Slammer: Wurm verbreitet sich schneller als Code Red

"SQL Slammer" verursacht enormen Internet-Traffic

Anti-Viren-Hersteller, Computer-Sicherheitsunternehmen und auch Microsoft warnen vor einem neuen Wurm, der sich offenbar rasant im Internet ausbreitet. Der Wurm "SQL Slammer" nutzt eine Sicherheitslücke bei Microsofts SQL Server und greift von infizierten Systemen aus per Zufall andere Systeme im Internet an. Dabei verursacht der Wurm einen enormen Traffic. Internet Security Systems berichtet von mehreren Milliarden Angriffen durch Slammer in nur zwölf Stunden.

Artikel veröffentlicht am 26. Januar 2003, 15:08 Uhr, Jens Ihlenfeld

Das Anti Virus Emergency Response Team (AVERT) von Network Associates stuft den kürzlich entdeckten Wurm als äußerst gefährlich ein, obwohl der Wurm keine direkte Schadroutine enthält. Allerdings verursacht Slammer einen extrem hohen Traffic, der laut ISS bei einigen großen ISPs zu erheblichen Problemen geführt habe.

Matrix Net Systems - Paktverluste durch Slammer

Slammer nutzt eine Sicherheitslücke von Microsofts SQL 2000 Server, für den bereits seit Oktober 2002 ein Patch bereitsteht, und generiert einen enormen Datenverkehr über UDP Port 1434, wodurch die Betreiber der Server mit nicht unerheblichen zusätzlichen Kosten rechnen müssen. Der Wurm sucht und infiziert weitere SQL Server und dehnt sich dadurch sehr schnell aus. Weltweit sind laut NAI bereits viele Unternehmen und Tausende von Servern infiziert.

Slammer verbreitet sich dabei schneller als "Code Red" und belastet durch die von ihm generierte Datenlast die Performance des Internet, so NAI. Beeinträchtigungen seien derzeit vor allem im Bereich von VoIP-Verbindungen und bei Downloads aus dem Internet festzustellen.

Der Wurm verursacht einen Buffer Overflow und gewinnt damit die Kontrolle über den Server, der jeweils Ziel des Angriffs ist. Microsoft SQL Server 2000, die bereits mit dem Service Pack 3 ausgestattet sind, sind von Slammer nicht betroffen. Selbst ist Slammer nur 376 Bytes groß.

Ähnlich wie der CodeRed.A-Wurm aus dem Jahre 2001 hinterlässt Slammer keine Spuren auf der Festplatte und ist nur im Speicher aktiv. Für konventionelle Virenscanner sei es daher unmöglich, auf Dateiebene nach dem digitalen Schädling zu suchen und damit den Wurm zu erkennen, warnt NAI. Das Unternehmen bietet zur Erkennung und Bereinigung von infizierten Rechnern eine aktualisierte Version des Stand-Alone Remover Utility "Stinger" an. Sie steht unter vil.nai.com/vil/stinger kostenlos zum Download zur Verfügung. Administratoren wird aber dennoch dringend ein Update ihrer Server mit dem Servicepack 3 für MS SQL 2000 Server und ein anschließender Neustart der Server empfohlen.

Laut Matrix Net Systems, die weltweit Internet-Verkehr überwachen, sind insbesondere die USA und Hongkong durch die Slammer-Attacke betroffen. Zu Beginn der Attacke seien über 30 Prozent des globalen Internet-Traffics verloren gegangen, mittlerweile habe sich die Situation aber wieder deutlich entspannt.