Nimda: Der Wurm, der in 7 Stunden 160.000 Rechner befiel

Am 18. September 2001, kurz vor 12:00 Uhr UTC, begann sich ein Wurm namens Nimda weltweit auszubreiten. Sieben Stunden später waren laut dem Internet-Forschungszentrum CAIDA 160.000 Computer infiziert. Ein Wurm ist ein Programm, das sich selbstständig von einem Computer auf den nächsten kopiert. Nimda nutzte fünf Wege zugleich: E-Mail, infizierte Websites, freigegebene Netzwerkordner, zwei Sicherheitslücken in IIS, der Webserver-Software von Microsoft, und Hintertüren von CodeRedII. Dieser Wurm hatte dieselbe Sicherheitslücke ausgenutzt wie Code Red. Microsoft hatte alle Lücken, die Nimda nutzte, schon Monate zuvor geschlossen.

So funktionierte der Wurm

Das CERT Coordination Center (CERT/CC), eine US-amerikanische Stelle für Sicherheitsvorfälle, beschrieb den Wurm noch am Tag des Ausbruchs. Nimda kam per E-Mail als Anhang namens readme.exe, der als Audiodatei gekennzeichnet war. E-Mail-Programme wie Outlook Express nutzen den Internet Explorer, um E-Mails in HTML anzuzeigen, der Sprache von Webseiten. In den Versionen 5.01 und 5.5 des Internet Explorers ließ eine Sicherheitslücke den Browser einen so falsch gekennzeichneten Anhang von selbst ausführen. Schon die Anzeige der Nachricht im Vorschaufenster genügte. Microsoft hatte diese Lücke am 29. März 2001 geschlossen.

Sobald der Wurm lief, verschickte er sich an die E-Mail-Adressen, die er auf dem Computer fand, und wiederholte das alle 10 Tage. Jeder infizierte Computer, auch ein gewöhnlicher Desktop-PC, suchte außerdem im Internet nach IIS-Servern. Bei der Hälfte der Adressen, die er ausprobierte, stimmten die ersten beiden der vier Zahlen mit seiner eigenen Internetadresse überein. Der Wurm bevorzugte also seine eigene Nachbarschaft: Hatte eine einzige E-Mail die Firewall eines Unternehmens passiert, waren die Rechner dahinter naheliegende Ziele.

Auf jedem Server suchte Nimda zuerst nach den Hintertüren von CodeRedII und eines älteren Wurms namens sadmind/IIS. Danach probierte er zwei Lücken vom Typ Directory Traversal aus. Ein Webserver soll nur Dateien aus seinem Webordner ausliefern. Anfragen mit „..“, was „einen Ordner höher“ bedeutet, soll er blockieren. IIS ließ sich täuschen, wenn man diese Zeichen in ungewöhnlicher Form schrieb. Bei der älteren Lücke schrieb man sie mit speziellen Unicode-Zeichen. Bei der neueren kodierte man sie doppelt, weil IIS die Anfrage nach seiner Sicherheitsprüfung ein zweites Mal dekodierte. Dadurch konnte der Wurm Befehle auf dem Server ausführen und ihn dazu bringen, eine Kopie des Wurms herunterzuladen.

Auf einem Server, den Nimda übernommen hatte, fügte der Wurm jeder Webseite ein kurzes JavaScript-Programm hinzu. Besucher mit einem ungepatchten Internet Explorer konnten dann schon durch das Aufrufen der Seite infiziert werden. Außerdem kopierte er sich in jeden Ordner, in den er schreiben durfte, auch in freigegebene Netzwerkordner. Er gab das Laufwerk C: im Netzwerk frei und legte ein Gastkonto mit Administratorrechten an.

Reichweite und Schaden

Nimda hatte ein großes Ziel: In der Erhebung des Unternehmens Netcraft vom September 2001 lief die Webserver-Software von Microsoft auf 27,46 % aller Websites, das waren 8.895.343. Nur Apache lief auf mehr Websites.

CAIDA an der University of California San Diego zählte im Abstand von 15 Minuten die Computer, die es beim Verbreiten von Nimda beobachtete. Ihren Höhepunkt erreichte die Infektion gegen 19:00 Uhr UTC mit 160.000 infizierten Computern. Bis Mitternacht UTC hatte CAIDA 450.000 verschiedene Internetadressen gesehen, die versuchten, den Wurm zu verbreiten. Eine Adresse ist nicht immer ein einzelner Computer, deshalb ist das keine exakte Zählung der Rechner.

Forscher am Lawrence Berkeley National Laboratory, einem US-Forschungslabor, maßen die Suchanfragen nach IIS-Servern. Innerhalb einer halben Stunde stieg ihre Zahl von fast null auf fast 100 pro Sekunde.

Schon der Datenverkehr des Wurms richtete Schaden an. CERT/CC erhielt Meldungen über Ausfälle durch Überlastung (Denial of Service), verursacht durch das Scannen und die E-Mails. Laut CAIDA wurden einige Netzwerke so stark von ihren eigenen infizierten Rechnern überflutet, dass ihre Leitungen ins Internet verstopft waren. Das Unternehmen Computer Economics schätzte die weltweiten wirtschaftlichen Folgen von Nimda auf 635 Millionen US-Dollar, weniger als ein Viertel seiner Schätzung für Code Red. Das ist eine Schätzung, keine Messung. Ausfälle kritischer Dienste wie Krankenhäuser oder Stromversorgung belegen die Quellen nicht.

Der Patch und die Reaktion

Als Nimda auftauchte, waren alle seine Lücken bekannt. Microsoft hatte am 17. Oktober 2000 vor der älteren IIS-Lücke gewarnt. Ein Patch vom August 2000 schloss sie bereits. Der Patch für den Internet Explorer folgte am 29. März 2001. Der Patch für die neuere IIS-Lücke kam am 14. Mai 2001, 127 Tage vor dem Ausbruch. Am 15. August 2001 veröffentlichte Microsoft MS01-044, einen kumulativen Patch, der all diese IIS-Fixes enthielt. Server, die CodeRedII im August infiziert hatte, behielten dessen Hintertür, solange niemand sie bereinigt hatte.

Für infizierte Server gab CERT/CC einen deutlichen Rat: „Der einzige sichere Weg, ein kompromittiertes System wiederherzustellen, ist, die Systemlaufwerke zu formatieren und die Systemsoftware von vertrauenswürdigen Medien neu zu installieren.“ Nimda hatte Webseiten und Programme verändert und ein neues Konto angelegt; den Wurm nur zu entfernen, reichte deshalb nicht.

Infizierte Rechner verstummten auch schneller als nach Code Red. Weniger als 24 Stunden nach dem Beginn der Masseninfektion verbreitete die Hälfte der infizierten Rechner den Wurm nicht mehr. Nach Code Red und CodeRedII hatte das 11 Tage gedauert. Laut CAIDA lag das zum Teil daran, dass Rechner vom Internet abgeschnitten statt bereinigt wurden. Organisationen trennten sich selbst vom Netz. Internetanbieter sperrten infizierte Kunden oder blockierten den Webverkehr.

Nimda verschwand nicht. In den Monaten nach dem Ausbruch bestätigte das Labor in Berkeley Angriffe von 63.000 verschiedenen Nimda-Rechnern. Die Zahl ist möglicherweise zu niedrig, merken die Forscher an, weil sie nur die Angriffe auf Webserver gezählt haben.

Zwei Wochen nach dem Ausbruch kündigte Microsoft eine „beispiellose Mobilisierung“ seiner Mitarbeiter an, mit kostenloser Hilfe bei Virenproblemen und einem Werkzeug zum Absichern von IIS. Die Ankündigung nennt Nimda nicht. Microsoft schrieb später, Code Red und Nimda hätten einige Kunden dazu gebracht, ihren Einsatz von IIS zu überdenken.

Welche Lücke hier als Hauptlücke zählt

Nimda nutzte drei Sicherheitslücken mit einer CVE-Nummer: zwei in IIS, eine im Internet Explorer. Als Hauptlücke zählt hier die neuere IIS-Lücke, CVE-2001-0333. Über sie griff jeder infizierte Computer Webserver an, ohne dass ein Mensch etwas tun musste. Sie funktionierte zudem auf mehr Servern als die ältere. Microsofts Patch dafür enthielt auch den älteren Fix, das Windows 2000 Service Pack 2 dagegen nur den älteren. Keine Messung zeigt, wie viele Computer über welchen Weg infiziert wurden. Die US-amerikanische National Vulnerability Database bewertet alle drei Lücken mit 7,5 von 10 auf CVSS 2.0. Die Wahl ändert den Wert also nicht.