Blaster: Der Wurm, der in einer Woche 100.000 Windows-PCs befiel

Am 11. August 2003 begann sich ein Wurm namens Blaster, auch MSBlast oder Lovsan genannt, über eine Sicherheitslücke in Windows zu verbreiten, die Microsoft vier Wochen zuvor behoben hatte. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Blaster brauchte weder einen Klick noch ein Passwort: Es genügte ein ungepatchter Windows-Computer in seiner Reichweite. Laut einer Messstudie infizierte er in seiner ersten Woche mehr als 100.000 Windows-Computer, und ein Jahr später verbreitete er sich noch immer.

So funktionierte der Wurm

Windows nutzt einen Dienst namens RPC, kurz für Remote Procedure Call, damit Programme Funktionen auf anderen Computern aufrufen können. Ein Teil davon ist für DCOM zuständig, ein Verfahren, mit dem Softwarekomponenten über ein Netzwerk zusammenarbeiten. Laut Microsoft läuft der Dienst standardmäßig in allen Windows-Versionen. Er nimmt über mehrere Netzwerkports Anfragen entgegen – nummerierte Türen für den Netzwerkverkehr –, vor allem über TCP-Port 135.

Eine DCOM-Funktion prüfte eingehende Nachrichten nicht richtig. Eine präparierte Nachricht brachte einen Speicherbereich fester Größe, einen sogenannten Puffer, zum Überlaufen; so ließ sich der Code des Angreifers mit Local-System-Rechten ausführen, den höchsten Rechten unter Windows. Betroffen waren Windows NT 4.0, 2000, XP und Server 2003.

Blaster nutzte Angriffscode, der im Juli auf einer öffentlichen Mailingliste erschienen war. Jeder infizierte Computer wählte eine Startadresse, in 40 % der Fälle eine in der Nähe seiner eigenen, und probierte jeweils 20 Adressen auf einmal an Port 135. Ein erfolgreicher Angriff öffnete auf Port 4444 eine Hintertür, eine versteckte Befehlszeile. Darüber wurde das neue Opfer angewiesen, die Wurmdatei msblast.exe per TFTP, einem einfachen Verfahren zur Dateiübertragung, vom angreifenden Computer zu holen und auszuführen. Ein Eintrag in der Registry, der zentralen Einstellungsdatenbank von Windows, startete den Wurm nach jedem Neustart erneut.

Microsoft warnte, Blaster könne infizierte PCs immer wieder abstürzen lassen. Das CERT/CC, das US-amerikanische Notfallteam für Computersicherheit an der Carnegie Mellon University, berichtete, dass manche Rechner nicht lange genug online blieben, um den Patch herunterzuladen. Der Wurm hatte noch eine zweite Aufgabe: Am 16. August sollte jeder infizierte Computer windowsupdate.com, eine Adresse von Microsofts Update-Website, mit Verbindungsanfragen überfluten.

Reichweite und Schaden

Die besten Messungen stammen aus „The Blaster Worm: Then and Now“, einer Studie von Forschern der University of Michigan und des Sicherheitsunternehmens Arbor Networks aus dem Jahr 2005. Sie beobachteten einen Block von rund 16 Millionen ungenutzten Internetadressen, 1/256 des Internets. Da kein echter Computer diese Adressen nutzt, stammt jeder Datenverkehr, der dort ankommt, von Scans, etwa von Würmern auf der Suche nach Opfern.

Nach Microsofts Warnung im Juli stieg die Zahl der Computer, die in diesem Block Port 135 abtasteten, von 4–10 auf 100–300 pro Tag. Als Blaster losschlug, verdoppelte sich die Zahl der infizierten Computer anfangs etwa alle neun Minuten. Auf dem Höhepunkt sahen die Forscher fast 15.000 infizierte Adressen in einer Stunde und etwa 106.000 in 24 Stunden. Nach acht Stunden ließ die Aktivität wieder nach, mit einer Halbwertszeit von etwa 12 Stunden, weil Besitzer ihre Computer patchten oder vom Netz nahmen und Netzwerke den Wurm sperrten.

Zu den infizierten Netzen gehörten mehrere Breitbandanbieter für Privatkunden. Andere Zählungen kommen auf ganz andere Werte:

DShield, ein Dienst, der die Firewall-Logs Zehntausender Geräte sammelt, zählte höchstens 208.000 Adressen, die Port 135 abtasteten, gegenüber etwa 7.000 vor dem Wurm. Im Februar 2004 erklärte Microsoft, sein Bereinigungstool habe mehr als 8 Millionen Internetnutzern geholfen; die Forscher weisen darauf hin, dass diese Zahl stark von beiden Messungen abweicht.

Eine verlässliche Gesamtsumme des Schadens gibt es nicht. Laut einer Umfrage unter 19 Forschungsuniversitäten, die die Studie zitiert, gab jede von ihnen in fünf Wochen durchschnittlich 299.579 US-Dollar aus, um die Folgen von Blaster und seinen Varianten zu beseitigen.

Am 18. August begann ein zweiter Wurm, dieselbe Sicherheitslücke auszunutzen. Welchia, auch Nachi genannt, war als „Anti-Wurm“ gedacht: Laut der Studie versuchte er, die Lücke auf den Computern zu schließen, die er infizierte. Vor jedem Angriff schickte er einen Ping, eine kleine Testnachricht, um zu prüfen, ob ein Computer online war. Der Netzwerkausrüster Cisco berichtete, dass die großen Mengen dieser Pakete viele der Netzwerkprobleme verursachten, darunter überlastete Router. Die Studie kommt zu dem Schluss, dass Welchia selbst erheblichen Schaden anrichtete.

Der Patch und die Reaktion

Die Sicherheitsforscher der Gruppe The Last Stage of Delirium hatten Microsoft die Sicherheitslücke gemeldet. Am 16. Juli 2003 veröffentlichte Microsoft das Sicherheitsbulletin MS03-026 mit einem Patch, stufte die Lücke für alle betroffenen Windows-Versionen als „kritisch“ ein und riet: „Systemadministratoren sollten den Patch unverzüglich installieren.“ Als Übergangslösung schlug Microsoft vor, die RPC-Ports in der Firewall zu sperren oder DCOM abzuschalten. Öffentlicher Angriffscode existierte damals noch nicht. Spätestens am 26. Juli stand funktionierender Angriffscode auf einer öffentlichen Mailingliste, und am 31. Juli meldete das CERT/CC verbreitete Scans und Angriffe auf die Lücke.

Nach dem Ausbruch ging Microsoft über seine übliche Praxis hinaus und stellte den Patch auch für Windows 2000 Service Pack 2 und Windows NT 4.0 Workstation bereit, obwohl deren Support bereits beendet war. Am 10. September 2003 behob Microsoft mit dem Bulletin MS03-039 drei weitere Lücken im selben Dienst und ersetzte MS03-026; für die alten Versionen machte das Unternehmen „aufgrund der Art dieser Sicherheitslücke“ eine Ausnahme.

Microsoft entschärfte außerdem den Angriff auf windowsupdate.com. Am 15. August, einen Tag vor dem geplanten Angriff, ließ Microsoft die Adresse im DNS, dem Adressbuch des Internets, nicht mehr auflösen. Das berichtete das SANS Internet Storm Center, das Angriffe im Internet beobachtet. Infizierte Computer fanden kein Ziel, während die automatischen Updates von Windows, die windowsupdate.microsoft.com nutzten, weiter funktionierten.

Am 5. November 2003 setzte Microsoft gemeinsam mit dem FBI, dem US Secret Service und Interpol 250.000 US-Dollar Belohnung für Hinweise aus, die zur Festnahme und Verurteilung der Verantwortlichen für den ursprünglichen Wurm führen. Personen hinter zwei späteren Varianten waren bereits festgenommen worden; der Urheber des ursprünglichen Wurms wurde laut der Studie nie gefasst. Millionen luden im Januar 2004 Microsofts Bereinigungstool herunter, doch laut der Studie änderte sich die Zahl der Infektionen kaum.

Ein Jahr später, im August und September 2004, zählten die Forscher noch mehr als 200.000 verschiedene Adressen, die den Wurm verbreiteten, bis zu 4.100 pro Tag. Die meisten waren neu: 99,5 % der Adressen und 73 % der umgebenden Blöcke aus je 256 Adressen waren während des Ausbruchs nicht aufgetaucht. Die Forscher folgern, dass der Wurm auf neue Computer übergegangen war, während alte bereinigt oder abgeschaltet wurden.

Die US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 7,5 von 10; einen Wert nach Version 3 gibt es nicht. Diese Bewertung geht nur von einer teilweisen Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit aus, obwohl ein Angreifer laut Microsoft die vollständige Kontrolle über den Computer erlangen konnte.