Die Entwicklung der modernen Schadprogramme - Tendenzen und Prognosen
Würmer: Trends 2003
Die derzeitige Situation der Virologie ist hauptsächlich auf Ereignisse der zweiten Hälfte 2003 zurückzuführen. Die Internet-Würmer Lovesan, Sorbig, Swen und Sober lösten weltweit nicht nur riesige Epidemien aus, sondern änderten beachtlich die Malware-Landschaft. Jedes dieser Schadprogramme unterschied sich vom anderen durch besondere Kennzeichen, die alle heute und in der nahen Zukunft aktiv von den Virenschreibern genutzt werden.
Um zu verstehen, was die Virenschreiber heutzutage tun, und um zu erahnen, was die Zukunft uns bringt, müssen wir dieses Würmer-Quartett genauer analysieren.
Lovesan
Der Netzwurm Lovesan erschien im August 2003, nutzte für seine Verbreitung eine kritische Schadstelle im Betriebssystem Windows. In wenigen Tagen gelang es ihm, weltweit Millionen Computer zu infizieren. Dabei nutzt er als Verbreitungsprinzip das globale Internet-Netz, attackiert unmittelbar den infizierten Computer. Dabei ignoriert er die damals traditionellen Wege über die elektronische Post, IRC und P2P-Netze. Bereits 1988, durch Wurm Morris, wurde dieser direkte Weg genutzt, doch seitdem vergingen 15 Jahre, in denen keine Vorfälle dieser Art verzeichnet wurden. 2003 jedoch war Lovesan nicht der einzige derartige Wurm.
Der Erste war Wurm Slammer, der innerhalb von nur 3 Tagen im Januar 2003 etwa eine halbe Million Computer infizierte. Auch er nutzte Schwachstellen im Programm-Produkt von Microsoft -MSQL-Server. Alles in allem, laut Anzahl der realen Fälle und der globalen Folgen, blieb Lovesan-y Gewinner dieses Rennens. Übrigens war Slammer der erste klassische, körperlose Wurm, dessen Entwicklung zweifelsohne viel schwieriger war. Bestätigt wird das durch die Tatsache, dass seit der Slammer-Epidemie nur ein einziger körperloser Wurm auftrat - der Wurm Witty (im März 2004).
Als Ergänzung zu dem bereits Gesagten sei erwähnt, dass Wurm Lovesan sogar eine DDoS-Attacke auf die Seiten des Unternehmens Microsoft versuchte, was eine Masse verheerender Folgen für Millionen Anwender gehabt hätte, die ohne Aktualisierung der Programm-Produkte geblieben wären, darunter auch der Produkte, die den Computer vor analogen Würmern schützen sollen. Glücklicherweise misslang die DDoS-Attacke. Prinzipiell jedoch veranlasste die Möglichkeit einer solchen das Unternehmen Microsoft dazu, seine Architektur und das Zugangsprinzip zu den Schlüssel-Netzressourcen bedeutend zu verändern.
Resümee: Die folgenden klassischen Wurmmerkmale der modernen Viren haben ihren Ursprung in Lovesan:
die Nutzung kritischer Schwachstellen in den Programm-Produkten von Microsoft
die Verbreitung über das globale Netz, durch den direkten Anschluss an den attackierten Computer
Organisation verteilter DoS und DDoS-Attacken auf frei ausgewählte Webseiten.
Sobig.f
Der Postwurm Sobig.f ging Ende August 2003 sehr zielstrebig in die Geschichte ein. In nur 2 Tagen rief er die größte Epidemie eines Postwurms im 21. Jahrhundert hervor. Auf der Höhe seiner Aktivität enthielt praktisch jeder 10. Internet-Brief diesen Wurm. Der Umfang der Postflut wuchs um das Zehnfache, und auch Antiviren gaben ihren Beitrag dazu und teilten Millionen Absendern mit, dass im Brief ein Virus enthalten ist und dieser gelöscht werden muss.
Der Wurm benutzte nicht irgendwelche Schwachstellen und hatte ziemlich einfache Briefthemen und -texte. Das Ausmaß der Gefahr war jedoch um ein Vielfaches größer: die im Wurm gefundene backdoor-Funktion (Empfang eines Kommandos von außerhalb) ließ bei den Spezialisten aller Antivirus-Unternehmen die Herzen erstarren und den 22. August abwarten, an dem alle mit Sobig.f infizierten Computer das Kommando von außerhalb erhalten sollten. Was dieses Kommando enthielt - das wusste niemand. Das Kommando kam nicht, denn die Server, von denen es erwartet wurde, waren operativ geschlossen worden. Sobig.f jedoch ist nach wie vor einer der verbreitetsten Würmer.
Eine solch gigantische Epidemie konnte nicht durch einen traditionellen Wurm ausgelöst sein, der über mehrere Computer durch das Netz kommt und seinen Höhepunkt erst nach Wochen oder Monaten erreicht. Lange schon vor Sobig.f, noch im Januar 2003 erschienen seine 'älteren Brüder', andere Würmer dieser Wurmfamilie. Sie alle infizierten Computer planmäßig, und gaben ihnen die Möglichkeit, durch sich selbst ständig neue Versionen zu verbreiten. Letztendlich, nachdem die Anzahl der durch frühere Versionen infizierten Computer bereits ein kritisches Ausmaß erreichte, schwappte eine Flut von Briefen aus ihnen heraus, die mit Sobig.f infiziert waren.
Faktisch gab Sobig.f den Anstoß für die Postwurm-Epidemien, die 2004 stattfanden und die in der Zukunft stattfinden werden. Die Kennzeichen:
die vorherige Schaffung eines gigantischen Netzes von Zombie-Maschinen (Installation von backdoor's und Trojanern)
der vorherige Versand von Millionen Wurmkopien mit Hilfe der Spam-Technologien.
Swen
Versetzen wir uns in nicht allzu weit zurückliegende Vergangenheit. 18. September 2003. Früh am Morgen erhält Kaspersky Lab das erste Exemplar eines Wurms von einem Anwender aus Neuseeland. Der Wurm zog sogleich aufgrund seiner Originalität die Aufmerksamkeit auf sich. Zu dem Zeitpunkt war jedoch noch keine Rede von einer Epidemie. Erst nach 6-8 Stunden, als von überall her die Mitteilungen über eine Infektion eintrafen, war klar, dass auf dem Spielfeld der Viren ein neuer, gefährlicher Spieler aufgetaucht ist.
Swen nutzte zu seiner Vermehrung traditionelle Methoden - elektronische Post, IRC und P2P-Kanäle. Das war jedoch nicht sein Markenzeichen, vielmehr zeichnete er sich durch eine besonders heftige Methode des Social Engineering aus. Er gab sich als spezielles Patch des Unternehmens Microsoft aus, das angeblich alle bekannten Schwachstellen beseitigt. Die Nachricht enthält, leicht erkennbar, Elemente der offiziellen Microsoft-Webseite, Links auf weitere Ressourcen des Unternehmens und einen sehr korrekt erstellten Brieftext, zusammen mit den letzten Ausbrüchen von Lovesan und Sobig. Die bereits an die Notwendigkeit der Installation neuer Patches gewöhnten Anwender und die Gerüchte über eine neue Attacke auf die Webseite von Microsoft ließen die Anwender den Anhang öffnen und somit die schadbringende Datei laden.
Die Epidemie kam zwar nicht an Lovesan und Sobig heran, auch die Versandmethode ihrer Kopien über 350 dafür offene Server war nicht ideal, aber im Großen und Ganzen war Swen der Erste, der in großem Umfang eine weitere Eindring-Methode in die Computer nutzte:
die Methode Social Engineering.
Sober
Sober ist ein letzter leuchtender Vertreter der Postwürmer für 2003. Sober ist ein Kopieschnitt von Sobig, hat jedoch einige innovative Funktionen. Infizierte E-Mails kommen in vielen Sprachen, die Sprachauswahl findet bei Ankunft an die Empfänger- IP-Adresse an. Sober nutzt ebenfalls die Techniken von Social Engineering, indem er sich als Entfernungs-Tool für Sobig ausgibt. Erstmalig vereint ein Wurm die Merkmale von zwei weiteren Würmern.
2004
2004 lieferte uns viele neue, teilweise originelle Schadprogramme. Sie nutzten aktiv die Ideen ihrer Vorgänger, und ergänzten die wichtigsten Tendenzen der Virenentwicklung durch neue Merkmale.
Januar 2004
Der Trojaner Proxy Server, Mitglieder, zeigte sich gleich nach den Neujahrs-Feiertagen. Am Morgen des 4. Januar erhielten Tausende ISQ -Nutzer die Mitteilung, eine bestimmte Webseite zu besuchen. Viele derjenigen, die auf den gesandten Link klickten, wanden sich kurz danach Hilfe suchend an die Antivirus-Unternehmen. Auf der Webseite befand sich ein Trojaner-Programm, welches, eine Schwachstelle im Internet-Explorer nutzend, versteckt einen Trojaner Proxy-Server installierte und startete. Dieser öffnete auf der infizierten Maschine die Türen für den Empfang und weiteren Versand von Postnachrichten.
Hier müssen wir zwei wesentliche Merkmale aufzeigen, die in der Zukunft mehrfach von den Virenschreibern genutzt werden und die die allgemeine Tendenz unterstreichen:
der Versand der Nachrichten über elektronische Post oder ISQ mit dem Ziel, die Aufmerksamkeit der Anwender auf eine bestimmte infizierte Webseite zu lenken
die faktische Herausbildung der Trojaner Proxy-Server als einzelne Klasse, die eng auf den Spam-Versand ausgerichtet ist.
Es gab noch ein weiteres Merkmal, welches bereits oben erwähnte wurde - die 'Bildung eines Netzes von Zombie-Maschinen'. Bekannt wurde das jedoch erst später - als Wurm Bagle erschien.
Allen Anzeichen nach ist Bagle von derselben Gruppe Virenschreiber geschaffen worden wie Mitglieder, da er auf die infizierten Maschinen ebenfalls Trojaner Proxy-Server installierte, oder ihn aus dem Internet lud. Faktisch war es derselbe Mitglieder, aber mit einer Funktion der Selbstvermehrung über elektronische Post. Und, auch sehr wichtig, für die Vermehrung von Bagle wurden wiederum schon früher mit dem Trojaner infizierte Maschinen genutzt.
Nach nur kurzer Zeit knallte es. Im Netz kam es zum Ausbruch der bisher größten Epidemie der Geschichte. Der Postwurm Mydoom.a, der zuvor über ein gigantisches Netz von Zombie-Maschinen verschickt wurde (analog Sobig), nutzte die Methode des Social Engineering (Swen), enthielt in sich eine starke backdoor-Prozedur und sollte DDoS-Attacken auf die Webseite des Unternehmens SCO starten (Lovesan).
Die Vereinigung von drei Hauptmerkmalen früherer Würmer gab einen umwerfenden Effekt. Mydoom.a überholte mit Leichtigkeit den bisherigen Spitzenreiter Sobig.f in der Anzahl des geschaffenen Postverkehrs, infizierte Millionen Computer, indem er die Portale für den Zugang von außen öffnete und führte erfolgreich eine DDoS-Attacke auf die Webseite des Unternehmens SCO durch. Danach wurde er schließlich für Monate außer Kraft gesetzt.
Darüber hinaus brachte Wurm Mydoom.a neben dem ersten Platz in der Viren-Hitparade auch Neues in die Geschichte der Virologie. Der durch ihn installierte backdoor erwies sich als ein Leckerbissen für viele andere Würmer. Sofort erschienen Würmer, die das Netz nach den von Mydoom geöffneten Portalen scannten, um dann über diese in die Computer einzudringen. Dabei vernichteten sie Mydoom und ersetzten ihn durch sich selbst, oder funktionierten gleichzeitig im System. In kürzester Zeit erschienen einige Dutzend derartiger Viren. Die meist verbreiteten unter ihnen erwirkten lokale Kurzzeitepidemien, und allesamt ließen die von Mydoom geschaffene Armee von Zombie-Maschinen für sich arbeiten.
Daraus können wir ein weiteres Merkmal ableiten, welches bereits zu einer klaren Zukunfts-Tendenz wird:
die Nutzung der Schwachstellen, die durch andere Viren entstanden sind.
Februar 2004
NetSky.b
Der Postwurm NetSky.b wurde anfänglich über ein Computernetz verschickt, dessen Computer von Backdoor.Agobot infiziert waren. Er nutzte praktisch alle Ideen seiner Vorgänger, mit dem einzigen Unterschied - er vernichtete die auf dem Computer aufgefundenen anderen Würmer, insbesondere Mydoom, Bagle und Mimail.
Das Prinzip 'Virus-Antivirus' ist jedoch nicht neu. Schon 2003 drang Netzwurm Welchia, der sich analog Lovesan über Schwachstellen verbreitete, in die Computer und vernichtete dabei nicht nur Lovesan-Exemplare, sondern versuchte, von der Microsoft-Webseite Patches zur Verhinderung neuer Infektionen herunterzuladen. NetSky lud keine Patches, sondern versuchte gegen Konkurrenten sowohl durch das Löschen von Maschinen als auch mit Worten 'zu kämpfen'.
Der Autor von Wurm Mydoom nahm an diesem Cyber-Fernkrieg nicht teil, doch dem entgegen hoben die Autoren von Bagle den ihnen hingeworfenen Handschuh auf und auf jede neue NetSky-Version mit einer Lawine von Schimpfwörtern antworteten sie mit ihrer neuen Version sinngemäß analoger Texte. So erschienen pro Tag drei neue Versionen eines jeden Wurms.
Im Verlauf dieses Krieges der Virenschreiber-Gruppierungen entstanden einige neue Merkmale der modernen Virologie:
das Streben danach, andere Würmer auf den infizierten Maschinen zu vernichten, faktisch ein Kampf um den Platz unter der Sonne (NetSky)
das Verschicken seiner eigenen Kopie als Archiv-Datei (Bagle, NetSky)
das Verschicken seiner eigenen Kopie als Passwort-Archiv, mit Aufzeigen des Passwortes im Brieftext, oder als offener Text, oder aber als Bild (Bagle)
kein Versand mehr seines Körpers über elektronische Post, stattdessen Versand eines Links auf die infizierte Webseite oder auf früher infizierte Maschinen (NetSky).
Alle diese Faktoren beeinflussten nicht nur wesentlich die Virus-Technologien, sondern auch die Architektur und die Möglichkeiten der modernen Antiviren-Programme.
Wir möchten uns kurz dem letzten Merkmal zuwenden: 'kein Versand mehr seines Körpers über elektronische Post'. Praktisch gleichzeitig mit dem Erscheinen der Version NetSky.q, welche Briefe mit einem Link auf früher infizierte Computer verschickte, und als Resultat dessen der Wurm von dieser Maschine geholt wurde, erschien der erste Wurm, der sich über das verbreitete Programm ISQ vermehrte - Wurm Bizex. Sobald er in einen Computer eindringen konnte, verschickte er an die gesamte Kontaktliste den Link auf die infizierte Webseite, von der wiederum die Hauptkomponente des Virus kam. Zwei Ideen wurden hierbei genutzt - erstens der Versand eines Links anstelle seiner Kopie, und zweitens die Nutzung der ISQ-Kanäle, um die Anwender an der infizierten Webseite zu interessieren (Mitglieder).
März - Mai 2004
Snapper und Wallon
Endgültig zeichnete sich diese Verbreitungsart als richtige Tendenz ab, als im März und im Mai 2004 Würmer wie Snapper und Wallon auftauchten. Beide versandten an die auf dem Computer gefundenen Adressen nicht sich selbst, sondern Links auf ihre Webseiten, auf denen Skript-Trojaner installiert waren, die Schwachstellen im Internet-Explorer zur Installierung der Hauptkomponente auf den Computer nutzten. Derartige Briefe rufen bei den Anwendern in der Regel noch keinen Verdacht wach, da sie keine Anhänge enthalten, wie das traditionell bei den Postwürmern üblich ist, und an die sich die Anwender bereits gewöhnt hatten.
Wahrscheinlich wird diese Verbreitungs-Methode in der nächsten Zukunft von den Viren noch mehrfach genutzt. Angesichts der sich häufenden Schwachstellen im Internet Explorer und im Outlook kann sich diese Gefahr noch deutlich vergrößern.
Sasser
Sasser, der Ende April erschien, nutzte die nächste kritische Schwachstelle von Microsoft Windows und verbreitete sich analog Lovesan über das globale Netz, über den direkten Anschluss an den attackierten Computer. Der Wurm bewirkte eine den Ausmaßen nach bedeutende Epidemie in Europa und enthielt in dem auf der infizierten Maschine gestarteten ftp-Service eine Schwachstelle, die von den neuen Netz-Würmern Dabber und Cycle genutzt wurde. Der Autor von Wurm Sasser wurde inhaftiert und gab darüber hinaus zu, der Autor der Wurmfamilie NetSky zu sein. Allem Anschein nach ist das tatsächlich wahr, da seitdem keine weiteren NetSky-Würmer zu verzeichnen sind.
So war Sasser faktisch nicht nur eine Reinkarnation von Lovesan, sondern schuf selbst, analog Mydoom, ein neues Ziel für Attacken durch andere Würmer.
Plexus
Nach Wurm Nimda (2001) war Plexus der Erste, der zu seiner Verbreitung praktisch alle zugänglichen Methoden nutzte - das globale Netz (analog Lovesan/Sasser), die elektronische Post, P2P-Netze, lokale Netze. In den vergangenen 3 Jahren hat nicht ein einziger Wurm in diesem Umfang die Möglichkeiten genutzt, meist fehlte die eine oder andere Verbreitungsmöglichkeit.
Hier haben wir es mit einem potentiell sehr gefährlichen Schadprogramm zu tun, welches außerdem auf Grundlage der originellen Codes von Mydoom geschrieben ist. Man kann Ähnlichkeiten mit Wurm Sober erkennen, der sich als ein talentierter Plagiator erwies und einige seiner Vorgänger überholte. Bis zum derzeitigen Moment jedoch verbreiteten sich die bekannten Plexus-Variationen nicht weit, aller Wahrscheinlichkeit nach deshalb, weil keine der ursprünglich üblichen Möglichkeiten des Massenversandes genutzt sowie die Methoden des Social Engineering nur spärlich angewandt wurden. Es ist jedoch nicht ausgeschlossen, dass uns in der Zukunft durchaus größere und heftigere Varianten dieses Wurms erwarten, oder andere Würmer mit derart ausgeprägten Verbreitungswegen.
Andere Schadprogramme
Trojaner
Folgende Tendenz ist unter den 'anderen Schadprogrammen', die zur Klasse der Trojaner zählen, zu erkennen:
ein beachtliches Anwachsen der Zahl der Spion-Programme, die geheime Bankinformationen ausspionieren: Derartige neue Programme erscheinen dutzendfach in nur einer Woche. Sie unterscheiden sich voneinander durch ihre Vielfältigkeit und Vorgehensweise. Einige von ihnen nutzen nur eine einfache Sammlung aller über die Tastatur eingegebenen Daten und ihres Versandes über elektronische Post an den Übeltäter. Die Schlimmsten von ihnen ermöglichten dem Autor eine vollständige Kontrolle über die infizierte Maschine, versandten Megabites gesammelter Daten an entfernte Server, um von diesen Befehle für die weitere Arbeit zu erhalten.
das Streben, die totale Kontrolle über die infizierten Computer zu erhalten: Das wird ersichtlich durch die Vereinigung zu Zombie-Netzen, die zentral gesteuert werden. In der Regel werden dazu IRC-Kanäle oder Webseiten genutzt, wo der Autor die Befehle für die Zombie-Maschinen zuvor abgelegt hat. Es gibt kompliziertere Varianten, z.B. viele der Agobot-Varianten vereinen die durch ihn infizierten Computer in ein P2P-Netz.
Das Nutzen der infizierten Maschinen für den Versand von Spam oder für die Organisation von DDoS-Attacken.
Die Trojaner Dropper und Downloader
Diese beiden Programme erfordern eine gesonderte Beachtung:
Ihr Endziel ist absolut identisch - die Installation eines anderen Schadprogramms auf einen Computer, welches sowohl Wurm als auch Trojaner sein kann. Nur die Vorgehensweise ist unterschiedlich. Dropper können ein schon bekanntes Schadprogramm enthalten, und umgekehrt eine neue Version installieren. Außerdem können Dropper gleichzeitig mehrere Schadprogramme installieren, die in ihrem Verhalten völlig unterschiedlich voneinander sind und sogar von verschiedenen Leuten geschrieben sein können.
Dropper sind Archive, die alles Mögliche beinhalten können. Sie werden sehr häufig für das Einschleusen schon bekannter Trojaner benutzt - es ist viel einfacher, einen neuen Dropper zu schreiben als einen Trojaner - und versuchen, ihn für Antiviren unkenntlich zu machen. Ein großer Teil aller Dropper wird über die Skript-Sprachen VBS und JS realisiert, was mit ihrer relativ einfachen Programmierung in diesen Sprachen und ihrer Universalität zu erklären ist.
Downloader werden von den Virenschreibern wegen der oben erwähnten Gründe für Dropper, nämlich der verschlüsselten Installation bereits bekannter Trojaner, gern verwendet. Des Weiteren auf Grund ihres kleinen Ausmaßes im Vergleich zu Droppern, und letztlich wegen der Möglichkeit der Realisierung regulärer Aktualisierungen und neuer Versionen von Trojanern. Auch hier heben sich die Varianten in Skript-Sprachen hervor, wobei in der Regel verschiedene Schwachstellen im Internet Explorer genutzt werden.
Beide Schadprogramme können nicht nur Trojaner auf dem Computer installieren, sondern auch verschiedene adware oder pornware.
Klassische Datei-Viren
Die klassischen Datei-Viren der 90er Jahre des 20. Jahrhunderts sind in der Gegenwart fast vollständig verschwunden. Sie überließen das Kampffeld den Würmern. Derzeit kann man etwa ein Dutzend aktiver Datei-Viren zählen, die aufgrund einer besonders in der letzten Zeit auftretenden Besonderheit ab und zu auf sich aufmerksam machen: der Infizierung mit Viren der Ausführungsdateien der Postwürmer und Versand deren Kopie - gemeinsam mit den durch den Wurm infizierten Briefen - in Form eines besonderen Anhangs. Sehr oft tauchen Exemplare der Postwürmer Mydoom, NetSky oder Bagle auf, die durch Datei-Viren wie Funlove, Xorala, Parite oder Spaces infiziert sind.
Im Großen und Ganzen ist die Gefahr einer globalen Epidemie durch Datei-Viren praktisch gleich Null. Selbst das Auftauchen des ersten Virus', der auf einer Win64-Plattform tätig ist, kann diese Situation in der nahen Zukunft nicht verändern.
Neue Angriffs-Felder
Wenn wir die neuen Möglichkeiten der Schadprogramme beschreiben wollen, kommen wir nicht umhin, ein Anwachsen ihrer Zahl, geschrieben in der Programmiersprache .NET, zu verzeichnen. Die ersten konzeptionellen Viren und Würmer in dieser Sprache erschienen schon vor längerer Zeit. Doch täglich wächst ihre Popularität, was die Aufmerksamkeit der Virenschreiber unabdingbar auf sich zieht.
Linux
Linux-Plattformen bleiben wahrscheinlich nach wie vor Ziel der rootkit-Attacken, wie auch der Attacken einfacher Datei-Viren. Dennoch geht die Hauptgefahr nicht von Viren aus, sondern von den aufgefundenen Schwachstellen in den Programm-Produkten für diese Plattform. Im Prinzip hilft dies den Virenschreibern, ihr Ziel zu erreichen, nämlich die totale Kontrolle über eine große Anzahl von Maschinen im Internet.
Mobile Geräte
Wenden wir uns zum Abschluss den mobilen Geräten zu, wie z.B. den PDA's. Die stetig wachsende Verbreitung des Betriebssystems Windows Mobile 2003, die umfangreichen Möglichkeiten der Kommutation von Daten über das Netz und die Erarbeitung von Dienstprogrammen (.NET framework) - all das führt unumgänglich nicht nur zum Erscheinen von Trojanern (für PalmOS gibt es sie schon), sondern viel gefährlicheren Arten, einschließlich Würmern.
SELFPHP
SELFPHP OHG, info@selfphp.de, Impressum, Kontakt