Sasser

Sasser (Bedeutung des Namens: Wortspiel aus dem englischen Verb to sass = freche Antworten geben und der Tatsache, dass er den Dienst "LSASS" ausnützt) ist der Name eines Computerwurms, welcher sich Anfang Mai 2004 in hoher Geschwindigkeit auf Computern mit den Microsoft Betriebssystemen Windows 2000 sowie Windows XP verbreitete. Sein "offizieller" Name ist W32.Sasser. Unter den betroffenen Systemen waren Computer bei Banken, Reiseunternehmen und öffentlichen Einrichtungen. Besonders betroffen waren die Computer der deutschen Postbank, einer großen finnischen Bank und der Europäischen Kommission. Der mutmaßliche Programmierer von Sasser - ein 18-jähriger Schüler aus Rotenburg (Wümme) - wurde am 7. Mai 2004 festgenommen.

Sasser wird nicht als E-Mail-Anhang versandt. Sobald sich ein Benutzer mit dem Internet verbindet, nutzt der Wurm einen Fehler in einem Windows-Systemdienst mit dem Namen Local Security Authority Subsystem Service (LSASS) aus. Findet er einen verwundbaren Rechner, infiziert er ihn mit einem Code, der den eigentlichen Wurm von bereits infizierten Rechnern kopiert. Dazu startet er auf Port 5554 einen FTP-Server.

Der befallene Rechner wird von dem Wurm in unregelmäßigen Abständen ein- und ausgeschaltet. Der materielle Schaden ist dabei schwer zu bemessen, da es sich bei den Schäden im wesentlichen um allgemeine Produktivitätsverluste in Unternehmen bzw. um Mängel in der Erreichbarkeit und Nutzbarkeit von Internetseiten durch die Kunden handelt.

Innerhalb kurzer Zeit sind von dem Wurm mehrere Varianten aufgetaucht. Zu allem Übel nützt ein E-Mail-Wurm mit dem Namen Netsky.AC die Sorgen aus. Als Absender erscheint ein Hersteller von Antivirensoftware und er selbst tarnt sich unter anderem als Removal-Tool für Sasser.B. Da jedoch Hersteller von Antivirensoftware nie solche Tools versenden, sollten solche E-Mails sofort gelöscht werden.

Ein weiterer Wurm mit dem Namen Phatbot schließt normalerweise die Hintertüren die andere Würmer geöffnet haben und löscht beispielsweise bei den Würmern Beagle oder MyDoom den Schädling. Sasser jedoch wird von Phatbot verändert um alle IP-Adressen des Wurms herauszufinden und folgt Sasser nach um die neu befallenen Rechner zu infizieren. Man kann diese Infektion an einer Datei mit dem Namen wormride.dll im Windowsverzeichnis erkennen. Ist diese Datei vorhanden ist der Rechner mit beiden Würmern infiziert.

Sasser hat bisher schätzungsweise zwei Millionen Rechner infiziert. Die bisher schlimmste Attacke durch den Wurm W32.Blaster, der auch Lovsan genannt wird, hatte nach Schätzungen von Microsoft 9,5 Millionen Computer infiziert und weltweit erhebliche finanzielle Schäden verursacht.

Siehe auch: Computerwurm

Betroffene Produkte:

Microsoft Windows XP und Windows XP Service Pack 1
Windows 2000 Service Pack 2, Windows 2000 Service Pack 3 und Windows 2000 Service Pack 4

Nicht betroffene Produkte:

Windows XP 64-Bit Edition Version 2003
Windows Server 2003
Windows XP 64-Bit Edition Service Pack 1
Windows Millennium Edition
Windows 98 Second Edition
Windows 98
Windows NT 4.0 Service Pack 6a
Betriebssysteme von anderen Herstellern wie zum Beispiel AIX, BeOS, FreeBSD, Linux

Weblink

http://www.microsoft.com/germany/ms/security/sasser.mspx Informationen von Microsoft zum Wurm Sasser und seinen Varianten