Original-URL des Artikels: https://www.golem.de/0107/14958.html    Veröffentlicht: 20.07.2001 13:00    Kurz-URL: https://glm.io/14958

Wurm "Code Red" verbreitet sich rasant im Internet

Wurm nutzt Sicherheitslücke im Microsoft Internet Information Server

Wie Network Associates, ein Hersteller von Antiviren-Software, meldet, verbreitet sich seit gestern ein Internet-Wurm mit dem Namen "Code Red" explosionsartig im Internet. Er macht sich eine Sicherheitslücke im Microsoft Indexing Service zu Nutze, wofür bereits seit über einem Monat ein passender Patch erhältlich ist.

Der Internet-Wurm befällt Systeme mit Windows NT oder 2000, auf denen der Internet Information Server (IIS) 4.0 oder 5.0 ohne installierten Patch läuft. Zwei Stunden nach der Infizierung ersetzt der Wurm auf dem befallenen Servern alle gehosteten Websites mit der HTML-Seite "Welcome to http://www.worm.com ! Hacked by Chinese!", die zehn Stunden später wieder verschwindet.

Der Wurm befindet sich dann aber weiterhin im Speicher und versucht weitere Systeme über das Internet zu infizieren. Zwischen dem 20. und dem 28. eines Monats startet der Wurm eine Denial of Service Attacke auf eine bestimmte IP-Adresse. Dies bedeutet, dass der Wurm große Datenmengen an einen Rechner sendet, damit dieser nicht mehr erreichbar ist.

"Der Wurm nutzt einen bekannten Buffer-Overflow in der ISAPI.DLL des Microsoft IIS sowie des Windows 2000 Indexing Service auf Windows NT und Windows 2000 aus", erklärt Virenexperte Dirk Kollberg von Network Associates. "Er schreibt sich direkt in den Speicher und wird dort automatisch ausgeführt. Der Wurm startet 100 Threads auf der Maschine, die auf zufällig ausgewählten IP-Adressen versuchen, weitere Server zu infizieren. Dadurch ist Code Red äußerst aggressiv."

Microsoft hat bereits vor über einem Monat einen Patch für diese Sicherheitslücke bereitgestellt. Nach der Installation und einem Neustart wird der Wurm automatisch vom befallenen System entfernt. Da sich der Schädling ausschließlich im Speicher befindet und sich nicht auf die Festplatte schreibt, ist er für Virenscanner unsichtbar.  (ip)


© 1997–2020 Golem.de, https://www.golem.de/