Ein Wurm ist ein Schadprogramm, das sich über das Netz oder über Nachrichten weiterverbreitet, ohne dass für jede Kopie ein Mensch die Datei neu anstoßen muss.
Er unterscheidet sich vom Trojaner, der auf das Öffnen angewiesen bleibt.
Die Wirkung reicht vom Verbrauch der Netze bis zur mitgebrachten Schadfunktion.
Geschichte der Würmer
Würmer gehören zu den frühen Formen selbstständiger Schadsoftware im Netz.
Zwei bekannt gewordene Fälle zeigen die Spannweite von einem Fehler in einem Dienst bis zu einer Nachricht, die Menschen öffnen.
Beide machten deutlich, dass Verbreitung und Wirkung getrennt betrachtet werden müssen.
Der Morris-Wurm
Der Morris-Wurm nutzte Schwächen in Diensten des frühen Internets und verbreitete sich von System zu System.
Die Ausbreitung selbst belastete die betroffenen Rechner so stark, dass sie ihre gewöhnliche Arbeit nicht mehr leisteten.
Der Fall zeigte, dass ein sich selbst kopierendes Programm auch ohne weitere Absicht großen Schaden anrichtet.
Der ILOVEYOU-Wurm
Der ILOVEYOU-Wurm reiste als Nachricht mit einem Anhang, den Empfänger öffneten.
Danach überschrieb er Dateien und verschickte sich an weitere Adressen aus dem Adressbuch.
Die Verbreitung nutzte Vertrauen in eine persönliche Nachricht, nicht einen Fehler eines offenen Dienstes.
Wie Würmer funktionieren
Ein Wurm braucht einen Weg der Ausbreitung und eine Nutzlast, die auf dem erreichten System ausgeführt wird.
Beides kann im selben Programm stecken.
Die Abwehr muss den Weg schließen und die bereits erreichten Systeme bereinigen.
Ausbreitung
Ausbreitung erfolgt über erreichbare Dienste mit einer Lücke oder über Nachrichten und Dateien, die weitere Empfänger anstoßen.
Je automatischer der Weg, desto weniger muss der Wurm auf einzelne Klicks warten.
Ein geschlossener Dienst oder eine blockierte Dateiart unterbricht genau diesen Schritt.
Nutzlast
Die Nutzlast ist das, was der Wurm neben der Verbreitung tut, etwa Dateien verändern, Zugänge legen oder Ressourcen verbrauchen.
Manche Würmer haben als sichtbare Wirkung vor allem die Ausbreitung selbst.
Die Bereinigung muss die Nutzlast entfernen, nicht nur die weitere Verbreitung stoppen.
Arten von Würmern
Nach dem Weg unterscheidet man Würmer, die über E-Mail laufen, und solche, die Dienste im Netz direkt ansprechen.
Die erste Art braucht meist eine Handlung des Empfängers, die zweite einen erreichbaren fehlerhaften Dienst.
Mischformen nutzen beide Wege nacheinander.
E-Mail-Würmer
E-Mail-Würmer versenden sich an Adressen, die sie auf dem befallenen System finden, und tarnen den Anhang als harmlose Datei.
Filter, die gefährliche Dateiarten sperren, und das Nicht-Öffnen unerwarteter Anhänge unterbrechen sie.
Ein kompromittiertes Adressbuch macht die nächste Welle glaubwürdig.
Internetwürmer
Internetwürmer suchen erreichbare Systeme mit einem bestimmten Dienst und setzen sich dort ohne vorherige Nachricht fest.
Sie laufen, solange dieser Dienst in einer verwundbaren Fassung aus dem Netz erreichbar ist.
Das Trennen oder Aktualisieren des Dienstes ist die direkte Gegenmaßnahme.
Verhinderung und Eindämmung von Würmern
Eindämmung trennt befallene Systeme, schließt den genutzten Weg und spielt die Behebung auf den noch gesunden Bestand aus.
Parallel werden Sicherungskopien geprüft, falls die Nutzlast Daten verändert hat.
Erst wenn keine neuen Infektionen mehr auftreten, gilt die Welle als gestoppt.
Software-Updates
Software-Updates schließen die Lücke, über die ein Internetwurm Systeme erreicht.
Sie müssen auf allen erreichbaren Exemplaren des Dienstes liegen, nicht nur auf den auffälligen.
Ein Aufschub an einer offenen Stelle genügt, damit die Welle dort weiterläuft.
Antivirus-Software
Antivirus-Software erkennt bekannte Würmer an Merkmalen und am Verhalten, etwa am massenhaften Versand oder am Ansprechen vieler Adressen.
Sie hilft auf den Endgeräten und im Mailweg.
Einen noch unbekannten Wurm auf einem ungepatchten Dienst ersetzt sie nicht.
Schlussfolgerung
Ein Wurm lebt von einem Weg, der weitere Kopien ohne erneutes Zutun ermöglicht.
Mail und offene Dienste sind die beiden klassischen Formen.
Updates, Filter und das Abtrennen befallener Systeme beenden die Welle nur gemeinsam.