1234: Morto-Internetwurm macht sich Allerweltspasswörter zunutze
Ein neuer Wurm für Windows-Rechner nutzt das Remote-Desktop-Protokoll (RDP), um sich zu verbreiten. Das berichten übereinstimmend F-Secure(öffnet im neuen Fenster) und Microsoft(öffnet im neuen Fenster). Der Wurm wird Morto.A oder Morto.B genannt. Das Besondere an dem Wurm ist nicht der Angriff über RDP, auch wenn dieser Angriffsvektor laut F-Secure neu ist, sondern der Umstand, dass keine Sicherheitslücke in Form einer Softwareschwachstelle ausgenutzt wird.
Der Wurm probiert in einem Netzwerk einfach typische unsichere Passwörter durch und verbreitet sich so. Er sucht im Netzwerk Rechner, die per RDP ansprechbar sind. Hat er Erfolg, versucht der Wurm, sich als Administrator anzumelden und probiert einige Passwörter durch. Die Liste der Passwörter ist erstaunlich kurz.
Einfache Passwörter werden ausgenutzt
Zu den Administratorpasswörtern, die Morto durchprobiert, gehören Zeichenfolgen wie 1234, 1111, 888888 und ähnliche unsichere Passwörter. Auch Wörter wie pass, user, test, letmein, password oder admin sind Teil der Passwortliste. Einige Passwörter werden von dem Tastaturlayout bestimmt. Die Angreifer haben offenbar US-Rechner beim Design des Wurms berücksichtigt. Zeichenfolgen wie 1qaz2wsx oder !@#$%^ sind auf einem deutschen Tastaturlayout eigentlich schwer merkbare. Bei einem US-Layout sind die Zeichen in zwei beziehungsweise einer Reihe. Sehr viel Mühe hat sich der Wurmautor offenbar nicht gemacht.
Damit ein Angriff erfolgreich ist, muss der Systemadministrator seine Windows-Rechner für die Nutzung des Remote-Desktop-Protokolls freischalten. Zudem muss er eines der genannten Passwörter nutzen. Die Gefahr ist damit eigentlich gering. Angriffe auf große Institutionen zeigen allerdings, dass hier genug Potenzial vorhanden ist. Zuletzt hat etwa die Verwertungsgesellschaft Gema grundsätzliche Sicherheitsvorkehrungen nicht beachtet und ein kritisches System mit Standardpasswörtern offen gelassen.
Der Wurm blieb möglicherweise lange im Verborgenen
Allerdings gibt es einen Bericht, bei dem ein Rechner geknackt wurde, der das Passwort 2o9yuWaS02 für RDP-Admin-Verbindungen nutzte. Von einer ersten Infektion berichtet ein Opfer in einer Technet-Diskussion(öffnet im neuen Fenster). Bereits am 4. August 2011 kam es zu einer Infektion, der Wurm verbreitet sich also schon länger. Einigen Kommentaren beim niederländischen security.nl(öffnet im neuen Fenster) zufolge soll der Wurm eine Anfang August 2011 geschlossene Sicherheitslücke ausgenutzt haben. Das Internet Storm Center hat über das Wochenende zudem erhöhte Aktivität auf dem RDP-Port beobachtet(öffnet im neuen Fenster). Der Schluss liegt nahe, dass Morto erst jetzt mit seinen Aktivitäten beginnt und zuvor nur eine Grundverbreitung erreichen wollte.
Die verwendeten Passwörter sind in der Microsoft-Encyclopedia(öffnet im neuen Fenster) und im Blogeintrag von F-Secure(öffnet im neuen Fenster) zu finden. Beide Listen ergänzen sich. Möglicherweise sind sie aber nicht vollständig. Außerdem sind weitere Varianten von Morto zu erwarten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.