Viren sind immer unterwegs

Neuster Virus: Sasser

Seit dem 1. Mai grassiert wieder ein neues Virus namens Sasser im Internet (eigentlich ist es richtig formuliert ein Wurm, aber der Einfachheit halber bleiben wir bei dem Begriff Virus). Radio und Fernsehen berichten schon darüber. Es ist so gefährlich, weil es durch viele Virenscanner durchflutscht, die keine Firewall Funktionalitäten haben, da es kein normaler Datei-Virus oder Email-Virus ist, sondern er schleicht sich über Ports ein, also ohne dass man was anklicken muss. Ähnlich wie der Blaster Virus vor ca. einem Jahr. Das bedeutet aber auch, daß ein Virenscanner, der nur E-mails überprüft auch keine Meldung bringt.

Der sichererste Schutz vor Port-Viren dieser Art sind Firewalls. Eine Firewall sollte unbedingt auf jeden Rechner eingerichtet sein. Denn ein Port Virus kann sich sonst einschleichen, lediglich durch die Tatsache, dass der Rechner im Internet ist. Es muss noch nicht mal irgendein Programm laufen, wie z.B. Internet Explorer oder ein Mail Client.

Deshalb sollte unbedingt eine Firewall installiert sein. Z.B. ZoneAlarm etc.

AVM !KEN hat z. B. von Haus aus eine Firewall, man sollte es halt aktiviren. Neue Fritz-Versionen ebenfalls.

Technische Details zum Sasser Virus:

W32/Sasser-D ist ein Netzwerkwurm, der sich verbreitet, indem er die Microsoft LSASS Schwachstelle an Port 445 ausnutzt, der aus dem Internet angesteuert werden kann. Dies betrifft die meisten Windows-Versionen. Der Sasser-Wurm kann jedoch, soweit bekannt, nur Windows XP- und Windows 2000-Betriebssysteme infizieren. Informationen und Patches von Microsoft finden Sie hier.

Wenn er erstmals ausgeführt wird, kopiert sich W32/Sasser-D mit den Dateinamen skynetave.exe in den Windows-Ordner und erstellt den folgenden Registrierungseintrag, so dass der Wurm automatisch beim Start von Windows aktiviert wird:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
skynetave.exe = %WINDOWS%\skynetave.exe

Im C:\ Stammordner wird eine harmlose Textdatei namens win2.log erstellt.

Port 445 ist der Port für Netbios over TCP. Damit hat er Zugang zu den freigegebenen Ressourcen des Rechners und kann Dateien installieren. Natürlich nicht so ohne weiteres, sondern nur durch einen sogenannten Buffer Overflow, also bösartigen Code, der den Stackspeicher des Betriebssystems überschreibt.
Wenn man Netbios over TCP bei seinem Rechner deaktiviert hat, was auch Sinn macht, denn man benötigt es eigentlich nicht, es wird aber standardmäßig von Windows aktiviert, dann ist der Rechner auch sicher vor dem Sasser Virus, da Windows dann nicht mehr auf dem Port 445 lauscht.

Was macht der Sasser-Virus eigentlich? Erst mal gar nichts, außer dass er ein Programm auf dem Rechner installiert und in den Autostart packt. Und mit dem Programm lässt sich der Rechner von außen fernsteuern....

Die meisten Anti-Viren Software-Hersteller haben inzwischen kostenlose Scanner und Entfernungsprogramme speziell für das Sasser-Virus.

z.B. auf der Homepage von Symantec. Dort finden sich auf weitere Infos zum Sasser-Virus.

Oder bei Sophos: Hier die Download-Seite: http://www.sophos.com/support/disinfection/sasser.html

Einen kompletten und für den privaten Gebrauch kostenlosen Virenscanner finden Sie bei H+BEDV Datentechnik GmbH. Man muß diesen aber immer von Hand über das Internet aktualisieren.

Achtung: Neuer Netsky-Wurm gibt sich als Heilmittel gegen Sasser-Wurm aus: Die E-Mails, die von Netsky-AC generiert werden, verfügen über einen gefälschten Anhang, der angeblich von einem Antiviren-Unternehmen stammt und ein Sicherheitspatch gegen den Sasser-Wurm enthält. Weitere Infos bei Sophos

Auch wenn jene, die das Sasser-Virus verbreitet haben nun identifiziert sind, heißt das nicht, daß keine Gefahr mehr besteht. Das Virus ist im Internet noch immer unterwegs. Außerdem es gibt immer wieder neue Viren und Würmer etc.

Deshalb: Aktuelle Servicepacks und Sicherheitspatches für Windows installieren, aktuellen Virenscanner auf den PC, und dafür sorgen, daß niemand von außen in Ihren PC eindringen kann (Firewall). Letzteres gibt es als Hardware und auch als Software-Lösung (siehe oben).

(Hinweis: Ich bin mit oben genannten Firmen nicht verbunden. Ich verweise lediglich auf deren Homepages und bin für den Inhalt nicht verantwortlich. Ich kann keine Garantie für die Vollständigkeit und Richtigkeit der Angaben geben.)