe der Wurm bei seiner Verbreitung seit Dienstag einen neuen Geschwindigkeitsrekord aufgestellt, Kapersky Labs sprachen von der "größten Epidemie" aller Zeiten. Auch die New York Times soll möglicherweise durch Befall mit dem Wurm dazu gezwungen worden sein, ihre Rechner herunterzufahren. Beim Nürnberger Steuerberater-Softwarehaus und -Rechenzentrum Datev hieß es, allein am Donnerstag habe man 2,4 Millionen Versuche gezählt, Sobig.F in das interne Netz einzuschleusen. Network Associates schätzt die Zahl der eigentlich befallenen Rechner allerdings lediglich auf 100.000 bis 150.000 weltweit. Millionen von Usern und unzählige Firmen, deren Rechner nicht infiziert waren, waren aber trotzdem von dem Wurmbefall betroffen: Ihr Mail-Verkehr wurde durch die massenhaften Viren-Mails, durch die teilweise ebenfalls massenhaft eintreffenden Viren-Warnungen der E-Mail-Scanner und die "Nicht-Erreichbar"-Antworten auf Mails mit gefälschten Absender-Adressen stark in Mitleidenschaft gezogen. Gelangte ein User auf die Liste mit den Zieladressen eines sehr gut ans Internet angebundenen, infizierten Rechners, dann hatte er ohne Filter auf dem Mail-Server das Nachsehen: Er wurde allein von möglicherweise nur einem infizierten Rechner mit Hunderten oder Tausenden von Mails mit in der Regel unterschiedlichen Absenderadressen versorgt. Der Eindruck einer Lawine ließ sich da nur schwer vermeiden.

Zum Vergrößern anklicken....

FBI jagt Wurm-Programmierer

Das FBI verfolgt zusammen mit dem Department of Homeland Security sowie staatlichen und lokalen Behörden Spuren, die zu den Programmierern von Lovsan und Sobig.F führen sollen. Nach Angaben des FBI-Direktors Robert Mueller werden dazu "neueste Techniken" eingesetzt, um den Tätern auf die Schliche zu kommen -- ohne dass sich Mueller im Detail dazu ausließ. Er meinte aber, die Codes der Würmer würden einer genauen Analyse unterzogen werden. Allerdings gleiche die Suche nach den Tätern dem Aufspüren der Nadel im Heuhaufen, so Steve Trilling vom Symantec. In der Vergangenheit habe sich aber gezeigt, dass in derartigen Fällen, in denen sehr hoher Schaden verursacht worden sei, die Untersuchungen besonders intensiv durchgeführt wurden. Dies würde auch bei Sobig.F der Fall sein.

Der E-Mail-Wurm Sobig.F soll erstmals in Beiträgen in P.orno-Newsgroups aufgetaucht sein und sich von dort aus weiterverbreitet haben. Dem FBI zufolge wurden die Beiträge von einem Account des Internet-Providers Easynews.com abgeschickt. Zum Anlegen des Accounts sei, so ein Sprecher von Easynews, eine gestohlene Kreditkarte verwendet worden.

Mittlerweile wird darüber spekuliert, ob Sobig.F ins Leben gerufen wurde, um damit Geld zu verdienen. Durch die Fähigkeit, neue Funktionen nachzuladen, kann der Wurm ein infiziertes System beliebig manipulieren, zum Beispiel Proxies und Hintertüren installieren und starten. Sicherheitsexperten gehen davon aus, dass Listen von Systemen, die mit Sobig.F infiziert seien, bereits an höchstbietende Spammer verkauft werden. Diese könnten befallene Systeme als Plattform für ihre Aktivitäten missbrauchen. Auch sei davon auszugehen, dass der Wurm ein weiterer Prototyp der Sobig-Reihe sei, um die Verbreitung im Internet zu testen und den Code weiter zu optimieren. Dafür spräche auch das Verfallsdatum des Wurms: Am 10. September deaktiviert sich Sobig.F selbst. Damit würden sich neuere Versionen des Wurms nicht mit den bisher verbreiteten ins Gehege kommen.

Zum Vergrößern anklicken....

FBI ist Blaster-Programmierer auf der Spur

Das FBI und die Staatsanwaltschaft in Seattle wollen heute den mutmaßlichen Programmierer des Wurms W32.Blaster verhaften lassen. Das berichtet das Wall Street Journal in seiner Online-Ausgabe. Bei dem Verdächtigen soll es sich um einen 18-Jährigen handeln - weitere Details wollen die zuständigen Ermittlungsbehörden am Freitag um 13 Uhr 30 (Ortszeit) bekannt geben.

Zum Vergrößern anklicken....