Dipl.-Inform. Carsten Eilers

Im Januar 2003 machte sich SQL Slammer auf den Weg durch die MS SQL Server im Internet, auf denen ein damals bereits 6 Monate altes Update nicht installiert war. Und das waren etliche, deren Admins dann lernen mussten, dass Microsoft die Sätze "Three vulnerabilities, the most serious of which could enable an attacker to gain control over an affected server." und "System administrators should install the patch immediately." nicht nur in das Security Bulletin geschrieben hat, damit das nicht so leer ist.

SQL Slammer nutzte eine Pufferüberlauf-Schwachstelle im SQL Server Resolution Service aus: Ein entsprechend präpariertes UDP-Paket an diesen Service führte zum Pufferüberlauf, danach wurde der eingeschleuste Wurm-Code ausgeführt, der sofort nach weiteren Opfern suchte. Dazu wurden zufällige IP-Adressen erzeugt, an die der präparierte Paket gesendet wurde. Dies führte zu einer starken Auslastung der betroffenen Netze, was teilweise zu einem DoS führte. Eine Besonderheit des Wurms war seine geringe Größe: Der gesamte Wurmcode belegte nur 376 Bytes und passte damit ein einziges UPD-Paket, was einen "fire and forget"-Angriff erlaubte: Nachdem das Paket an eine IP-Adresse abgeschickt worden war, konnte sofort die nächste Adresse aufs Korn genommen werden.

Ausführliche Analysen des Wurms gibt es z.B. von Symantec (PDF), SANS ("Malware FAQ: MS-SQL Slammer") und im IEEE Security and Privacy Magazine (PDF).

SQL Slammer tat nicht weiter, als sich selbst zu verbreiten. Der Wurm enthielt keine Schadfunktion und nistete sich nicht einmal im infizierten Server ein: Nach einem Neustart war der Wurm gelöscht. Das störte die Verbreitung aber nicht weiter, da es genug infizierte Server gab, die einen so "gereinigten" Server schnell neu infizierten.

7 Jahre SQL Slammer sind genug!

Dass ein 7 Jahre alter Wurm immer noch aktiv ist, ist eigentlich unglaublich. Aber es ist so, was das Internet Storm Center im Oktober 2010 dazu veranlasste, im Rahmen des US-Amerikanischen "Cyber Security Awareness Month" zum SQL Slammer Clean-up aufzurufen. Im Laufe des Monats wurden mehrere Beiträge zum Thema im Handler's Diary des ISC veröffentlicht. In "How to Report" wurde beschrieben, wie beobachtete Wurm-Zugriffe an die für die aussendenden Netze Verantwortlichen gemeldet werden sollten. In "Reporting Upstream" ging man dann einen Schritt weiter: Wenn die für die infizierten Server Verantwortlichen nicht reagieren, tun es vielleicht deren ISP. Und wenn E-Mails ignoriert werden, hilft ja vielleicht ein Telefonanruf: "Picking up the Phone". Wie das ganze von der Gegenseite aussieht, beschreibt der Beitrag "Switching Viewpoints": Erreichen mögliche Beschwerden über die eigenen Systeme eigentlich die Verantwortliche, oder landen sie z.B. bei nicht existierenden Mail-Adressen? Wenn alle Stricke reißen und kein Abuse-Kontakt reagiert, bleibt als letzte Möglichkeit das Einschalten des zuständigen CERTs: "Contacting CERTs". Was die Aktionen im Oktober gebracht haben, wurde dann im November zusammengefasst: "Roundup and Review". Die Kurzfassung, frei nach Bernd dem Brot: Alles ist wie immer, nur schlimmer - Der SQL-Slammer-Traffic nahm zu statt wie erwartet ab. Zumindest was den gemeldeten Traffic betrifft. Ob wirklich mehr Würmer neue Opfer suchen oder nur mehr Admins SQL-Slammer-Zugriff melden, lässt sich nicht unterscheiden.

Blaster gegen Windows

Der nächste berühmt-berüchtigte Wurm wurde im August 2003 entdeckt: Blaster (auch Lovesan und MSBlast genannt) nutzte eine kurz zuvor behobene Pufferüberlauf-Schwachstelle im DCOM RPC Service von Windows XP und 2000 aus. Blaster sorgte durch einen Registry-Eintrag dafür, dass sein Code bei jedem Neustart gestartet wurde.

Seine Schadfunktion: Am 16. August 2003 sollte er einen DDoS-Angriffe auf Microsofts damaligen Update-Server "windowsupdate.com" starten. Durch Implementierungsfehler wird die DDoS-Funktion aber an jedem 16. Tag der Monate Januar bis August sowie an jedem Tag in den Monaten September bis Dezember gestartet. Da kein Jahr vorgegeben ist, DDoSed Blaster "windowsupdate.com" also bis in alle Ewigkeit, sofern er dann noch einen Wirtsrechner findet. Microsoft ließ den DDoS-Angriff ins Leere laufen, indem die Namensauflösung für "windowsupdate.com" eingestellt wurde. In gewisser Weise war Blaster also sogar erfolgreich: "windowsupdate.com" ist nicht mehr erreichbar. Allerdings nur dem Namen nach, dem Server geht es weiterhin blendend.

Das Löschen von "windowsupdate.com" war relativ problemlos möglich, da die Update-Funktion von Windows sowieso die Adresse "windowsupdate.microsoft.com" verwendet. "windowsupdate.com" wurde hauptsächlich für z.B. Links zu Updates, verwendet. "windowsupdate.com" existiert auch heute noch nicht wieder, stattdessen wird "www.windowsupdate.com" verwendet.

Außer dem Schadcode enthält der Wurm noch eine Nachricht an Bill Gates, die aber nur im Code enthalten ist und nicht ausgegeben wird:

"I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!"

Theoretisch hätte Blaster auch Windows Server 2003 infizieren können, praktisch scheiterte das am gesetzten /GS-Flag: Der Pufferüberlauf wird erkannt und der RCPSS-Prozess beendet, so dass der Schadcode nicht ausgeführt wird.

Welchia gegen Blaster

Kurz nach Blaster nutzte ein weiterer Wurm die von Blaster verwendete RPC-Schwachstelle aus: Welchia (auch Nachia genannt) versuchte, den Patch für die ausgenutzte Schwachstelle zu installieren und Blaster zu entfernen. Am 1. Januar 2004 oder 120 Tage nach der Infektion des Rechners (je nachdem, was zuerst eintritt) entfernte sich Welchia selbst von den infizierten Rechnern. Was generell gut gemeint war, hatte aber auch Nebenwirkungen: In manchen Fällen kam es durch Welchi zu Abstürzen der damit infizierten Rechner.

In der nächsten Folge nähern wir uns weiter der Gegenwart, und in der sind Würmer nach wie vor aktiv, wie der "Here you have"-E-Mail-Wurm und Stuxnet bewiesen haben.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware - Der Spion in Ihrem Computer

Viren - Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer

Würmer - Schadsoftware, die sich selbst verbreitet

Schadsoftware - Die Entwicklung der Würmer

1999 - Die Ausbreitung der Würmer beginnt

2003 - Würmer ohne Ende

2004 - Mehr Würmer, mehr Ziele, mehr Opfer

2004 - Der Aufbruch der Würmer ins Web

2007 - Würmer im Sturm und in Facebook

Conficker, Stuxnet, "Here you have" - die aktuellen Würmer

Smarte Telefone, mehr oder weniger smarte Würmer

Trojaner - Der Feind im harmlosen Programm

Zeus - Trojaner, Botnet, Schädlingsbaukasten, ...

Exploit-Kits - Die Grundlage für Drive-by-Infektionen

Rootkits - Schadsoftware im System

Remote Administration Toolkits - Fernwartung in der Grauzone

Botnets - Zombie-Plagen im Internet

Schadsoftware - Infektionen verhindern

Schadsoftware im Überblick