Wurm verbreitet sich per MySQL
Der Wurm befällt nur Windows-Systeme und verbindet sich anschließend mit einem IRC-Server, sucht aber zudem im Netz auch nach weiteren potenziellen Opfern. Dabei nutzt der Wurm den "MySQL UDF Dynamic Library Exploit", heißt es seitens des SANS ISC(öffnet im neuen Fenster) .
Um dabei aber zum Erfolg zu kommen, muss sich der Wurm als Nutzer "root" bei MySQL anmelden. Dazu ist er mit einer Liste von Passwörtern ausgestattet, die er einfach ausprobiert, um so Zugang zum Server zu erhalten. Anschließend legt er eine Tabelle "bla" in der Datenbank "mysql" an, die bei MySQL standardmäßig vorhanden ist. Die Tabelle füllt er mit einem BLOB-Feld namens "line".
Anschließend schreibt sich der Wurm in die Datenbank, lässt sich dann als Datei namens "app_result.dll" ausgeben und löscht die Tabelle wieder. Er legt zudem eine MySQL-Funktion namens "app_result" an, die dann die zuvor gespeicherte "app_result.dll" verwendet, heißt es in der SANS-Beschreibung(öffnet im neuen Fenster) . Letztendlich führt sich der Wurm selbst aus.
Eine wirkliche Schwachstelle in MySQL wird dabei nicht ausgenutzt, vielmehr zielt der Wurm auf schwache Root-Passwörter in MySQL ab. Daher sollte zum einen ein entsprechend sicheres Passwort verwendet werden, zudem ist es ratsam, nur lokale Zugriffe auf den Root-Account zuzulassen.