Neue Wurmgefahr: Sasser und Gaobot nutzen Windows-Lücke

Virenschreiber arbeiten schnell: Am 13. April veröffentlichte Microsoft ein Security-Bulletin zu einer Lücke in Windows, kaum zwei Wochen später steht der passende Wurm bereit. Der auf den Namen Sasser getaufte Wurm benützt ein Sicherheitsleck im Local Security Authority Subsystem Service (LSASS) von Windows 2000, Windows XP und Windows Server 2003. Der Schädling bewirkt einen Buffer-Overrun, um danach einen beliebigen Code auf der infizierten Maschine ausführen zu können. Die Verbreitung erfolgt nicht via Mail: Der Wurm adressiert über Port 445 zufällig gewählte IP-Adressen. Bei einer gelungenen Verbindungsaufnahme erhält das Opfer-System Anweisung, per FTP über Port 5554 den Wurm vom bereits infizierten Rechner zu kopieren. Die Antiviren-Spezialisten rechnen bei Sasser mit einem hohen Verbreitungspotenzial. Mittlerweile liegen auch bereits die Versionen Sasser.B und Sasser.C vor, die ähnlich wie das Original funktionieren. Dieselbe Windows-Lücke wie bei Sasser nützt auch der Gaobot-Wurm aus. Er kombiniert allerdings mehrere Angriffsmethoden und Security-Lecks – unter anderem Backdoors, die von Bagle und MyDoom installiert wurden - und verbreitet sich auch über UDP-Ports, so dass ihm Sicherheitsexperten grosse Chancen auf eine explosionsartige Verbreitung einräumen. Über die LSASS-Lücke informiert das Microsoft Security Bulletin MS04-011. Weitere Infos zu den Würmern bieten die Websites der Anbieter von Antiviren-Programmen.