Erster Wurm nutzt neue Windows-Lücke aus

Am Mittwoch kündigte Microsoft an, dass ein außerplanmäßiges Update für Windows veröffentlicht werden soll, das eine kritische Sicherheitslücke schließt. Nachdem der Patch am Donnerstag freigegeben wurde, kursiert nun der erste Wurm. Sicherheitsexperten sichteten bereits gestern den öffentlichen Exploit-Code, der jetzt vom Schädling "Gimmiv.A" genutzt wird. Er befällt ungeschützte Systeme und sucht von dort aus nach weiteren Rechnern, die ebenfalls nicht geschützt sind und greift diese an, um sie ebenfalls zu infizieren. Alle gängigen AntiViren-Programme sollten den Wurm inzwischen erkennen.

Gimmiv.A sucht auf den infizierten Rechnern nach Daten und sendelt diese in verschlüsselter Form an einen Server. Dazu gehören Benutzername, Computername, IP- und Mac-Adresse, diverse Passwörter sowie eine Liste installierter Software und Windows-Patches.

Die Sicherheitslücke, die von Gimmiv.A ausgenutzt wird, existiert in den Windows-Versionen 2000, XP, Server 2003, Vista und Server 2008. Betroffen ist der RPC-Dienst, der beliebigen Code ausführt, wenn eine speziell präparierte Anfrage eingeht. RPC (Remote Procedure Call) dient der Ausführung von Unterprogrammen auf anderen Computern im gemeinsamen Netzwerk.

Das besondere an der neuen Lücke ist die Möglichkeit, Unterprogramme ohne vorherige Zustimmung des Nutzers auszuführen. Hinzu kommt, dass sie praktisch eine Automatisierung der Interaktion über das Netzwerk erlaubt, das Ganze verhält sich fast wie eine selbst-replizierende Schadsoftware oder ein mit Würmern ausnutzbarer Exploit. Grundsätzlich erlaubt die Schwachstelle einem Angreifer die Ausführung beliebigen Codes ohne das Wissen des Nutzers.

Dies gilt allerdings nur für die älteren Windows-Versionen in dieser uneingeschränkten Form. Im Fall von Windows Vista und Windows Server 2008 ist ein Angriff nicht ohne die entsprechenden Login-Daten möglich. Microsoft stuft die Schwachstelle deshalb bei Vista und Server 2008 nicht als "kritisch", sondern als "wichtig" ein. Dies bedeutet jedoch nicht, dass die Lücke nicht ebenfalls ausgenutzt werden könnte.

Weitere Informationen: Microsoft Security Bulletin MS08-67