Blaster Wurm

Sprengwurm

Die bekannteste Wurmart: der Blaster-Wurm. mw-headline" id="Varianten">Varianten[Bearbeitung | | | Quelltext bearbeiten]> W32.Blaster (auch W32.Lovsan oder MSBlast genannt) ist ein 2003er Computer-Wurm, der sich über eine Verwundbarkeit in der Microsoft Windows RPC-Schnittstelle ausbreitet. Der Vertrieb erfolgt ausschliesslich auf den Betriebsystemen Windows 2000, XP und Windows Server 2003 über den TCP-Port 135. Die Distributed Computing Environment (DCE), die auf einer großen Anzahl von Systemen eingesetzt werden kann, nutzt ebenfalls RPCs über Port 135 und kann den DCE-Dienst aufgrund einer Verwundbarkeit bei der Implementation einiger Anbieter auf einigen Systemen zum Erliegen bringen.

Er kann nicht feststellen, ob das Ziel bereits während eines Angriffs angegriffen wurde. Es verlangsamt sich selbst, weil es auch bereits infizierte Windows-Computer abstürzt. Nur wenn der Zugriff erfolgt ist, prüft das System, ob die msblast. exe bereits auf der Platte liegt.

Dieser Wurm sollte am Dienstag, den 15. Juli 2003, einen verteilten Denial-of-Service-Angriff auf die Update-Seiten von Microsoft starten, auf denen auch der Schwachstellen-Patch gespeichert ist. Der Wurm kommt jetzt in vielen verschiedenen Ausprägungen vor, von denen einige den Wurm mit Trojanern mischen. Auch für die Sicherheit des Systems bedeutet diese Weiterentwicklung eine unmittelbare Gefahr, da sich der Wurm nicht mehr auf die Ausbreitung, sondern die Rechner für einen zukünftigen Zugriff vorbereitete.

Die Wurmart tritt in sechs verschiedenen Ausführungen auf: Nachi, Welchia und Lovsan.D. heißt die Malware, die auch nach anfälligen Windows-Systemen auf dem TCP-Port 135 Ausschau hält. Der Wurm schickt stattdessen über den TCP-Port 80 und nutzt die im März 2003 gefundene WebDAV-Sicherheitslücke, um sich zu verbreiten.

Der Wurm befällt nur Windows XP-Rechner über das RPC-Leck, während die WebDAV-Lücke sowohl Windows 2000 als auch XP-Systeme angreift. Ein TFTP-Server wird gestartet, um den Wurm in den Rechner zu injizieren. Auf dem TCP-Port 135 wird eine Verknüpfung zwischen dem Täter und seinem Verunglückten aufgebaut.

Es wird eine Shell für das auf dem TCP-Port 4444 lauschende Objekt erstellt. Die Angreiferin befiehlt über die Shell, dass das betroffene Unternehmen den Wurm installiert. Er bricht die Kommunikation mit der Shell des Betroffenen ab, dann hört die Shell nicht mehr auf den TCP-Port 4444 des Betroffenen.

Der Verunglückte beginnt einen TFTP-Server und verarbeitet andere Befehle (z.B. zum Ändern der Registry-Schlüssel, etc.).