Auf den Spuren von Melissas Erschaffern

Artikel veröffentlicht am 31. März 1999, 13:30 Uhr, Christian Klaß

Das Word-Virus Melissa hat die ganze Aufmerksamkeit des FBI und der Netzwelt auf sich gezogen - mittlerweile ist man auf der Hatz nach dem Programmierer und scheint erste Erfolge vorweisen zu können. Ironischerweise scheint eine kontroverse Identifikationsnummer, die Microsoft in die Registrierung integriert hat, bei den Nachforschungen große Dienste zu leisten. Dieser Global Unique Identifier (GUID) wird nur einmal beim Erstellen eines Office-Dokuments erzeugt und ändert sich beim Speichern oder Umbenennen des erzeugten Dokuments nicht mehr. Die GUID ist in jedem System anders, abhängig von der Hardware. Da Melissa und auch die fiesere Exel-Abart Papa mit MS Office erzeugt wurden, lag es nahe, diese Nummer zu überprüfen.

Durch den Vergleich mit den GUIDs von anderen bekannten Makro-Viren, die sich in Word- oder Excel-Dokumenten finden lassen, war es möglich herauszufinden, daß die GUID von Melissa mit denen von "Grovie2", "Shiver" und "PSD2000" übereinstimmt. Da Virenprogrammierer jedoch oft auf Basis schon im Umlauf befindlicher Viren ihren eigenen Code entwickeln, tragen die veränderten Viren, die nicht von Grund auf in einem neuen Dokument entwickelt wurden, die gleiche GUID. So ist es denn auch schwierig, die Programmierer wirklich ausfindig zu machen. Während Grovie2 und Shiver von einem Virenprogrammierer Namens "ALT-F11" stammen, kommt das auf Shiver basierende PSD2000-Virus von "VicodinES", einem Programmierer, der sich jedoch schon vor einigen Monaten aus der Szene zurückgezogen haben soll und dessen andere Viren nicht die gleiche GUID aufweisen.

Nun gibt es also mehrere Möglichkeiten: Entweder hat VicodinES Melissa trotzdem geschrieben, auf Basis eines Virus von ALT-F11. Oder Melissa wurde von ALT-F11 selbst entwickelt. Wesentlich wahrscheinlicher ist jedoch, daß ein noch unbekannter Virenentwickler Melissa auf Basis älterer Viren entwickekt und anschließend verbreitet hat. Ob das FBI mehr Licht ins Dunkel bringen kann, muß sich erst noch zeigen. Die Website, auf denen sich die hier genannten Virenprogrammierer tummeln ist jedenfalls seit kurzem offline, ob dies durch die FBI-Ermittlungen bedingt ist, ist uns noch unbekannt. Das durch Melissa erzeugte Interesse könnte den Souce of Kaos Betreiber auch einfach zum Abschalten des überlasteten Servers gezwungen haben.

Kommentar:
Bei all der Aufregung um Melissa sollte man Microsofts GUID nicht unbedingt als Retter in der Not begreifen - vielmehr zeigt es deutlich die tiefgreifende datenschutzrechtliche Problematik dieser erst vor kurzem bekanntgewordenen Identifizierungsmethode, die Microsoft übrigens bald per Update abschalten will.