{"data":{"case":{"actions":{"de":["Installiere auf Servern mit IIS 4.0 oder 5.0 Microsofts kumulativen Patch **MS01-044** oder ein späteres Update, etwa das **Windows 2000 Service Pack 3**: Es schließt alle IIS-Lücken, die Nimda ausnutzte.","Aktualisiere den **Internet Explorer 5.01 oder 5.5** mit dem Patch aus **MS01-020** oder einem späteren kumulativen Patch oder steige auf IE 6 um, damit E-Mails Anhänge nicht mehr von selbst starten können; unter Windows 95, 98 und ME installiere IE 6 als typische oder vollständige Installation.","Wenn du auf einem IIS-Server eine Datei **root.exe** findest, eine **Admin.dll** im obersten Ordner von Laufwerk C:, D: oder E: oder unerwartete .eml- oder .nws-Dateien in vielen Ordnern, betrachte den Computer als übernommen: Formatiere das Systemlaufwerk und installiere das System von vertrauenswürdigen Medien neu.","Blockiere eingehenden Webverkehr auf **Port 80** zu Computern, die keine Webserver sein sollen, sperre **TFTP (UDP-Port 69)** am Übergang deines Netzwerks zum Internet und halte Computer, auf denen noch Windows NT 4.0 oder Windows 2000 läuft, vom offenen Internet fern."],"en":["On servers with IIS 4.0 or 5.0, install Microsoft's cumulative patch **MS01-044** or a later update, such as **Windows 2000 Service Pack 3**: it closes every IIS flaw that Nimda used.","Update **Internet Explorer 5.01 or 5.5** with the fix from **MS01-020** or a later cumulative patch, or move to IE 6, so that e-mails can no longer start attachments on their own; on Windows 95, 98 and ME, install IE 6 with the Typical or Full option.","If you find a **root.exe** file on an IIS server, an **Admin.dll** in the top folder of drive C:, D: or E:, or unexpected .eml or .nws files in many folders, treat the computer as taken over: format the system drive and reinstall from trusted media.","Block incoming web traffic on **port 80** to computers that are not meant to be web servers, block **TFTP (UDP port 69)** at the edge of your network, and keep computers that still run Windows NT 4.0 or Windows 2000 off the open internet."]},"criteria":{"damage":{"de":"Die einzige Gesamtzahl ist eine Schätzung von Computer Economics über 635 Millionen US-Dollar, unter der Schwelle; CERT/CC erhielt Meldungen über Ausfälle durch Überlastung (Denial of Service), doch die Quellen belegen keine Ausfälle kritischer Dienste (Computer Economics; CERT/CC).","en":"The only total is an estimate of USD 635 million by Computer Economics, below the threshold; CERT/CC received reports of denial of service, but the sources document no outage of critical services (Computer Economics; CERT/CC).","met":false},"exploitation":{"de":"Nimda war ein sich selbst verbreitender Wurm: Jeder infizierte Computer suchte nach IIS-Servern und infizierte sie von selbst, und 450.000 Internetadressen versuchten binnen 12 Stunden, ihn weiterzuverbreiten (CERT/CC; CAIDA).","en":"Nimda was a self-spreading worm: every infected computer searched for IIS servers and infected them on its own, and 450,000 internet addresses tried to spread it within 12 hours (CERT/CC; CAIDA).","met":true},"reach":{"de":"CAIDA zählte am 18. September 2001 auf dem Höhepunkt 160.000 infizierte Computer, und Microsofts Webserver-Software lief in diesem Monat auf 27,46 % aller Websites (CAIDA; Netcraft).","en":"CAIDA counted 160,000 infected computers at the peak on September 18, 2001, and Microsoft's web server software ran 27.46 % of all websites that month (CAIDA; Netcraft).","met":true},"response":{"de":"Microsofts Patches waren seit vier Monaten oder länger verfügbar; darüber hinaus belegen die Quellen nur Internetanbieter, die infizierte Kunden vom Netz nahmen oder den Webverkehr blockierten, sowie ein Hilfsprogramm von Microsoft (CAIDA; Microsoft).","en":"Microsoft's fixes had been out for four months or longer; beyond them, the sources document only internet providers that cut off infected customers or blocked web traffic, and a support program by Microsoft (CAIDA; Microsoft).","met":false}},"cves":["CVE-2001-0333","CVE-2000-0884","CVE-2001-0154"],"cvss":7.5,"cvss_version":"2.0","cwe":"NVD-CWE-Other","dates":[{"date":"2000-10-17","de":"Microsoft warnt vor der älteren IIS-Lücke; ein Patch vom August 2000 schließt sie bereits (MS00-078)","en":"Microsoft warns of the older IIS flaw; a patch from August 2000 already fixes it (MS00-078)"},{"date":"2001-03-29","de":"Microsoft schließt die Lücke im Internet Explorer, die E-Mail-Anhänge von selbst ausführt (MS01-020)","en":"Microsoft fixes the Internet Explorer flaw that runs e-mail attachments on its own (MS01-020)"},{"date":"2001-05-14","key":"patched"},{"date":"2001-08-04","de":"CodeRedII beginnt, sich zu verbreiten, und hinterlässt Hintertüren auf IIS-Servern","en":"CodeRedII begins to spread and leaves backdoors on IIS servers"},{"date":"2001-08-15","de":"Der kumulative Patch MS01-044 enthält die Fixes für alle IIS-Lücken, die Nimda später ausnutzt","en":"Cumulative patch MS01-044 contains the fixes for all IIS flaws that Nimda later uses"},{"date":"2001-09-18","key":"outbreak"},{"date":"2001-09-18","key":"peak"}],"de":{"credit":"NSFocus meldete Microsoft die Hauptlücke","fixed":"MS01-026 (14. Mai 2001) für die Hauptlücke; alle IIS-Lücken im kumulativen Patch MS01-044 (15. August 2001); die Lücke im Internet Explorer in MS01-020 (29. März 2001)","product":"Microsoft-IIS-Webserver und Windows-Computer mit Internet Explorer 5.01 oder 5.5","summary":"Ein Wurm griff Microsofts Webserver und Windows-PCs auf fünf Wegen zugleich an, von E-Mails bis zu Hintertüren von CodeRedII, und infizierte in sieben Stunden 160.000 Computer."},"disclosed":"2001-09-18","en":{"credit":"NSFocus reported the main flaw to Microsoft","fixed":"MS01-026 (May 14, 2001) for the main flaw; all IIS flaws in the cumulative patch MS01-044 (August 15, 2001); the Internet Explorer flaw in MS01-020 (March 29, 2001)","product":"Microsoft IIS web servers, and Windows computers with Internet Explorer 5.01 or 5.5","summary":"A worm attacked Microsoft's web servers and Windows PCs by five routes at once, from e-mail to backdoors left by CodeRedII, and infected 160,000 computers within seven hours."},"figures":[{"de":"Computer auf dem Höhepunkt infiziert, 7 Stunden nach Beginn des Ausbruchs","en":"computers infected at the peak, 7 hours after the outbreak began","value":"160,000"},{"de":"Tage zwischen Microsofts Patch für die Hauptlücke und dem Ausbruch","en":"days between Microsoft's fix for the main flaw and the outbreak","value":"127"},{"de":"Internetadressen versuchten in den ersten 12 Stunden, den Wurm zu verbreiten","en":"internet addresses tried to spread the worm within the first 12 hours","value":"450,000"},{"de":"aller Websites liefen mit Microsofts Webserver-Software, die der Wurm angriff","en":"of all websites ran on Microsoft's web server software, which the worm attacked","value":"27 %"}],"key":"nimda","name":"Nimda","product":"Microsoft IIS, Internet Explorer","sources":[{"de":"CERT/CC-Warnung CA-2001-26: Nimda Worm (in der SEI-Sammlung der Warnungen von 2001, PDF)","title":"CERT/CC advisory CA-2001-26: Nimda Worm (in the SEI collection of 2001 advisories, PDF)","url":"https://www.sei.cmu.edu/documents/508/2001_019_001_496192.pdf"},{"de":"CAIDA: Dynamic Graphs of Nimda, die Ausbreitung am 18. und 19. September 2001","title":"CAIDA: Dynamic Graphs of Nimda, the spread on September 18 and 19, 2001","url":"https://www-old.caida.org/dynamic/analysis/security/nimda/"},{"de":"How to 0wn the Internet in Your Spare Time, USENIX Security Symposium (2002), mit Messungen zu Nimda am LBNL","title":"How to 0wn the Internet in Your Spare Time, USENIX Security Symposium (2002), with measurements of Nimda at LBNL","url":"https://www.icir.org/vern/papers/cdc-usenix-sec02/"},{"de":"Netcraft Web Server Survey vom Oktober 2001, mit den Zahlen vom September (Kopie auf LWN.net)","title":"Netcraft Web Server Survey of October 2001, with the September figures (copy on LWN.net)","url":"https://static.lwn.net/2001/1108/a/netcraft1001.php3"},{"de":"Microsoft-Sicherheitsbulletin MS01-026: kumulativer Patch für IIS mit dem Fix für die Hauptlücke","title":"Microsoft security bulletin MS01-026: cumulative patch for IIS with the fix for the main flaw","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2001/ms01-026"},{"de":"Microsoft-Sicherheitsbulletin MS00-078: Web Server Folder Traversal","title":"Microsoft security bulletin MS00-078: Web Server Folder Traversal","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2000/ms00-078"},{"de":"Microsoft-Sicherheitsbulletin MS01-020: Internet Explorer führt E-Mail-Anhänge aus","title":"Microsoft security bulletin MS01-020: Internet Explorer runs e-mail attachments","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2001/ms01-020"},{"de":"Microsoft-Sicherheitsbulletin MS01-044: kumulativer Patch für IIS vom 15. August 2001","title":"Microsoft security bulletin MS01-044: cumulative patch for IIS of August 15, 2001","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2001/ms01-044"},{"de":"NVD: CVE-2001-0333","title":"NVD: CVE-2001-0333","url":"https://nvd.nist.gov/vuln/detail/CVE-2001-0333"},{"de":"NVD: CVE-2000-0884","title":"NVD: CVE-2000-0884","url":"https://nvd.nist.gov/vuln/detail/CVE-2000-0884"},{"de":"NVD: CVE-2001-0154","title":"NVD: CVE-2001-0154","url":"https://nvd.nist.gov/vuln/detail/CVE-2001-0154"},{"de":"CAIDA: Archiv zu Code-Red, mit CodeRedII","title":"CAIDA: Code-Red archive, with CodeRedII","url":"https://www.caida.org/archive/code-red/"},{"de":"Computer Economics (heute Teil von Avasant): wirtschaftliche Folgen von Schadcode im Jahr 2001, eine Schätzung","title":"Computer Economics (now part of Avasant): economic impact of malicious code in 2001, an estimate","url":"https://avasant.com/?p=250739"},{"de":"Microsoft: Strategic Technology Protection Program (3. Oktober 2001)","title":"Microsoft: Strategic Technology Protection Program (October 3, 2001)","url":"https://news.microsoft.com/source/2001/10/03/microsoft-aligns-company-resources-to-ensure-secure-customer-networks/"},{"de":"Microsoft Security Blog: 20 Jahre Trustworthy Computing, über Code Red und Nimda (2022)","title":"Microsoft Security Blog: 20 years of Trustworthy Computing, on Code Red and Nimda (2022)","url":"https://www.microsoft.com/en-us/security/blog/2022/01/21/celebrating-20-years-of-trustworthy-computing/"}],"vector":"AV:N/AC:L/Au:N/C:P/I:P/A:P","year":2001}},"description":"Im September 2001 verbreitete sich Nimda zugleich per E-Mail, über infizierte Websites und Angriffe auf Webserver und infizierte in 7 Stunden 160.000 Computer.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 18. September 2001, kurz vor 12:00 Uhr UTC, begann sich ein Wurm namens Nimda weltweit auszubreiten. Sieben Stunden später waren laut dem Internet-Forschungszentrum CAIDA 160.000 Computer infiziert. Ein Wurm ist ein Programm, das sich selbstständig von einem Computer auf den nächsten kopiert. Nimda nutzte fünf Wege zugleich: E-Mail, infizierte Websites, freigegebene Netzwerkordner, zwei Sicherheitslücken in IIS, der Webserver-Software von Microsoft, und Hintertüren von CodeRedII, einem Wurm, der dieselbe Sicherheitslücke ausgenutzt hatte wie Code Red. Microsoft hatte alle Lücken, die Nimda nutzte, schon Monate zuvor geschlossen.\nSo funktionierte der Wurm Das CERT Coordination Center (CERT/CC), eine US-amerikanische Stelle für Sicherheitsvorfälle, beschrieb den Wurm noch am Tag des Ausbruchs. Nimda kam per E-Mail als Anhang namens readme.exe, der als Audiodatei gekennzeichnet war. E-Mail-Programme wie Outlook Express nutzen den Internet Explorer, um E-Mails in HTML anzuzeigen, der Sprache von Webseiten. In den Versionen 5.01 und 5.5 des Internet Explorers führte eine Sicherheitslücke dazu, dass der Browser einen so falsch gekennzeichneten Anhang von selbst ausführte. Schon die Anzeige der Nachricht im Vorschaufenster genügte. Microsoft hatte diese Lücke am 29. März 2001 geschlossen.\nSobald der Wurm lief, verschickte er sich an die E-Mail-Adressen, die er auf dem Computer fand, und wiederholte das alle 10 Tage. Jeder infizierte Computer, auch ein gewöhnlicher Desktop-PC, suchte außerdem im Internet nach IIS-Servern. Bei der Hälfte der Adressen, die er ausprobierte, stimmten die ersten beiden der vier Zahlen mit seiner eigenen Internetadresse überein. Der Wurm bevorzugte also seine eigene Nachbarschaft: Hatte eine einzige E-Mail die Firewall eines Unternehmens passiert, waren die Rechner dahinter naheliegende Ziele.\nAuf jedem Server suchte Nimda zuerst nach den Hintertüren von CodeRedII und eines älteren Wurms namens sadmind/IIS. Danach probierte er zwei Lücken vom Typ Directory Traversal aus. Ein Webserver soll nur Dateien aus seinem Webordner ausliefern und Anfragen blockieren, die „..“ enthalten, was „einen Ordner höher“ bedeutet. IIS ließ sich täuschen, wenn man diese Zeichen in ungewöhnlicher Form schrieb: bei der älteren Lücke mit speziellen Unicode-Zeichen, bei der neueren doppelt kodiert, weil IIS die Anfrage nach seiner Sicherheitsprüfung ein zweites Mal dekodierte. Dadurch konnte der Wurm Befehle auf dem Server ausführen und ihn dazu bringen, eine Kopie des Wurms herunterzuladen.\nAuf einem Server, den Nimda übernommen hatte, fügte der Wurm jeder Webseite ein kurzes JavaScript-Programm hinzu, sodass Besucher mit einem ungepatchten Internet Explorer schon durch das Aufrufen der Seite infiziert werden konnten. Außerdem kopierte er sich in jeden Ordner, in den er schreiben durfte, auch in freigegebene Netzwerkordner, gab das Laufwerk C: im Netzwerk frei und legte ein Gastkonto mit Administratorrechten an.\nE-Mailreadme.exe startet, sobald die Nachricht in der Vorschau erscheint Infizierter PCsucht nach IIS-Servern, bevorzugt in der Nähe IIS-Servereine Directory-Traversal-Lücke oder eine alte Hintertür lässt den Wurm herein Besucherdie infizierte Webseite gibt den Wurm weiter Jeder infizierte Computer verschickte den Wurm außerdem per E-Mail weiter und kopierte ihn in freigegebene Ordner. Wo dem Internet Explorer der Patch fehlte, genügte es, eine Nachricht oder eine Webseite anzusehen. Reichweite und Schaden Nimda hatte ein großes Ziel: In der Erhebung des Unternehmens Netcraft vom September 2001 lief die Webserver-Software von Microsoft auf 27,46 % aller Websites, das waren 8.895.343. Nur Apache lief auf mehr Websites.\nCAIDA, ein Internet-Forschungszentrum an der University of California San Diego, zählte im Abstand von 15 Minuten die Computer, die es beim Verbreiten von Nimda beobachtete. Ihren Höhepunkt erreichte die Infektion gegen 19:00 Uhr UTC mit 160.000 infizierten Computern. Bis Mitternacht UTC hatte CAIDA 450.000 verschiedene Internetadressen gesehen, die versuchten, den Wurm zu verbreiten. Eine Adresse ist nicht immer ein einzelner Computer, deshalb ist das keine exakte Zählung der Rechner.\nNimda in der Zählung von CAIDA, 18. September 2001 Infizierte Computer auf dem Höhepunkt, nach 7 Stunden160.000 Internetadressen, die in 12 Stunden versuchten, den Wurm zu verbreiten450.000 Der zweite Balken zählt Internetadressen, nicht Computer, und zwar über die gesamten ersten 12 Stunden. Quelle: CAIDA.\nAm Lawrence Berkeley National Laboratory, einem US-Forschungslabor, maßen Forscher, wie die Zahl der Suchanfragen nach IIS-Servern innerhalb einer halben Stunde von fast null auf fast 100 pro Sekunde stieg.\nSchon der Datenverkehr des Wurms richtete Schaden an: CERT/CC erhielt Meldungen über Ausfälle durch Überlastung (Denial of Service), verursacht durch das Scannen und die E-Mails, und laut CAIDA wurden einige Netzwerke so stark von ihren eigenen infizierten Rechnern überflutet, dass ihre Leitungen ins Internet verstopft waren. Das Unternehmen Computer Economics schätzte die weltweiten wirtschaftlichen Folgen von Nimda auf 635 Millionen US-Dollar, weniger als ein Viertel seiner Schätzung für Code Red. Das ist eine Schätzung, keine Messung, und die Quellen belegen keine Ausfälle kritischer Dienste wie Krankenhäuser oder Stromversorgung.\nDer Patch und die Reaktion Als Nimda auftauchte, waren alle seine Lücken bekannt. Microsoft hatte am 17. Oktober 2000 vor der älteren IIS-Lücke gewarnt; ein Patch vom August 2000 schloss sie bereits. Der Patch für den Internet Explorer folgte am 29. März 2001, der Patch für die neuere IIS-Lücke am 14. Mai 2001, 127 Tage vor dem Ausbruch. Am 15. August 2001 veröffentlichte Microsoft MS01-044, einen kumulativen Patch für IIS, der all diese Fixes für IIS enthielt. Server, die CodeRedII im August infiziert hatte, behielten dessen Hintertür, solange niemand sie bereinigt hatte.\nFür infizierte Server gab CERT/CC einen deutlichen Rat: „Der einzige sichere Weg, ein kompromittiertes System wiederherzustellen, ist, die Systemlaufwerke zu formatieren und die Systemsoftware von vertrauenswürdigen Medien neu zu installieren.“ Nimda hatte Webseiten und Programme verändert und ein neues Konto angelegt; den Wurm nur zu entfernen, reichte deshalb nicht.\nInfizierte Rechner verstummten auch schneller als nach Code Red. Weniger als 24 Stunden, nachdem Nimda begonnen hatte, in großer Zahl Computer zu infizieren, verbreitete die Hälfte der infizierten Rechner den Wurm nicht mehr; nach Code Red und CodeRedII hatte das 11 Tage gedauert. Das lag zum Teil daran, dass Rechner vom Internet abgeschnitten statt bereinigt wurden, erklärt CAIDA: Organisationen trennten sich selbst vom Netz, und Internetanbieter sperrten infizierte Kunden oder blockierten den Webverkehr.\nZeit, bis die Hälfte der infizierten Rechner den Wurm nicht mehr verbreitete Nimda, weniger als ein Tag24 h Code Red und CodeRedII, 11 Tage264 h Stunden, bis die Hälfte der infizierten Rechner den Wurm nicht mehr aussandte. Quelle: CAIDA.\nNimda verschwand nicht. In den Monaten nach dem Ausbruch bestätigte das Labor in Berkeley Angriffe von 63.000 verschiedenen Nimda-Rechnern. Die Zahl ist möglicherweise zu niedrig, merken die Forscher an, weil sie nur die Angriffe auf Webserver gezählt haben.\nZwei Wochen nach dem Ausbruch kündigte Microsoft eine „beispiellose Mobilisierung“ seiner Mitarbeiter an, mit kostenloser Hilfe bei Virenproblemen und einem Werkzeug zum Absichern von IIS. Die Ankündigung nennt Nimda nicht; Microsoft schrieb später, Code Red und Nimda hätten einige Kunden dazu gebracht, ihren Einsatz von IIS zu überdenken.\nWelche Lücke hier als Hauptlücke zählt Nimda nutzte drei Sicherheitslücken mit einer CVE-Nummer: zwei in IIS, eine im Internet Explorer. Diese Seite zählt die neuere IIS-Lücke, CVE-2001-0333, als Hauptlücke: Die Angriffe auf Webserver machten Nimda zu einem Wurm, der ohne menschliches Zutun auskam, und jeder infizierte Computer führte sie aus. Diese Lücke funktionierte außerdem auf mehr Servern als die ältere: Microsofts Patch dafür enthielt auch den älteren Fix, das Windows 2000 Service Pack 2 dagegen nur den älteren. Keine Messung zeigt, wie viele Computer über welchen Weg infiziert wurden. Die US-amerikanische National Vulnerability Database bewertet alle drei Lücken mit 7,5 von 10 auf CVSS 2.0; die Wahl ändert den Wert also nicht.","title":"Nimda: Der Wurm, der in 7 Stunden 160.000 Rechner befiel","url":"https://crackthe.net/de/schwachstellen/nimda/"}