Blaster: Der Wurm, der in einer Woche 100.000 Windows-PCs befiel

Am 11. August 2003 begann ein Wurm namens Blaster, auch MSBlast oder Lovsan genannt, sich zu verbreiten. Er nutzte eine Sicherheitslücke in Windows, die Microsoft vier Wochen zuvor behoben hatte. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Blaster brauchte weder einen Klick noch ein Passwort: Es genügte ein ungepatchter Windows-Computer in seiner Reichweite. Laut einer Messstudie infizierte er in seiner ersten Woche mehr als 100.000 Windows-Computer. Ein Jahr später verbreitete er sich noch immer.

So funktionierte der Wurm

Windows nutzt einen Dienst namens RPC, kurz für Remote Procedure Call, damit Programme Funktionen auf anderen Computern aufrufen können. Ein Teil davon ist für DCOM zuständig, ein Verfahren, mit dem Softwarekomponenten über ein Netzwerk zusammenarbeiten. Laut Microsoft läuft der Dienst standardmäßig in allen Windows-Versionen. Er nimmt über mehrere Netzwerkports Anfragen entgegen, vor allem über TCP-Port 135. Ein Port ist eine nummerierte Tür für den Netzwerkverkehr.

Eine DCOM-Funktion prüfte eingehende Nachrichten nicht richtig. Eine präparierte Nachricht brachte einen Speicherbereich fester Größe, einen sogenannten Puffer, zum Überlaufen. So ließ sich der Code des Angreifers mit Local-System-Rechten ausführen, den höchsten Rechten unter Windows. Betroffen waren Windows NT 4.0, 2000, XP und Server 2003.

Blaster nutzte Angriffscode, der im Juli auf einer öffentlichen Mailingliste erschienen war. Jeder infizierte Computer wählte eine Startadresse, in 40 % der Fälle eine in der Nähe seiner eigenen. Dann probierte er 20 Adressen auf einmal an Port 135. Ein erfolgreicher Angriff öffnete auf Port 4444 eine Hintertür, eine versteckte Befehlszeile. Darüber wurde das neue Opfer angewiesen, die Wurmdatei msblast.exe vom angreifenden Computer zu holen und auszuführen. Dafür diente TFTP, ein einfaches Verfahren zur Dateiübertragung. Ein Eintrag in der Registry, der zentralen Einstellungsdatenbank von Windows, startete den Wurm nach jedem Neustart erneut.

Microsoft warnte, Blaster könne infizierte PCs immer wieder abstürzen lassen. Das CERT/CC, das US-amerikanische Notfallteam für Computersicherheit an der Carnegie Mellon University, berichtete: Manche Rechner blieben nicht lange genug online, um den Patch herunterzuladen. Der Wurm hatte eine zweite Aufgabe: Am 16. August sollte jeder infizierte Computer windowsupdate.com, eine Adresse von Microsofts Update-Website, mit Verbindungsanfragen überfluten.

Reichweite und Schaden

Die besten Messungen liefert „The Blaster Worm: Then and Now“, eine Studie von 2005. Sie stammt von Forschern der University of Michigan und des Sicherheitsunternehmens Arbor Networks. Die Forscher beobachteten einen Block von rund 16 Millionen ungenutzten Internetadressen, 1/256 des Internets. Kein echter Computer nutzt diese Adressen. Jeder Datenverkehr dorthin kommt also von Scans, etwa von Würmern auf der Suche nach Opfern.

Nach Microsofts Warnung im Juli stieg die Zahl der Computer, die in diesem Block Port 135 abtasteten, von 4–10 auf 100–300 pro Tag. Als Blaster losschlug, verdoppelte sich die Zahl der infizierten Computer anfangs etwa alle neun Minuten. Auf dem Höhepunkt sahen die Forscher fast 15.000 infizierte Adressen in einer Stunde und etwa 106.000 in 24 Stunden. Nach acht Stunden ließ die Aktivität nach, weil Besitzer ihre Computer patchten oder vom Netz nahmen und Netzwerke den Wurm sperrten. Der Rückgang hatte eine Halbwertszeit von etwa 12 Stunden.

Zu den infizierten Netzen gehörten mehrere Breitbandanbieter für Privatkunden. Andere Zählungen kommen auf ganz andere Werte:

DShield ist ein Dienst, der die Firewall-Logs Zehntausender Geräte sammelt. Er zählte höchstens 208.000 Adressen, die Port 135 abtasteten, gegenüber etwa 7.000 vor dem Wurm. Im Februar 2004 erklärte Microsoft, sein Bereinigungstool habe mehr als 8 Millionen Internetnutzern geholfen. Die Forscher merken an, dass diese Zahl stark von beiden Messungen abweicht.

Eine verlässliche Gesamtsumme des Schadens gibt es nicht. Die Studie zitiert eine Umfrage unter 19 Forschungsuniversitäten. Demnach gab jede von ihnen in fünf Wochen durchschnittlich 299.579 US-Dollar aus, um die Folgen von Blaster und seinen Varianten zu beseitigen.

Am 18. August begann ein zweiter Wurm, dieselbe Sicherheitslücke auszunutzen. Welchia, auch Nachi genannt, war als „Anti-Wurm“ gedacht. Laut der Studie versuchte er, auf den infizierten Computern die Lücke zu schließen. Vor jedem Angriff prüfte er mit einem Ping, einer kleinen Testnachricht, ob ein Computer online war. Der Netzwerkausrüster Cisco berichtete, dass die großen Mengen dieser Pakete viele der Netzwerkprobleme verursachten, darunter überlastete Router. Die Studie folgert, dass Welchia selbst erheblichen Schaden anrichtete.

Der Patch und die Reaktion

Die Sicherheitsforscher der Gruppe The Last Stage of Delirium hatten Microsoft die Sicherheitslücke gemeldet. Am 16. Juli 2003 veröffentlichte Microsoft das Sicherheitsbulletin MS03-026 mit einem Patch. Das Unternehmen stufte die Lücke für alle betroffenen Windows-Versionen als „kritisch“ ein und riet: „Systemadministratoren sollten den Patch unverzüglich installieren.“ Als Übergangslösung schlug Microsoft vor, die RPC-Ports in der Firewall zu sperren oder DCOM abzuschalten. Öffentlichen Angriffscode gab es noch nicht. Spätestens am 26. Juli stand funktionierender Angriffscode auf einer öffentlichen Mailingliste. Am 31. Juli meldete das CERT/CC verbreitete Scans und Angriffe auf die Lücke.

Nach dem Ausbruch stellte Microsoft den Patch auch für Windows 2000 Service Pack 2 und Windows NT 4.0 Workstation bereit, obwohl deren Support beendet war. Am 10. September 2003 behob Microsoft mit dem Bulletin MS03-039 drei weitere Lücken im selben Dienst und ersetzte MS03-026. Für die alten Versionen machte das Unternehmen „aufgrund der Art dieser Sicherheitslücke“ eine Ausnahme.

Microsoft entschärfte außerdem den Angriff auf windowsupdate.com. Am 15. August, einen Tag vor dem geplanten Angriff, ließ Microsoft die Adresse im DNS, dem Adressbuch des Internets, nicht mehr auflösen. Das berichtete das SANS Internet Storm Center, das Angriffe im Internet beobachtet. Infizierte Computer fanden kein Ziel. Die automatischen Updates von Windows nutzten dagegen windowsupdate.microsoft.com und funktionierten weiter.

Am 5. November 2003 setzte Microsoft 250.000 US-Dollar Belohnung für Hinweise aus, die zur Festnahme und Verurteilung der Verantwortlichen für den ursprünglichen Wurm führen. Das FBI, der US Secret Service und Interpol beteiligten sich daran. Personen hinter zwei späteren Varianten waren bereits festgenommen worden. Der Urheber des ursprünglichen Wurms wurde laut der Studie nie gefasst. Millionen luden im Januar 2004 Microsofts Bereinigungstool herunter, doch laut der Studie änderte sich die Zahl der Infektionen kaum.

Ein Jahr später, im August und September 2004, zählten die Forscher noch mehr als 200.000 verschiedene Adressen, die den Wurm verbreiteten, bis zu 4.100 pro Tag. Die meisten waren neu: 99,5 % der Adressen und 73 % der umgebenden Blöcke aus je 256 Adressen waren während des Ausbruchs nicht aufgetaucht. Die Forscher folgern, dass der Wurm auf neue Computer übergegangen war, während alte bereinigt oder abgeschaltet wurden.

Die US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 7,5 von 10. Einen Wert nach Version 3 gibt es nicht. Diese Bewertung geht davon aus, dass Vertraulichkeit, Integrität und Verfügbarkeit nur teilweise beeinträchtigt werden. Laut Microsoft konnte ein Angreifer aber die vollständige Kontrolle über den Computer erlangen.