SirCam-Wurm verbreitet sich beständig weiter

Auch Code-Red-Wurm konnte nicht eingedämmt werden. Vor wenigen Tagen tauchte der SirCam-Wurm im Internet auf und treibt seitdem weiter tatkräftig sein Unwesen. Gleiches gilt für den kurz zuvor entdeckten Code-Red-Wurm, der vor allem Netzwerke befällt und sich seitdem munter quer über den gesamten Globus verbreitet.

26. Juli 2001 um 10:46 Uhr / Ingo Pakalski

Anders als bei den Melissa- oder I-Love-You-Abarten verschwand der SirCam-Unhold nicht nach kurzer Zeit wieder in der Versenkung, sondern verbreitet sich munter weiter. Und das, obwohl alle Hersteller von Anti-Viren-Software ihre Virensignaturen bereits aktualisiert haben und den Bösewicht beseitigen können.

Anders als bisherige E-Mail-Würmer versendet der SirCam-Wurm nicht nur sich selbst, sondern auch Dateien aus dem System-Verzeichnis "Eigene Dateien", an die sich der Schädling anhängt. Er pickt sich eine derart präparierte Datei heraus und hängt diese an die zu versendende E-Mail. Dadurch können auch vertrauliche Dokumente nach außen gelangen. Auch in der Redaktion von Golem.de trafen in den letzten Tagen zahlreiche vom SirCam-Wurm verseuchte E-Mails ein.

Der Virus versendet sich dabei mit wechselnder Betreffzeile, die den Namen der im Anhang enthaltenen Datei trägt. Der Nachrichtentext kann in englischer oder spanischer Sprache sein, wobei uns der letzte Fall bisher nicht unterkam. Die erste Textzeile lautet immer
"Hi! How are you?"
während die Nachricht mit
"See you later. Thanks"
endet. Die spanische Version beginnt hingegen mit der Zeile
"Hola como estas ?"
und hört mit
"Nos vemos pronto, gracias."
auf. Dazwischen fügt der Wurm noch einen weiteren sich ändernden Satz ein.

Wie Symantec berichtet, kann es in einigen Fällen auch passieren, dass der Wurm am 16. Oktober die C-Partition löscht, wenn das Datumsformat auf D/M/Y eingestellt ist. Unabhängig davon füllt der Wurm häufig zudem die C-Partition mit Datenmüll, indem beliebiger Inhalt an die Datei c:\recycled\sircam.sys angehängt wird.

Auch der Code-Red-Wurm verbreitet sich rasant, nutzt dazu aber zahlreiche Unternehmens-Netzwerke. Er macht sich eine seit über einem Monat gestopfte Sicherheitslücke im Internet Information Server (IIS) zu Nutze. Die Web-Site Caida.org analysiert Internet-Daten und hat eine QuickTime-Animation veröffentlicht, die zeigt, mit welcher Geschwindigkeit sich der Wurm innerhalb kurzer Zeit verbreitet hat. In Spitzenzeiten soll der Wurm über 2.000 Server pro Minute infiziert haben.

Da sich der Code-Red-Wurm nur im Speicher aufhält und sich nicht auf die Festplatte schreibt, trickst er viele Virenscanner aus. Anderseits lässt er sich dadurch schon mit der Einspielung des Patches vernichten, um so den Spuk zu beenden.