Verstärkte Wurm-Angriffe auf Windows-Sicherheitslücke

Gerade vergangene Woche hatte CipherTrust [Link entfernt] einen sprunghaften Anstieg von Zombie-PCs gemeldet, die über eine Serverdienst-Schwachstelle gekapert worden waren. Die Gefährdungslage scheint sich jetzt noch verschärft zu haben: Mehrere Sicherheitsunternehmen melden verstärkte Wurm-Angriffe, die auf die Serverdienst-Sicherheitslücke abzielen. Das Internet Storm Center (ISC) beobachtete in den vergangenen Tagen weltweit einen signifikanten Anstieg von Aktivitäten auf Port 139, Symantec meldet verstärkte Netzwerk-Aktivitäten auf den Ports 139 und 445. ISC zufolge sind zwar schon seit Mitte August Schädlinge unterwegs, die die Serverdienst-Schwachstelle ausnutzen, die gesteigerten Port-Aktivtäten hingegen werden erst seit einigen Tagen beobachtet. Die Zunahme der Port-Aktivitäten lasse sich generell damit erklären, dass Angreifer das Internet nach verwundbaren System scannen.

Symantec hat bereits sechs Wurm-Varianten identifiziert, die die Serverdienst-Schwachstelle ausnutzen. Eine neue Spybot-Variante, Spybot.AKNO, enthalte zusätzlich Rootkit-Komponenten und versuche damit der Entdeckung durch Anti-Viren-Software zu entgehen. Herkömmliche Spybot-Varianten seien von aktueller Anti-Viren-Software leicht zu erkennen.

Ein Microsoft-Sprecher beurteilte die Lage als weniger dramatisch. Man habe die Situation genau beobachtet, habe jedoch, abgesehen von den bereits bekannten begrenzten Angriffen, keine deutliche Zunahme der Angriffe festgestellt. Microsoft wiederholte seine Empfehlung, das Sicherheits-Update MS06-040 einzuspielen. Für Systeme mit diesem Sicherheits-Update bestehe keine Gefährdung. Da aber vermutlich eine Vielzahl von Nutzern ihre Rechner nicht regelmäßig mit den aktuellen Sicherheits-Patches updaten und nicht jeder eine Firewall nutzt, die Zugriffe über besagte Ports verhindern würde, muss davon ausgegangen werden, dass auch die neuen Wurm-Angriffe ihre Opfer finden werden.