Computerviren sind ein logistischer Albtraum. Sie können Ihre Festplatte löschen. Sie können den Netzwerkverkehr stundenlang blockieren. Sie können Ihre unschuldige Maschine in einen Zombie verwandeln, der sich selbst repliziert und Kopien an jeden Kontakt in Ihrem Adressbuch sendet.
Wenn Sie noch nie gesehen haben, wie eine Maschine zum Opfer fiel, fragen Sie sich vielleicht, worum es bei der Aufregung geht. Die Sorge ist berechtigt. Consumer Reports schätzte, dass Computerviren allein im Jahr 2008 zu Verbraucherverlusten in Höhe von 8,5 Milliarden US-Dollar beitrugen. Sie sind nur ein Teil des Online-Bedrohungskuchens, aber sie sind wohl die bekanntesten.
Die Theorie vor der Malware
Computerviren gibt es schon seit Jahrzehnten. Das Konzept stammt tatsächlich aus der Zeit vor dem modernen Internet. Im Jahr 1949 stellte der Wissenschaftler John von Neumann die Theorie auf, dass sich selbst reproduzierende Programme möglich seien. Die Computerindustrie war kaum ein Jahrzehnt alt. Jemand hatte bereits herausgefunden, wie man einen Schraubenschlüssel ins Getriebe steckt.
Es dauerte noch einige Jahrzehnte, bis Programmierer, sogenannte Hacker, sie tatsächlich erstellten.
Frühe virusähnliche Programme zielten auf große Großrechner ab. Aber der Personal Computer hat alles verändert. Es brachte die Bedrohung an die Öffentlichkeit. Fred Cohen, ein Doktorand, beschrieb als erster selbstreplizierende Programme, die Computer modifizieren sollten, als „Viren“. Der Name blieb hängen.
Von Disketten zu E-Mail-Ketten
In den frühen 1980er Jahren war die Verbreitung von Viren auf menschliche Arbeit angewiesen. Ein Hacker würde den Code auf einer Diskette speichern. Sie würden die Diskette verteilen. Sie würden es anschließen. Die Infektion breitete sich aus.
Die Übertragung von Viren wurde erst zu einem wirklichen Problem, als Modems verbreitet wurden. Heute stellen wir uns vor, dass sich Computerviren über das Internet verbreiten. Sie infizieren Computer über E-Mail-Nachrichten oder beschädigte Weblinks. Diese digitalen Stämme verbreiten sich viel schneller als die frühesten physischen Versionen.
Wir werden uns die 10 schlimmsten Computerviren ansehen, die ein System lahmlegen können. Beginnen wir mit dem Melissa-Virus.
10: Melissa
David L. Smith hat nicht nur Code geschrieben; Er schrieb einen kulturellen Marker für den Beginn des Internetzeitalters. Im Frühjahr 1999 entwickelte er einen Microsoft Word-Makrovirus, der zu einer der ersten digitalen Bedrohungen wurde, die die Fantasie der Öffentlichkeit wirklich erregte. Smith nannte es Melissa und leitete den Spitznamen von einer exotischen Tänzerin ab, die er in Florida kannte. Diese Wahl war ironisch angesichts des Verhaltens des Virus, bei dem es weit weniger um Verlockung als vielmehr um aggressive, automatisierte Replikation ging.
Die Mechanismen der Infektion waren einfach, aber verheerend wirksam. Der Virus tarnte sich in einer E-Mail-Nachricht mit der Betreffzeile „Hier ist das Dokument, um das Sie gebeten haben, zeigen Sie es niemand anderem.“ Es spielte mit Neugier und Geheimhaltung, zwei Dinge, die Menschen im beruflichen Umfeld notorisch schlecht bewahren können. Wenn ein Empfänger das angehängte Dokument öffnete, wurde das Makro aktiviert. Es blieb nicht einfach da. Es hat das Outlook-Adressbuch des Opfers durchsucht und Kopien von sich selbst an die fünfzig wichtigsten Kontakte gesendet.
Das Melissa-Virus und die Reaktion der Regierung
Die Ausbreitung war exponentiell. Innerhalb weniger Tage ertranken Netzwerkadministratoren im Datenverkehr. Die US-Bundesregierung wurde darauf aufmerksam. Laut Aussagen von FBI-Beamten gegenüber dem Kongress hat das Melissa-Virus verheerende Schäden in Netzwerken der Regierung und des privaten Sektors angerichtet. Die schiere Menge an infizierten E-Mails führte dazu, dass die Mailserver lahmlegten. Einige Unternehmen waren gezwungen, ihre E-Mail-Programme vollständig einzustellen, bis die Verbreitung eingedämmt werden konnte.
Smith wurde schließlich gefasst. Die rechtlichen Konsequenzen waren schnell und schwerwiegend. Nach einem langwierigen Gerichtsverfahren verlor Smith seinen Fall und erhielt eine 20-monatige Gefängnisstrafe. Das Gericht verhängte außerdem eine Geldstrafe von 5.000 US-Dollar gegen Smith und verbot ihm den Zugriff auf Computernetzwerke ohne richterliche Genehmigung. Obwohl Melissa das globale Internet nicht dauerhaft lahmlegte, wirkte es als Weckruf. Es bewies, dass Code, der für die Büroproduktivität geschrieben wurde, als Waffe genutzt werden kann, um die Unternehmensinfrastruktur in die Knie zu zwingen.
Geschmacksrichtungen von Viren
Um zu verstehen, warum Melissa so gefährlich war, muss man sich die Kategorisierung von Malware ansehen. Die meisten Menschen verwenden den Begriff „Virus“ als Sammelbegriff, aber die technischen Unterscheidungen sind für die Verteidigung und das Verständnis von Bedeutung.
- Computervirus : Dies ist die allgemeine Bezeichnung für Programme, die die Funktionsweise eines Computers verändern und dabei häufig Dateien oder Systeme beschädigen. Ein echter Virus erfordert ein Host-Programm, um ordnungsgemäß ausgeführt zu werden. Melissa verwendete als Host ein Word-Dokument. Es konnte nicht unabhängig existieren.
- Wurm : Im Gegensatz zu einem Virus benötigt ein Wurm kein Host-Programm. Es handelt sich um eine eigenständige Anwendung, die sich selbst replizieren und direkt über Computernetzwerke senden kann. Es ist schneller, autark und oft schwieriger zu stoppen, da kein Benutzer eine Datei öffnen muss.
- Trojanisches Pferd : Diese Programme behaupten, eine Sache zu tun, tun aber in Wirklichkeit eine andere. Sie könnten wie legitime Software oder Spiele aussehen. Sobald sie installiert sind, können sie die Festplatte eines Opfers beschädigen oder eine Hintertür erstellen, die es einem Remote-Benutzer ermöglicht, auf das Computersystem des Opfers zuzugreifen.
Das Verständnis dieser Unterschiede ist nicht nur akademisch. Es verändert die Art und Weise, wie Sie Ihre Daten schützen. Wenn Sie wissen, dass es sich bei einer Bedrohung um einen Wurm handelt, konzentrieren Sie sich auf Netzwerkports und Firewalls. Wenn es sich um einen Trojaner handelt, konzentrieren Sie sich auf die Aufklärung der Benutzer und die Überprüfung der Quelle.
Viren der alten Schule
Vor Melissa gab es andere frühe Infektionen. Zu den ersten Viren, die PCs infizierten, gehörten die Apple-Viren, die in den 1980er Jahren Apple II-Computer angriffen. Dabei ging es weniger um Massenvernichtung als vielmehr um Experimente, aber sie legten den Grundstein für alles, was folgte. Die Entwicklung von einfachen Streichen zu netzwerkzerstörendem Code wie Melissa markierte einen Wandel in der Absicht. Die böswilligen Akteure gaben nicht nur an; Sie testeten die Grenzen der Konnektivität.
9: Ich LIEBE DICH
Das von Melissa etablierte Muster ist nicht verschwunden. Es hat sich weiterentwickelt. Ein paar Jahre später tauchte eine weitere E-Mail-Bedrohung auf, die Melissa hinsichtlich ihrer globalen Auswirkungen in den Schatten stellen würde. Es
Es ist genau ein Jahr her, seit der Melissa-Virus die digitale Landschaft erfasst hat. Die nächste große Bedrohung kam nicht von den üblichen Verdächtigen. Es ist aus den Philippinen hervorgegangen.
Das war kein Makrovirus wie Melissa. Es war ein Wurm. Standalone. Selbstreproduzierend. Es trug einen Namen, der berüchtigt werden sollte: ILOVEYOU.
Der Liefermechanismus war täuschend einfach. Wie sein Vorgänger wurde es per E-Mail verbreitet. Die Betreffzeile war ein Haken: „Liebesbrief von einem heimlichen Verehrer.“ Die Anlage? LIEBESBRIEF-FÜR-DICH.TXT.vbs.
Die Erweiterung .vbs war das verräterische Zeichen. Es verwies auf Visual Basic Scripting, die Sprache, die der Schöpfer zum Bau der Zerstörungsmaschine verwendete.
McAfee katalogisierte später das gesamte Ausmaß des Schadens. Der Wurm hat sich nicht einfach selbst kopiert. Es vergrub Kopien in verschiedenen Festplattenordnern. Es wurden neue Einträge in die Windows-Registrierung eingefügt. Es überschrieb bestimmte Dateitypen mit seinem eigenen Code. Die Verbreitung erfolgte über Internet Relay Chat (IRC)-Clients, nicht nur per E-Mail.
Und dann war da noch die Nutzlast.
Der Wurm hat eine Datei namens WIN-BUGSFIX.EXE heruntergeladen. Es hat das Programm ausgeführt. Der Name deutete auf ein Systemreparaturtool hin. In Wirklichkeit handelte es sich um einen Ausweisdiebstahl. Es erbeutete Passwörter und andere sensible Daten und schickte die Beute per E-Mail direkt an den Hacker.
Der Schöpfer und die Kosten
Wer hat das gebaut? Die meisten Augen richteten sich auf Onel de Guzman, einen philippinischen Studenten.
Die philippinischen Behörden ermittelten gegen ihn wegen Diebstahls. Das Rechtssystem wies jedoch eine Lücke auf. Zu dieser Zeit gab es auf den Philippinen keine Gesetze, die sich speziell mit Computerspionage oder -sabotage befassten. Ohne die richtigen Gesetze, an die man ihn binden konnte, wurde die Anklage fallen gelassen.
De Guzman hat seine Rolle nie bestätigt. Er hat es auch nie geleugnet.
Der finanzielle Tribut war atemberaubend. Schätzungen gehen davon aus, dass der Schaden weltweit 10 Milliarden US-Dollar beträgt. Es bleibt einer der teuersten Cyberangriffe der Geschichte.
Die falsche Bedrohung: Virus-Hoaxes
Nachdem das Liebesfest vorbei war, erlebte die digitale Welt eine andere Art von Lärm. Keine Malware. Keine Würmer.
Virus-Hoaxes.
Das sind keine echten Bedrohungen. Sie replizieren sich nicht. Sie beschädigen keine Daten. Es handelt sich um erfundene Warnungen, die Benutzer und Medien in Panik versetzen sollen. Das Ziel ist Aufmerksamkeit. Der Effekt ist Müdigkeit.
Betrachten Sie die Dynamik „Junge, der den Wolf weinte“. Wenn in jeder E-Mail behauptet wird, es handele sich um einen tödlichen, unaufhaltsamen Virus, beginnen die Leute, die Warnungen zu ignorieren. Wenn schließlich eine echte Bedrohung eintrifft, werden die Warnzeichen als bloßer weiterer Schwindel abgetan.
Dadurch entsteht eine Ebene der Skepsis, die Hacker ausnutzen können. Wenn Sie nicht erkennen können, was real ist, sind Sie für alles anfällig.
Der Klez-Virus
Das nächste Kapitel in dieser Ära weit verbreiteter digitaler Panik betraf einen Virus mit einem Namen, der im Gedächtnis geblieben ist: Klez.
Der Klez-Virus kam Ende 2001 auf und kündigte eine Veränderung in der Funktionsweise von Bedrohungen an. Es hat nicht nur infiziert; Es verbreitete sich mit einer Raffinesse, die früherer Malware fehlte. Monatelang plagen Variationen Netzwerke und setzten einen neuen Standard für Geschwindigkeit und Heimlichkeit.
Der Kernmechanismus war einfach, aber verheerend. Der Wurm ist per E-Mail eingedrungen. Sobald es drinnen war, replizierte es das eigene Adressbuch des Opfers und schickte Kopien an seine Kontakte. Aber es war nicht nur ein Ärgernis. Einige Versionen enthielten zerstörerische Nutzlasten, die Systeme lahmlegen konnten. Es vermischte Verhaltensweisen. In einigen Fällen verhielt es sich wie ein herkömmlicher Virus. In anderen Fällen verhielt es sich wie ein Wurm oder ein Trojanisches Pferd.
Der gefährlichste Aspekt? Klez könnte Antivirensoftware deaktivieren. Es gab sich sogar als Entfernungstools aus, um Benutzer dazu zu verleiten, ihre eigenen Abwehrmaßnahmen zu deaktivieren.
Die Kunst des Spoofings
Hacker haben den Code schnell verfeinert. Sie erkannten, dass das bloße Versenden von E-Mails nicht ausreichte. Sie mussten die menschliche Skepsis umgehen.
Geben Sie Spoofing ein.
Der Virus hat das Feld „Von“ verändert. Es hat nicht nur von selbst gesendet. Es wurde ein zufälliger Name aus der Kontaktliste des Opfers abgerufen und diese Adresse verwendet. Die E-Mail schien von einem Freund, Kollegen oder einer bekannten Person zu stammen.
Diese Taktik diente mehreren Zwecken. Den Absender zu blockieren war sinnlos. Die wahre Quelle blieb verborgen. Ein Opfer konnte die Adresse nicht einfach in seinem Client blockieren, weil die Adresse gefälscht war. Der Spam könnte einen Posteingang schnell verstopfen. Die Empfänger hatten keine Möglichkeit, den wahren Ursprung herauszufinden.
Anerkennung spielte eine psychologische Rolle. Es ist wahrscheinlicher, dass Menschen E-Mails von bekannten Kontakten öffnen. Wenn im Feld „Von“ ein vertrauenswürdiger Name angezeigt wurde, war die Wachsamkeit des Empfängers gesunken. Es hat Klick gemacht. Der Wurm breitete sich aus.
Verteidigung gegen die Ausbreitung
Schutz erfordert Strategie. Sie benötigen eine Antivirensoftware. Sie müssen es auf dem neuesten Stand halten. Die Regeln sind streng. Installieren Sie nicht mehrere Suiten. Überlappende Programme stören. Sie stehen im Konflikt. Sie verlangsamen Ihr System. Sie schaffen Schwachstellen.
Im Jahr 2001 traten mehrere große Bedrohungen auf. Die Landschaft veränderte sich.
Zu den gängigen Verteidigungsinstrumenten gehören:
- Avast Antivirus
- AVG Anti-Virus
- Kaspersky Anti-Virus
- McAfee VirusScan
- Norton AntiVirus
Die Grundvoraussetzung ist, dass eines davon aktiv und aktuell bleibt. Mehr nicht. Nichts weniger.
Jenseits von Klez
Das Web hat sich weiterentwickelt. Die Bedrohungen entwickelten sich schneller.
7: Code Red und Code Red II
Die nächste Welle zielte auf Server. Der Fokus verlagerte sich vom einzelnen Nutzer hin zur Infrastruktur. Die Auswirkungen waren umfassender. Der Schaden war tiefer.
Der Sommer 2001 brachte zwei eindeutige Bedrohungen mit sich: das ursprüngliche Code Red und seine Fortsetzung Code Red II. Beide zielten auf denselben Fehler ab. Konkret nutzten sie eine Pufferüberlauf-Schwachstelle in Windows 2000- und Windows NT-Systemen aus. Wenn diese Maschinen mehr Daten empfingen, als ihre Puffer verarbeiten konnten, wurde der angrenzende Speicher überschrieben. Das Ergebnis war ein Absturz oder, schlimmer noch, eine Übernahme.
Der Angriff auf das Weiße Haus und der Systemkompromiss
Der erste Wurm hatte eine klare Agenda. Es startete einen DDoS-Angriff (Distributed Denial of Service) gegen die Webserver des Weißen Hauses. Infizierte Computer auf der ganzen Welt haben gleichzeitig dasselbe Ziel angepingt. Das Ziel war einfach: Die Maschinen überlasten, bis sie nicht mehr reagierten.
Code Red II war anders. Es hat nicht nur Systeme zum Absturz gebracht. Es wurde eine Hintertür in das Betriebssystem geschaffen. Dadurch konnten Remote-Benutzer auf den kompromittierten Computer zugreifen und ihn steuern. Technisch gesehen handelt es sich hierbei um einen Kompromiss auf Systemebene. Der Eigentümer verliert jegliche Autorität über seine eigene Hardware.
Die Auswirkungen sind schwerwiegend. Ein Angreifer kann auf persönliche Daten zugreifen oder den infizierten Computer nutzen, um Straftaten zu begehen. Das Opfer sieht sich nicht nur mit einem kaputten PC konfrontiert. Außerdem besteht die Gefahr, dass sie wegen Straftaten, die sie nicht begangen haben, unter Polizeiverdacht geraten.
Windows NT vs. Windows 2000
Nicht alle Maschinen litten gleichermaßen. Windows NT-Systeme waren tatsächlich anfällig. Die Auswirkungen waren jedoch weniger extrem. Webserver unter Windows NT stürzen möglicherweise häufiger als normal ab. Aber das war im Großen und Ganzen das Ausmaß des Schadens. Verglichen mit dem völligen Kontrollverlust, den Windows 2000-Benutzer erlebten, kamen NT-Benutzer relativ glimpflich davon.
Das Patch-Dilemma
Microsoft hat Patches veröffentlicht, um die zugrunde liegende Sicherheitslücke in beiden Betriebssystemen zu schließen. Nach dem Patchen konnten die ursprünglichen Würmer neue Windows 2000-Rechner nicht mehr infizieren. Aber es gab einen Haken. Der Patch entfernte keine vorhandenen Viren. Die Opfer mussten ihre Systeme selbst reinigen.
Was tun bei einer Infektion?
Herauszufinden, dass Ihr Computer infiziert ist, ist stressig. Die richtige Reaktion hängt von der spezifischen Malware ab. Viele Antivirenprogramme können Viren von einem infizierten System entfernen. Wenn der Virus jedoch Dateien oder Daten beschädigt hat, müssen Sie die Wiederherstellung anhand von Backups durchführen.
Aus diesem Grund sind regelmäßige Backups nicht verhandelbar. Bei Würmern wie Code Red reicht eine einfache Bereinigung nicht aus. Es empfiehlt sich, die Festplatte komplett neu zu formatieren und neu zu starten. Einige Würmer ermöglichen das Laden anderer schädlicher Software auf Ihren Computer. Bei einem standardmäßigen Antiviren-Scan könnten diese sekundären Bedrohungen übersehen werden.
6: Nimda
Der Nimda-Wurm: Geschwindigkeit und Schwere
Wenn Sie sich im Jahr 2001 die Serverprotokolle angesehen haben, hat Nimda Sie wahrscheinlich überrascht. Der Name war nicht zufällig. Es ist „admin“ rückwärts geschrieben, ein subtiler Seitenhieb auf die Systemprivilegien, die der Wurm ausnutzen wollte. Laut Peter Tippett, dem damaligen CTO von TruSecure, gelangte Nimda ins Internet und schaffte es in nur 22 Minuten an die Spitze der gemeldeten Angriffe. Das ist kein Tippfehler. Es dauerte 22 Minuten, bis er zum sich am schnellsten verbreitenden Computervirus seiner Zeit wurde.
Die meisten Schadprogramme wollen Ihre persönlichen Daten. Nimda wollte Bandbreite.
Seine Hauptziele waren Internetserver. Während ein Heim-PC infiziert werden konnte, bestand das eigentliche Ziel des Wurms darin, den Datenverkehr zu drosseln. Es verwandelte infizierte Maschinen in Zombie-Knoten und führte durch schiere Menge effektiv einen Distributed-Denial-of-Service-Angriff (DDoS) aus. Der Wurm war eine Hydra mit mehreren Köpfen. Die Verbreitung erfolgt über E-Mail-Anhänge, anfällige Webserver und freigegebene Netzwerklaufwerke. Dieser Multi-Vektor-Ansatz bedeutete, dass es nicht nur an eine Tür klopfte; Es zerschmetterte jedes Fenster im Gebäude.
Einmal drinnen, baute Nimda eine Hintertür in das Betriebssystem ein. Die gewährte Zugriffsebene hing vollständig vom Benutzer ab, der sie ausgelöst hat. Wenn ein Standardbenutzer mit eingeschränkten Rechten auf die falsche Datei klickte, erhielt der Angreifer eingeschränkten Zugriff. War ein Administrator angemeldet, übernahm der Angreifer das Steuer. Volle Kontrolle. Fernausführung. Der Wurm verschlang Systemressourcen, bis Netzwerksysteme unter der Last zusammenbrachen.
Jenseits des PCs: Tragbare Bedrohungen
Nicht jede Malware lebt auf Ihrem Desktop. Einige zielen auf die Geräte ab, die Sie in Ihrer Tasche oder Tasche tragen.
Mitte der 2000er Jahre verlagerte sich die Bedrohungslandschaft in Richtung Portabilität. CommWarrior zielte auf Smartphones mit dem Betriebssystem Symbian ab und verbreitete sich über Bluetooth und MMS. Es hat sich nicht einfach selbst kopiert; Es protokollierte Benutzerdaten und löschte Dateien. Eine weitere Symbian-Bedrohung, der Skulls-Virus, war eher visueller als zerstörerischer Natur. Es ersetzte den Startbildschirm des Telefons durch ein Bild von Totenköpfen und verwandelte ein Kommunikationsgerät in eine digitale Werbetafel für Horror.
Auch Speichergeräte wurden zu Vektoren. RavMonE.exe infizierte iPod-MP3-Player, die zwischen dem 12. September 2006 und dem 18. Oktober 2006 hergestellt wurden. Der Virus versteckte sich in den Musikdateien und wartete darauf, bei der Synchronisierung auf einen Computer zu gelangen. Das war nicht theoretisch. Fox News berichtete im März 2008, dass einige elektronische Geräte das Werk mit vorinstallierten Viren verließen. Sie mussten nichts herunterladen. Sie müssen das Gerät lediglich an Ihren Computer anschließen und synchronisieren.
Die Grenze zwischen Hardware- und Software-Schwachstelle verschwimmt. Ein billiges Gerät könnte ein Trojanisches Pferd sein.
SQL Slammer und die Sapphire Wave
Die nächste große Zerstörungswelle richtete sich gegen das Rückgrat der Dateninfrastruktur. SQL Slammer, auch bekannt als Sapphire, war nicht auf Benutzerinteraktion angewiesen. Sie mussten weder auf eine E-Mail klicken noch einen kompromittierten iPod einstecken.
Dabei wurde eine Pufferüberlauf-Schwachstelle in Microsoft SQL Server ausgenutzt. Konkret zielte es auf die Versionen 7.0 und 2000 ab, auf denen nicht die neuesten Sicherheitspatches installiert waren. Der Wurm war winzig. Nur 370 Bytes. Diese geringe Größe ermöglichte es, in ein einzelnes UDP-Paket zu passen, was die Ausbreitung äußerst effizient machte.
Sobald ein anfälliger Server gefunden wurde, wurden zufällige IP-Adressen in Schüben gescannt. Die Geschwindigkeit war erschreckend. Der Wurm verbreitete sich so schnell, dass er die Netzwerkinfrastruktur überschwemmte, bevor viele Administratoren die Bedrohung überhaupt erkennen konnten. Große Netzwerke brachen zusammen. Die Computer der Fluggesellschaften wurden dunkel. Bankautomaten verarbeiteten keine Transaktionen mehr. Das Internet selbst verlangsamte sich.
SQL Slammer demonstriert
Es war Ende Januar 2003. Das Internet fühlte sich fragil an. Ein neuer Webserver-Virus wütete im Netzwerk und nutzte dabei einen grundsätzlichen Mangel an Vorbereitung aus. Die Ergebnisse waren unmittelbar und chaotisch. Das Geldautomatennetz der Bank of America ist ausgefallen. Beim Notruf 911 in Seattle kam es zu erheblichen Ausfällen. Continental Airlines stellte Flüge ein, weil ihre elektronischen Ticket- und Check-in-Systeme ausfielen.
Die Ursache? SQL Slammer, auch bekannt als Sapphire.
Die Schadensschätzung überstieg 1 Milliarde US-Dollar. Diese Zahl ist für 2003 erschreckend. Die Geschwindigkeit des Angriffs war der wahre Horror. Innerhalb weniger Minuten nach dem Angriff auf den ersten Server verdoppelte der Virus alle paar Sekunden die Zahl seiner infizierten Hosts. Bis zur Fünfzehn-Minuten-Marke war fast die Hälfte der kritischen Serverinfrastruktur des Internets kompromittiert. Es war ein Wettlauf gegen die Zeit, den das Internet kaum überlebte.
Warum SQL Slammer die Sicherheitsparadigmen verändert hat
Bei der Lektion von Slammer ging es nicht nur um Verletzlichkeit. Es ging um die Reaktionszeit. Sie können sich nicht ausschließlich darauf verlassen, dass Sie über die neuesten Patches oder Antivirensignaturen verfügen. Hacker suchen nach unbekannten Schwachstellen – Zero-Days, die noch nicht bekannt gegeben wurden. Während Patches nach wie vor unerlässlich sind, hat der Slammer-Angriff bewiesen, dass Sie einen Disaster-Recovery-Plan benötigen. Sie müssen den Moment überleben, bevor die Lösung eintrifft.
Dieser Mentalitätswandel machte deutlich, wie wichtig Resilienz gegenüber reiner Prävention ist. Die Schwachstelle selbst war weniger wichtig als die Geschwindigkeit, mit der sie sich ausbreitete.
Eine Frage des Timings: Der Aufstieg zeitgesteuerter Malware
Nicht alle Viren schlagen sofort zu. Manche sind auf Schlafen programmiert. Sie warten. Sie ruhen auf dem Computer eines Opfers, bis ein bestimmtes Datum ihre Nutzlast auslöst. Diese Taktik fügte Cyberangriffen eine Ebene psychologischer Kriegsführung hinzu. Man wusste nie, wann die Zeit ablaufen würde.
Die Geschichte bietet einen düsteren Katalog dieser zeitbasierten Bedrohungen:
- Der Jerusalem-Virus: Wird jeden Freitag, den 13., aktiviert und beschädigt Daten auf der Festplatte.
- Der Michelangelo-Virus: Ausgelöst am 6. März 1992, dem Geburtstag des italienischen Künstlers (geboren am 6. März 1475).
- Das Tschernobyl-Virus: Gestartet am 26. April 1999, dem 13. Jahrestag der Atomkatastrophe.
- Der Nyxem-Virus: Entfernt am dritten Tag jedes Monats Dateien von infizierten Computern.
Diese Beispiele zeigen, dass Malware geduldig sein kann. Es kann darauf warten, dass Sie Ihre Wachsamkeit senken. Das dadurch entstehende Gefühl der Hilflosigkeit ist stark. Du bist verletzlich. Du bist verzweifelt.
Diese emotionale Landschaft bereitet die Bühne für die nächste große Bedrohung. Ein Virus mit einem Namen, der diese Gefühle perfekt zusammenfasst.
4: MyDoom
MyDoom, auch bekannt als Novarg, infizierte nicht nur Maschinen. Es wurde eine Hintertür installiert. Dies ermöglichte Angreifern noch lange nach der Erstinfektion dauerhaften Zugriff auf das Betriebssystem. Die ursprüngliche Sorte hatte einen brutalen Zeitplan. Zwei spezifische Auslöser bestimmten sein Verhalten.
Der erste Auslöser startete am 1. Februar 2004 einen Denial-of-Service (DoS)-Angriff auf Server der SCO Group. Der zweite Befehl stoppte die Ausbreitung des Wurms am 12. Februar 2004. Obwohl die Verbreitung gestoppt wurde, blieben die Hintertüren offen. Die Opfer blieben der Fernsteuerung ausgesetzt.
Der Suchmaschinenangriff
Später im Jahr 2004 schlug MyDoom erneut zu. Dieses Mal zielte es auf Suchmaschinenunternehmen ab. Der Wurm durchsuchte lokale Festplatten nach E-Mail-Adressen. Anschließend wurden diese Adressen zum Ausfüllen von Suchanfragen verwendet. Diese Anfragen wurden an Suchmaschinen wie Google gesendet.
Das Ergebnis war Chaos. Beschädigte Computer überschwemmten Google mit Millionen automatischer Suchanfragen. Das schiere Verkehrsaufkommen verlangsamte den Verkehr. In einigen Fällen kam es zu Abstürzen. Dies war kein typisches Virenverhalten. Es verwandelte Benutzergeräte in Waffen gegen die Infrastruktur.
Heimlichkeit und Skalierbarkeit
MyDoom bewegte sich über E-Mail- und Peer-to-Peer-Netzwerke. Das Sicherheitsunternehmen MessageLabs berichtete, dass jede zwölfte E-Mail den Wurm auf seinem Höhepunkt enthielt. Der Wurm hat Absenderadressen gefälscht. Dies machte eine Rückverfolgung des Ursprungs nahezu unmöglich. Es spiegelte die Taktik des Klez-Virus wider. Spoofing sorgte für Verwirrung und verlangsamte die Reaktionszeiten.
Kuriose Viren und harmlose Tricks
Nicht jede Bedrohung zerstört Daten. Manche Viren führen einfach dazu, dass sich Computer seltsam verhalten. Der Ping-Pong-Virus hat eine Grafik mit springenden Bällen erstellt. Es hat keinen wirklichen Schaden angerichtet. Es war ein optisches Ärgernis, keine zerstörerische Kraft.
Viele „Viren“ sind eigentlich Scherzprogramme. Sie ahmen Infektionssymptome nach, reproduzieren sich jedoch nicht selbst. Es kann sein, dass der Bildschirm einfriert oder seltsame Popups angezeigt werden. Es handelt sich um harmlose Anwendungen. Wenn Sie eine Infektion vermuten, lassen Sie diese von einer Antivirensoftware behandeln. Gehen Sie nicht davon aus, dass jedes seltsame Verhalten ein Virus ist.
Die Sasser- und Netsky-Verbindung
Das nächste Kapitel befasst sich mit zwei spezifischen Bedrohungen. Sie haben einen gemeinsamen Schöpfer. Der Sasser-Wurm und der Netsky-Virus stammen von demselben Hacker. Ihr Einfluss war deutlich, aber gleichermaßen bedeutsam für die Entwicklung von Malware.
Virenschreiber bleiben meist im Verborgenen. Sie erstellen ihren Code, geben ihn frei und verschwinden im digitalen Äther. Doch gelegentlich wird die Spur für niemanden außer den Behörden kalt. Die Würmer Sasser und Netsky sind der Beweis dafür, dass man sich nicht immer vor den Augen der Öffentlichkeit verstecken kann. Sicherheitsexperten führten beides auf eine einzige Quelle zurück: einen 17-jährigen Deutschen namens Sven Jaschan.
Der Code erzählte die Geschichte. Die Würmer haben sich natürlich anders verhalten. Aber die Fingerabdrücke im Quellcode waren identisch. Dieselbe Logik. Dieselben Macken. Gleiche Hände.
Die brutale Einfachheit des Sasser-Wurms
Sasser beschäftigte sich nicht mit Social Engineering. Sie mussten nicht auf einen Link klicken oder einen seltsamen Anhang öffnen. Es fand seine Opfer mit Gewalt.
Der Wurm nutzte eine Sicherheitslücke in Microsoft Windows aus. Konkret zielte es auf den LSASS-Dienst ab. Drinnen angekommen ging es an die Arbeit. Es scannte zufällige IP-Adressen und suchte nach anderen anfälligen Maschinen. Als es eines fand, wurde keine E-Mail gesendet. Es stellte eine direkte Verbindung her und wies den neuen Host an, den Wurm herunterzuladen.
Dann kam die Wendung. Sasser hat das Betriebssystem des Opfers verändert. Dadurch wurde die Möglichkeit deaktiviert, den Computer über normale Kanäle herunterzufahren oder neu zu starten. Die einzige Möglichkeit, das Chaos zu stoppen, bestand darin, die Maschine hart zurückzusetzen. Ziehen Sie den Stecker. Es handelte sich um einen Denial-of-Service-Angriff, der in die Struktur des infizierten Betriebssystems integriert war.
Netskys E-Mail-Spam-Engine
Netsky spielte ein anderes Spiel. Die Übertragung erfolgte über E-Mail und Windows-Netzwerke. Es hat E-Mail-Adressen gefälscht, um Nachrichten legitim aussehen zu lassen. Die Nutzlast? Ein Dateianhang mit einer Größe von genau 22.016 Byte.
Als sich Netsky verbreitete, verstopfte es die Netzwerke. Unter der Last des Verkehrs brachen Systeme zusammen. Es startete effektiv einen verteilten Denial-of-Service-Angriff (DoS), da die Maschinen Schwierigkeiten hatten, die Flut zu verarbeiten.
Zu Spitzenzeiten schätzten Sicherheitsforscher von Sophos, dass Netsky und seine Varianten 25 Prozent aller Computerviren im Internet ausmachten. Das ist nicht nur Lärm. Das ist eine Überschwemmung.
Das Urteil
Jaschan wurde mit schweren Vorwürfen konfrontiert. Aber sein Alter veränderte alles. Da er bei seiner Festnahme unter 18 Jahre alt war, wurde er von deutschen Gerichten nicht als Erwachsener angeklagt. Er entging der Gefängnisstrafe. Stattdessen bekam er ein Jahr und neun Monate auf Bewährung.
Es handelt sich um eine milde Strafe für den verursachten Schaden. Aber es zeigt eine Lücke in der Art und Weise auf, wie wir mit jugendlicher Cyberkriminalität umgehen. Der Code war ausgereift. Der Verbrecher war ein Kind.
Macs sind nicht sicher
In den letzten Abschnitten haben wir über Windows gesprochen. Es ist das große Ziel. Das am häufigsten verwendete Betriebssystem. Aber anzunehmen, dass Macintosh-Computer immun sind, ist ein gefährlicher Fehler.
Das sind sie nicht.
Im nächsten Abschnitt wird der erste Virus vorgestellt, der speziell auf Mac-Systeme abzielt. Es war nicht nur ein Hafen. Es war ein einzigartiger Angriff.
2: Sprung-A/Oompa-A
Schwarze Hüte und weiße Hüte
Beim Hacken geht es nicht nur um Code. Es geht um Absicht.
In der Tech-Welt bedienen wir uns der Fantasie. Gute Hexen und schlechte Hexen in Oz. Gute Hacker und schlechte Hacker in der Realität. Der Begriff für den böswilligen Akteur ist „Black Hat“.
Das sind die Menschen, die Viren erzeugen. Sie finden Schwachstellen nicht, um sie zu beheben, sondern um sie auszunutzen. Sie begehen Verbrechen. Sie kompromittieren Systeme für Profit, Chaos oder Aufmerksamkeit.
Einige von ihnen nehmen an Konferenzen teil. Die Black-Hat-Konferenz. Defcon. Sie treffen sich, um ihr Handwerk zu besprechen. Sie sprechen darüber, wie sie die Sicherheit umgangen haben. Wie sie einen Zero-Day-Exploit nutzten. Sie verbergen es nicht vollständig. Sie tragen ihre Identität wie ein Abzeichen.
Es ist ein starker Kontrast zu den weißen Hüten. Der
„Der Leap-A-Virus verursacht auf Computern keinen großen Schaden, zeigt aber, dass sogar ein Mac-Computer Opfer bösartiger Software werden kann.“
Jahrelang herrschte in Technologiekreisen die Meinung vor, dass Apples ummauerter Garten sicher sei. Justin Long verkaufte in diesen berühmten Werbespots nicht nur coole Ästhetik; er verkaufte die Idee der Sicherheit durch Dunkelheit. Da Macs einen geringeren Anteil am heimischen Markt ausmachten als PCs, hatten Hacker weniger Anreiz, Zeit damit zu verschwenden, Nutzlasten für sie zu erstellen. Die Logik war kalt und effizient: Warum zehntausend Opfer anstreben, wenn man zehn Millionen anstreben kann? Die vertikale Integration von Apple – sowohl die Hardware als auch das Betriebssystem – führte dazu, dass das Betriebssystem für die Außenwelt relativ undurchsichtig blieb. Die Sicherheit war zwar nicht perfekt, aber sie reichte aus, um die meisten Schadprogramme fernzuhalten.
Dann kam das Jahr 2006.
Dem Leap-A-Virus (auch bekannt als Oompa-A) waren Marktanteile egal. Zur Verbreitung wurde iChat, die Instant-Messaging-App, ausgenutzt. Der Kernel musste nicht gehackt werden. Sie mussten lediglich auf eine Datei klicken, die wie ein harmloses JPEG aussah, in Wirklichkeit aber eine beschädigte ausführbare Datei war. Sobald es drinnen war, scannte es Ihre Kontaktliste und schickte sich an Ihre Freunde. Es war chaotisch. Es war nervig. Aber es hat gezeigt, worum es geht: Wenn genügend Leute Macs nutzen, werden Hacker kommen.
Jetzt hat sich das Gespräch verschoben. Wir stehen hier ganz oben auf der Liste der bedeutendsten Computerbedrohungen, und dabei handelt es sich nicht um ein Trojanisches Pferd, das sich in einem raubkopierten Film-Download versteckt. Es ist der Sturmwurm, auch bekannt als Niur oder Vobfus.
Was ist der Sturmwurm?
Der Storm Worm tauchte Anfang 2007 auf, ausgelöst durch eine Welle der Panik wegen des Y2K-Bugs und anderer hochkarätiger Tech-Ängste. Es kam per E-Mail mit einer Betreffzeile an, die so gestaltet war, dass sie sofort Angst auslöste. Der Inhalt war vage und bezog sich oft auf Sicherheitsprobleme oder politische Skandale, aber der Anhang war der eigentliche Köder. Der Dateiname könnte „storm.exe“ oder ein ähnlich allgemeiner Name gewesen sein, aber ein Klick darauf öffnete die Schleusen.
Dabei handelte es sich nicht nur um einen Virus im herkömmlichen Sinne. Es war ein Wurm. Es verbreitete sich automatisch. Nach dem ersten Klick wurde nicht auf die Benutzerinteraktion gewartet. Zur Verbreitung wurden Peer-to-Peer-Netzwerke (P2P) genutzt, was bedeutete, dass die Übertragung von Maschine zu Maschine nicht ausschließlich auf E-Mail-Server angewiesen war. Das machte es unglaublich schwierig, aufzuhören. Sie konnten nicht einfach eine IP-Adresse blockieren oder einen Server patchen. Man musste einzelne infizierte Knoten aufspüren.
Wie der Sturmwurm funktionierte
Der Sturmwurm war für seine Zeit anspruchsvoll. Es hat mehrere Kopien von sich selbst an verschiedenen Orten auf Ihrer Festplatte erstellt, sodass das Entfernen ohne spezielle Tools nahezu unmöglich ist. Es öffnete Ports auf Ihrem Computer und verwandelte Ihre Maschine in einen Bot – einen Zombie-Soldaten in einer größeren Armee.
Dies führt zu der häufigsten Frage, die Benutzer zu dieser Ära der Malware stellen: Warum war der Sturmwurm so schädlich, wenn er keine Dateien zerstörte?
Die Antwort liegt im Botnetz. Ein Botnetz ist ein Netzwerk kompromittierter Computer, das von einem Hacker kontrolliert wird. Der Storm Worm hat Ihren PC zu einem Knotenpunkt in diesem Netzwerk gemacht. Hacker könnten Ihren Computer dann nutzen, um Millionen von Spam-E-Mails zu versenden, andere Websites mit DDoS-Angriffen (Distributed Denial of Service) anzugreifen oder Kryptowährungen zu schürfen (obwohl Krypto-Mining damals noch nicht so weit verbreitet war wie heute). Der Schaden betraf nicht Ihre Daten. Der Schaden betraf Ihre Bandbreite, Ihren Ruf und Ihren Beitrag zum kriminellen Unternehmen eines anderen.
Der Wandel in den Malware-Taktiken
Der Sturmwurm markierte einen Wendepunkt. Davor ging es bei Viren oft um Neugier oder Vandalismus. Danach drehte sich Malware um die Infrastruktur. Es ging darum, eine Maschine zu bauen, die für böswillige Zwecke vermietet werden konnte. Der **Sturmwurm
Es kam Ende 2006 an. Sicherheitsforscher entdeckten es damals, aber die Öffentlichkeit benannte es später. Der Spitzname stammt aus der Betreffzeile einer E-Mail: „230 Tote, während der Sturm Europa erschüttert.“ Die Menschen erinnerten sich an die Tragödie. Sie haben auf den Link geklickt. Sie haben den Wurm erwischt.
Antivirenlabore hatten dafür eigene Namen. Symantec nannte es Peacomm. McAfee nannte es Nuwar. Die Verwirrung ist verständlich. Es gab bereits einen W32.Storm.Worm aus dem Jahr 2001. Dieser ist ein ganz anderes Biest. Verwechseln Sie sie nicht.
Die Variante von 2006 ist ein Trojanisches Pferd. Seine Aufgabe ist es, eine Nutzlast zu liefern. Diese Nutzlast ändert sich. Manchmal ist es ein Keylogger. Manchmal ist es etwas anderes. Das Ziel ist jedoch konsistent. Es verwandelt Ihre Maschine in einen Zombie.
Zombies sind Bots. Sie sitzen da. Sie warten auf Befehle. Ein Hacker in einem dunklen Raum sendet ein Signal. Der Bot antwortet. Tausende dieser Bots bilden ein Netzwerk. Das ist ein Botnetz.
Diese Botnetze sind nützlich für Spam. Sie pumpen Millionen von Junk-E-Mails ins Internet. Der Sturmwurm half beim Aufbau dieser Infrastruktur. Es wuchs die Armee.
Wie ist es reingekommen? Fake-News. Das war der Trick. Die Wurmentwickler änderten ständig ihre Taktik. Sie ritten auf der Welle der aktuellen Ereignisse.
Schauen Sie sich die Olympischen Spiele 2008 in Peking an. Es entstand eine neue Version. Der Betreff der E-Mail lautete: „Eine neue tödliche Katastrophe in China“ oder „Chinas tödlichstes Erdbeben“. Es fühlte sich dringend an. Es fühlte sich echt an. Der Link versprach Videomaterial. Nachrichten. Stattdessen wurde der Wurm heruntergeladen.
Der Umfang war gewaltig. Im Juli 2007 berichtete Postini über etwas Erstaunliches. Sie sahen über 200 Millionen E-Mails, die Links zum Wurm enthielten. Das war nur ihr Erkennungssystem. Es erstreckte sich über mehrere Tage. Der Angriff war global.
Haben sich alle infiziert? Nein. Nicht jeder Klick führte zu einem Download. Aber es hat genug getan. Große Nachrichtenagenturen und Tech-Blogs zählten ihn zu den schlimmsten Angriffen des Jahrzehnts. Es war überall.
Ist es heute schwer, es zu entfernen? Eigentlich nein. Der Sturmwurm ist nicht die fortschrittlichste Malware, die es gibt. Wenn Sie Ihr Antivirenprogramm auf dem neuesten Stand halten, ist es beherrschbar. Die wahre Verteidigung ist Vorsicht. Seien Sie skeptisch gegenüber E-Mails von unbekannten Absendern. Bewegen Sie den Mauszeiger über die Links. Überprüfen Sie die URL.
Es geht nicht nur um Viren. Der Begriff „Malware“ deckt einen weiteren Bereich ab. Spyware ist eine Art davon. Es beobachtet dich. Es protokolliert Tastenanschläge. Es stiehlt Passwörter. Es bleibt im Hintergrund, während Sie Ihr Bank-Login eingeben.
Adware ist eine weitere Kategorie. Es zeigt Werbung an. Es läuft mit größeren Anwendungen wie Webbrowsern. Einige Versionen sind harmlos. Andere graben tiefer. Sie gewähren Werbetreibenden Zugriff auf private Daten. Ihre Surfgewohnheiten. Ihre Interessen. Verkauft an den Meistbietenden.
Mehr zum Thema Sicherheit
Die Bedrohungslandschaft verändert sich ständig. Neue Varianten erscheinen. Alte werden aktualisiert. Der Sturmwurm war eine Lektion in Sachen Social Engineering. Es hat sich gezeigt, dass Angst und Neugier leichter auszunutzen sind als technische Schwachstellen.
Erinnern Sie sich an den Sturmwurm von 2001? Es ist weg. Aber die Taktik bleibt bestehen. Die Schlagzeilen ändern sich. Die Gefahr ist dieselbe. Halten Sie Ihre Software auf dem neuesten Stand. Bleiben Sie skeptisch. Das Internet ist riesig und nicht alles, was wie Nachrichten aussieht, ist tatsächlich eine Nachricht.
