Rubrik: Markt/Hintergrund

Kaspersky Labs: Helkern-Epidemie: Eine Chronologie der Ereignisse

Dieser Wurm hat die Verwundbarkeit des Internets als Ganzes vorgeführt

(08.02.03) - Man kann mit Sicherheit behaupten, dass "Helkern" schon lange vor dem 25. Januar aufgetaucht ist, als die Antiviren-Entwickler und die Presse von diesem Ereignis berichtet haben. Zum ersten Mal wurden Datenpakete, welche den Wurmkopien ähnelten, am 20. Januar 2003 um 20:07 MEZ von Kaspersky Labs entdeckt. Abgeschickt wurden die Daten von einem Computer, der einem amerikanischen Provider gehörte und dessen Server höchstwahrscheinlich von Hackern infiziert wurde. Deshalb kann sich die Wahrheit über die Herkunft des Wurms in den Reportdateien der Aufrufe dieses Servers verstecken.

Etwas später am selben Tag wurde Helkern in Daten, die von einem niederländischen Server verschickt wurden, entdeckt. Anschießend tauchte der Wurm bis zum 23. Januar um 21:21 (MEZ) unter. Zu diesem Zeitpunkt konnte noch eine Wurmkopie in Daten eines weiteren Servers in den Niederlanden registriert werden. Eine plötzliche Hyper-Aktivität entfaltete Helkern erst in der Nacht vom 24. auf den 25. Januar. D.h. die Inkubationszeit dieses Wurms beträgt fast fünf Tage. Diese Zeit benötigte die Malware, um eine kritische Anzahl Server infizieren und damit eine Kettenreaktion hervor zu rufen.

Nach anderen Angaben befand sich das Epizentrum der Epidemie in China, von wo aus der Wurm in Server in Südkorea und in den Philippinen eindrang. Danach erreichte Helkern den westlichen und zentralen Teil der USA und teilte sich in zwei Ströme: Der erste verlief Richtung Australien und Neuseeland, der zweite Richtung Westeuropa.

Die geographische Verbreitung des Wurms sieht folgendermaßen aus:

Land                      Anzahl infizierter Server

(in % gemessen an der Gesamtzahl der Infizierungen)

USA                       48,4%

Deutschland           8,2%

Südkorea                4,9%

Großbritannien       4,9%

Kanada                    4,9%

China                       3,3%

Niederlande           2,7%

Taiwan                    2,7%

Griechenland        2,2%

Schweden               2,2%

Wie der Tabelle zu entnehmen ist, verbreitete der Wurm sich fast über die ganze Welt. Das belegt wieder einmal die Unzulänglichkeit der Idee einer virenähnlichen Cybernetz-Waffe. Diese hat die Eigenschaften eines Bumerangs, was sie für militärische Ziele unbrauchbar macht.

Bis zum 27. Januar wurde die Epidemie praktisch neutralisiert und die normale Funktionsfähigkeit des Internets wiederhergestellt. Im Internet werden noch regelmäßig Kopien von Helkern registriert, doch ihre Anzahl ist um Hunderte Male kleiner als auf dem Gipfel der Aktivität des Wurms. Insgesamt kann ihre Anwesenheit im Internet-Verkehr zu keinen Störungen mehr führen. Für die Neutralisierung des Wurms waren die gemeinsamen Handlungen der Internet-Provider sicher hilfreich, welche eine Filtrierung der schädlichen Pakete Helkerns integriert haben und der User, welche den Patch für die Schwachstelle im Sicherheitssystem des Microsoft SQL-Servers installiert haben.

Die Helkern-Epidemie ist einer der größten überhaupt

Die Helkern-Epidemie ist nicht nur was die Anzahl der infizierten Server (etwa 80.000), die Ausbreitung und die Verbreitungsgeschwindigkeit betrifft, sondern auch was die Folgen für das Funktionieren des Internet insgesamt angeht, eine der größten überhaupt. Zuvor hat kein anderer Schädling gedroht, das Internet in seine einzelnen Bestandteile aufzusplittern und die Kommunikation zwischen den verschiedenen Regionen lahm zu legen. Helkern gelang dies problemlos: Ernsthafte Funktionsstörungen und reihenweise Ausfall des Internets wurden in den USA, in Südkorea, Australien und Neuseeland registriert. Nach Angaben von Kaspersky Labs hat Helkern auf dem Gipfel der Epidemie (25.01.2003) eine Verlangsamung des Internets bis zu 25 Prozent hervorgerufen. Dies bedeutet, dass auf jede 4. Web-Seite kein Zugriff möglich war, bzw. dieser stark erschwert wurde. Ähnliche Störungen sind auch auf anderen Services aufgetreten, welche über das Internet laufen, wie z.B. E-Mail, FTP-Services und Messengers.

Ist Helkern ein einzelner Fall einer unbeabsichtigten Attacke? Oder handelt es sich dabei um eine weitere Tat von Cyber-Terroristen zur Feststellung der "besten" Schwachstellen des Internet, um einen Zusammenbruch des Internets hervorzurufen? Wie sehen die Folgen dieser Epidemie für die Zukunft des Internets aus? Zur Zeit beunruhigen solche Fragen jeden Internet-User.

Zunächst ist es notwendig, die reale Gefahr von Helkern einzuschätzen. Einerseits attackiert er nur Server, sodass der überwiegende Teil der Internet-User sich sicher fühlen kann. Wenn auf dem Computer kein Steuerungssystem für die Datenbanken von Microsoft SQL-Server installiert ist, dann kann dieser Wurm keinen Schaden zufügen. Doch andererseits können die Ausmaße der Verbreitung von Helkern und die Vervielfachung des Datenverkehrs Störungen des gesamten Internets zur Folge haben. Daran haben dann wiederum alle Internet-User zu leiden.

Sorgen für die Zukunft

Eine ernsthafte Besorgnis über die Zukunft des Internets ruft nicht so sehr Helkern selbst hervor, wie die Bewährung der Technologie zu einer blitzartigen Verlangsamung des Internets. Es ist überaus wahrscheinlich, dass bereits in allernächster Zukunft die Ausgangstexte des Wurms auf spezialisierten Viren-Homepages und Foren erscheinen und dann der Computer-Underground gezielt Helkern "klont". Es werden dann neue Wurm-Modifikationen entwickelt, welche sich wahrscheinlich noch schneller verbreiten und destruktive Wirkungen haben. Die Folgen eines solchen Ereignisses und der Schaden, der dabei der Weltwirtschaft zugefügt wird, kann nicht abgesehen werden.

Die Helkern-Epidemie ruft eine weitere Besorgnis hervor. Die Attacke dieses Wurms hat die Verwundbarkeit des Internets als Ganzes vorgeführt. Sie hat auch eine Schwachstelle deutlich gezeigt, über welche das gesamte Internet lahmgelegt werden kann. Es geht hier natürlich um die Ausnutzung von Schwachstellen in den Sicherheitssystemen, über welche die Viren ungehindert auf die Computer vordringen können. Die Dinge stehen in diesem Bereich nicht gerade zum Besten. Es ist allgemein bekannt, dass es keine absolut sichere Software gibt. Tag für Tag werden bis zu zehn Schwachstellen in den verschiedensten Betriebssystemen und Anwendungen entdeckt, deren Entwickler dann schnell die entsprechenden Patches zur Verfügung stellen. Die Schwäche dieses Systems ist wie oft der menschliche Faktor. Viele Systemadministratoren installieren diese Patches ziemlich selten und machen ihre Netzwerke zu einer leichten Beute für neue Schädlinge. Helkern hat ein deutliches Zeugnis dafür abgelegt, wie effizient solche Mängel benutzt werden können. Die zentrale Gefahr besteht darin, dass niemand mehr die Virenautoren daran hindern kann, neue Internet-Würmer zu schreiben, welche gezielt diese Schwachstellen ausnutzen. Die Büchse der Pandora ist geöffnet worden und niemand kann mehr die destruktiven Kräfte aufhalten. Wenn man das Problem von einer anderen Seite betrachtet, dann genügt die Anzahl dieser Schwachstellen durchaus, um in den nächsten paar Jahren jeden Tag neue Würmer des Typs Helkern in den Umlauf zu bringen. Bei einer solchen Entwicklung wird das Internet sowohl für die Geschäftskommunikation als auch zur Unterhaltung oder als Informationsquelle ungeeignet.

Die Technologie des Wurms "Warhol" (auch bekannt als Flash-Wurm)

Die Antiviren-Experten von Kaspersky Labs haben die Gefahr einer solchen Entwicklung schon vor einigen Jahren vorausgesehen, als die ersten unsichtbaren Würmer ("BubbleBoy" und "KakWorm") auftauchten, welche über Schwachstellen in den Sicherheitssystemen auf die Computer vordrangen. Bis vor Kurzem waren diese Informationen einem engen Kreis an Experten vorbehalten, welche sie absichtlich nicht weitergaben, damit sie nicht in die Hände von Virenautoren gerieten. Doch im August 2001 veröffentlichte Nicholas Weaver von der Berkeley-Universität eine Untersuchung über die Technologie des Wurms "Warhol" (auch bekannt als Flash-Wurm), welcher sich in 15 Minuten über die ganze Welt verbreiten kann. Dieser Wurm erhielt seine Bezeichnung wegen einer Aussage von Andy Warhol, dass "in Zukunft jeder die Möglichkeit haben wird, 15 Minuten lang Ruhm zu genießen". Deshalb ist diese Technologie nun allgemein bekannt und wir haben die (zweifelhafte) Ehre zu beobachten, wie aktiv sie von den Virenautoren genutzt werden wird.

In diesem Zusammenhang taucht die Frage auf, ob Helkern nicht ein weiterer Schritt zur Sondierung des Internets auf Schwächen ist, um dann die nächste großangelegte Attacke gegen das Internet durchzuführen? Wir sind weit entfernt zu glauben, dass es sich dabei um eine Verschwörung einer Terroristen-Organisation im Untergrund handelt. Wahrscheinlicher handelt es sich dabei um Cyber-Rowdytum handelt, und zwar um ein Rowdytum bei den Motiven und der Realisierung, doch um Terrorismus in den Ergebnissen. Diese zwei Begriffe werden gewöhnlich nach Ausmaß der Folgen auseinandergehalten. In diesem Fall, wenn es um ein absichtliches Lahmlegen des globalen Kommunikationsmittels geht, können und müssen solche Handlungen allerdings als Cyber-Terrorismus bezeichnet werden. Wir sind der Ansicht, dass die Situation ohne adäquate Maßnahmen zur Abwehr und Vorbeugung außer Kontrolle geraten und die ganze Existenz des Internets in Zweifel ziehen kann.

Doch in den modernen Bedingungen können keine genauen Voraussagen gemacht werden. Auf dem heutigen Standard-Identifikationssystem für die Internet-User, welches nur als anarchistisch bezeichnet werden kann, kann prinzipiell kein effizientes System zur Entdeckung und Abwendung von Virenepidemien eingerichtet werden. Wenn Epidemien auftauchen, ist es fast unmöglich deren tatsächliches Epizentrum ausfindig zu machen. Eine Ausnahme bilden Fälle, in denen der Virenautor sich selbst verrät (meistens unabsichtlich). Bei einer größeren Verbreitung der Malware müssen zur Verhinderung der weiteren Verbreitung ganze Regionen vom Internet getrennt werden. Insgesamt können diese Maßnahmen von keinem Erfolg gekrönt sein, weil die zahlreichen Schwachstellen sooft als möglich "geflickt" werden, doch weitere Attacken nicht verhindert werden können. Eigenlicht versuchen wir zur Zeit mit den Folgen und nicht mit den Gründen des Problems fertig zu werden. Dabei haben die Folgen bereits ein Ausmaß angenommen, bei dem es billiger, schneller und letztendlich effizienter ist, mit dem Grund fertig zu werden.

Anarchie im Internet

Wie bereits erwähnt, liegt der Grund für die Unmöglichkeit den Virenattacken effizient zu begegnen in der Anarchie, die im Internet herrscht. Es liegt auf der Hand, dass der Mensch, wenn er sicher ist, dass er nicht ausfindig gemacht werden kann, eher der Versuchung unterliegen kann, das Internet zu missbrauchen. Andererseits ist eine Reformierung des Internets zur Behebung dieser Situation (Einführung von Personen-Identifikation) praktisch unmöglich. Ein solcher Prozess berührt außerordentlich komplizierte politische und wirtschaftliche Probleme auf internationaler Ebene, welche unter den gegenwärtigen Bedingungen nicht lösbar sind. Von daher ist eine Entwicklung völlig wahrscheinlich, bei der große internationale Unternehmensgruppen ein paralleles Netzwerk entwickeln, die gesamte Geschäftskommunikation auf dieses Netzwerk übertragen und dabei die Internet-Verbindungen einschränken. In einem solchen Fall, kann ein neuer Standard schnell und einfach entwickelt werden.

Zusammenfassend ist zu bemerken, dass große Virenepidemien wie die von Helkern sich in Zukunft wiederholen werden. Es ist nicht auszuschließen, dass sie immer häufiger auftreten. Im Ergebnis wird die Benutzung des Internets so erschwert (ständige Störungen infolge Viren- und Hacker-Attacken), dass die User gezwungen sein werden, auf andere Kommunikationsmittel überzugehen. Es ist eine Binsenweisheit, dass die Post und das Telefon keine so bequeme Kommunikation bieten können, wie das Internet. Deshalb ist die Entwicklung eines alternativen Netzwerks, das sich hauptsächlich durch eine hohe Zuverlässigkeit und Sicherheit auszeichnet, überaus aktuell. (ma)

Kaspersky Labs

Tel. (007-095) 9485650; Fax (007-095) 9484331

Web: www.kaspersky.com