CodeRed

CodeRed,

 

seit Sommer 2001 in zwei Varianten auftretender Wurm, der sich über das Internet verbreitet, indem er eine Schwachstelle im Internet Information Server (IIT) von Windows NT bzw. 2000 ausnutzt: Der Wurm wählt zufällig eine IP-Adresse aus; ist sie nicht vorhanden, wählt er eine andere Adresse, ist sie vorhanden, baut er eine TCP-Verbindung zum Port 80 auf, auf dem typischerweise Webserver laufen. Dann schreibt er sich in den Arbeitsspeicher des betroffenen Rechners, nicht aber auf die Festplatte. Aus diesem Grund können Hersteller von Virenschutzprogrammen keine Erkennungsmuster für diesen Wurm liefern.

 

Infizierte Rechner weisen eine veränderte Website mit der Zeile »HELLO!« im Title- und »Hacked by Chinese!« im Body-Bereich auf. Außerdem versucht die Variante CodeRed I, die Internetseiten der US-Regierung (www.whitehouse.gov) durch eine Dienstverweigerungsattacke zu überlasten (Variante II unterscheidet sich in der Schadensfunktion).

 

Mit einem Programm namens fixcodered.zip (kostenlos bereitgestellt von der Firma Symantec (www.symantec.com) lässt sich die Verwundbarkeit des Servers testen. Microsoft bietet einen Patch an, mit dem die Sicherheitslücke im IIT geschlossen wird (www.microsoft.com/technet/security/bulletin/MS01-033.asp); der Wurm lässt sich dann manuell durch einen Neustart entfernen. Die Angriffe auf das Weiße Haus wurden durch eine geänderte IP-Adresse der Site abgewehrt. Das Tool CodeRedNeck (www.hackbusters.net/CodeRedneck.tgz) nutzt die Angriffsweise des Wurms, um seine Verbreitung zu verlangsamen: Bei einer Verbindungsanfrage schickt es eine Bestätigung, schaltet allerdings danach auf »stumm«; auf diese Weise kann der Wurm mehrere Minuten mit einem einzigen Rechner beschäftigt sein, bevor er die nächste IP-Adresse abfragt.