Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

162 Kapitel 6: Dienste
Blaster-Wurm
Der wahrscheinlich bekannteste Angriff auf einen Windows-Dienst war der sogenannte
Blaster-Wurm (http://support.microsoft.com/kb/826955) im Jahr 2003. Blaster griff eine
bekannte Pufferüberlaufverwundbarkeit im Windows-DCOM-RPC-Dienst von Windows
2000- und Windows XP-Computern an. Die Sicherheitslücke war zwar bekannt und es stand
ein Microsoft-Sicherheitsupdate zur Verfügung, aber ein großer Teil der Windows-Computer
wurde nicht entsprechend aktualisiert. Diese mangelhafte Wartung wurde durch die fälschliche
Annahme ergänzt, dass »richtig konfigurierte« Grenzfirewalls verhindern könnten,
dass der Blaster-Wurm in Unternehmensnetzwerke eindringt.
Der Blaster-Wurm stellte eine Verbindung zum DCOM-RPC-Dienst auf TCP-Port 135 her
und leitete einen Pufferüberlaufangriff ein. Wenn der Dienst den Überlauf verursachte, bekam
der Blaster-Wurm SYSTEM-Zugriff auf das kompromittierte System. Er startete daraufhin
eine neue Shell auf TCP-Port 4444 und lud über TFTP auf UDP-Port 67 den Rest des
Wurms herunter. Das Trojanische Pferd baute sich selbst erneut in einer Datei namens
Msblaster.exe zusammen, die es in einen der Autostartpfade der Registrierung eintrug. Der
Wurm startete schließlich den Computer neu und begann, über den befallenen Host andere
Computer zu infizieren.
Als Blaster zum ersten Mal gemeldet wurde, reagierten viele Organisationen recht träge,
weil allgemein angenommen wurde, dass eine richtig konfigurierte Grenzfirewall (die keine
eingehenden Zugriffe auf TCP-Port 135 erlaubte) Blaster-Infektionen auf lokalen Computern
verhindern würde. Aber dann wurden infizierte Computer über VPNs an das Unternehmensnetzwerk
angeschlossen, und extern infizierte Notebooks wurden in das »geschützte«
Unternehmensnetzwerk eingebunden, sodass Blaster sich auf allen Unternehmenscomputern
ausbreiten konnte, die keine Sicherheitsupdates eingespielt hatten. Ein einziger infizierter
Computer verbreitete den Wurm schnell auf alle verwundbaren Computer im Netzwerk.
Blaster schaffte es, Hunderttausende verwundbarer Computer innerhalb weniger Stunden zu
befallen.
Die Reparaturmaßnahmen wurden dadurch erschwert, dass einige Tage später ein verwandter
Wurm namens Nachi (http://support.microsoft.com/kb/826234) entwickelt wurde. Dies
war ein fehlgeleiteter Versuch, verwundbare PCs zu aktualisieren. Dieser Wurm infizierte
verwundbare Computer auf dieselbe Weise wie Blaster, versuchte dann aber, das Sicherheitsupdate
zu installieren, das die Blaster-Infektion verhinderte. Dummerweise wurde Nachi
ein Paradebeispiel, warum niemals automatisierte Malware eingesetzt werden sollte, um
Computerprobleme ohne die ausdrückliche Zustimmung des Computerbesitzers zu beseitigen.
Nachi wies praktisch jeden verwundbaren Computer in einem Netzwerk an, ein Sicherheitsupdate
herunterzuladen. Das machten dann alle Computer gleichzeitig, was die Netzwerkressourcen
überlastete. Und beim Installieren des Updates machte er einen Fehler, sodass
das System, das er zu schützen versuchte, in einem verwundbaren Zustand zurückblieb.
Ironischerweise war Nachi letztlich für mehr Probleme und Ausfallzeit verantwortlich als
der Blaster-Wurm, vor dem es schützen sollte.
Microsoft nahm in der Zeit nach Blaster deutliche Änderungen an seinen Verfahren vor. Es
wurde beschlossen, Sicherheitsupdates entschlossener auf die Computer zu verbreiten und
diesen Vorgang zu automatisieren. Windows-Benutzer nutzten zwar schon länger Windows
Update und andere Updateclients (seit Windows 98), aber Microsoft entwickelte und verbreitete
noch leistungsfähigere automatische Updatedienste, darunter verbesserte Versionen
von Automatische Updates. Außerdem stellte es das kostenlose SUS/WSUS (Software