Als Computerwurm gilt ein eigenständig lauffähiges Schadprogramm, das sich selbst repliziert und ohne Wirtsprogramm und ohne fremde Dateien auskommt, um sich über Netzwerke oder als E-Mail-Anhang auf weitere Systeme auszubreiten.
Auf einen Blick
Ein Wurm kann zusätzlich Dateien des Systems infizieren; ein solches Programm bildet dann eine Mischform aus Wurm und Virus.
Ein zeitnah eingespieltes Sicherheitsupdate hätte laut BSI in vielen Fällen die WannaCry-Infektion und alle dadurch ausgelösten Schäden verhindern können.
Laut BSI verbergen sich Würmer meist unter unverdächtigem Namen in den Tiefen des Betriebssystems.
Was ist Computerwurm?
Weder ein Wirtsprogramm noch fremde Dateien braucht ein Computerwurm, um sich zu vervielfältigen. Bestimmte Würmer nutzen dafür Schwachstellen in Netzwerkdiensten aus, die auf einem System ohne entsprechende Updates noch nicht geschlossen sind, um mehrere Geräte in einem Netzwerk zu infizieren. Andere verschicken sich per E-Mail. Laut BSI könnte ein Wurm beispielsweise die Kontaktordner eines Systems durchforsten und eine Kopie seiner selbst als Anhang an alle gefundenen E-Mail-Adressen senden; öffnet ein Empfänger das Programm im Anhang, hat der Wurm den Sprung auf ein neues System geschafft.
Weil sich ein Computerwurm selbstständig über Netzwerke, E-Mail-Systeme oder Wechselmedien verbreitet, kann eine Infektion im Netzwerk eines Versicherers weitere Systeme erreichen, ohne dass ein Wirtsprogramm nötig ist. Laut BSI sind Viren und Würmer typische Werkzeuge für breit gestreute, ungezielte Angriffe, bei denen es hauptsächlich darum geht, möglichst viele Geräte zu infizieren. Da bekannte Sicherheitslücken mit der Zeit geschlossen werden, kommt dem Fehlverhalten der Benutzer für die Verbreitung eine große Bedeutung zu, etwa wenn sie ihre Software nicht aktualisieren oder den Wurm selbst starten.
Wie funktioniert Computerwurm?
Ein Computerwurm kopiert sich von einem befallenen System auf weitere Systeme und startet dort je nach Verbreitungsweg selbstständig oder erst, wenn ein Empfänger das Programm öffnet. Laut BSI treten Würmer ohne Zutun der Benutzer in Aktion, im einfachsten Fall etwa durch einen Eintrag in die automatisch ablaufende Startfunktion des Betriebssystems. Je nach Hilfsprogramm kann sich der Wurmcode auf dem Zielsystem manchmal sogar selbst ausführen, sodass keine Interaktion mit dem Benutzer mehr nötig ist.
Als Hilfsprogramm dient ein Netzwerkdienst oder eine Anwendungssoftware als Schnittstelle zum jeweiligen Netz. Auf Systemen, die dem Wurm den Zugriff darauf nicht ermöglichen, kann er sich nicht oder zumindest nicht automatisiert reproduzieren. Bei WannaCry nutzte der Infektionsmechanismus laut BSI eine Sicherheitslücke im Windows-Betriebssystem aus, für die bereits acht Wochen vor dem Ausbruch ein Software-Patch bereitgestellt worden war. Beim Wurm ILOVEYOU überschrieb das Skript zudem in lokalen und vernetzten Laufwerken mehrere Dateitypen mit sich selbst.
Computerwurm im Vergleich
| Kriterium | Computerwurm | Virus |
|---|---|---|
| Wirtsprogramm | Kommt ohne Wirtsprogramm aus und ist als eigenständiges Schadprogramm lauffähig | Hängt sich an legitime Dateien oder Anwendungen an und wird über das befallene Wirtsprogramm ausgeführt |
| Ausführung | Kann je nach Verbreitungsweg ohne Zutun der Benutzer in Aktion treten oder erst, wenn ein Empfänger den E-Mail-Anhang öffnet | Ein Virus in einer Programmdatei setzt die Infektion fort, sobald die infizierte Datei auf einem fremden Gerät ausgeführt wird |
| Vermehrung | Kopiert sich selbst auf weitere Systeme, etwa über Netzwerke oder als E-Mail-Anhang | Kopiert seinen Schadcode etwa in andere Programmdateien und gelangt zum Beispiel per E-Mail-Anhang, Datenträger oder Download auf fremde Geräte |
| Überschneidung | Kann zusätzlich Dateien des Systems infizieren und ist dann eine Mischform aus Wurm und Virus | Wird umgangssprachlich auch für Würmer verwendet, weil es Mischformen gibt |
Woran erkenne ich Computerwurm?
| Signal | Woran erkennbar |
|---|---|
| Unerwartete E-Mail mit Anhang im Namen eines Kontakts | Ein E-Mail-Wurm kann sich als Anhang an alle gefundenen E-Mail-Adressen senden; beim Wurm ILOVEYOU kam die Nachricht im Namen des Opfers an die Adressen im Outlook-Adressbuch |
| Gleiche Auffälligkeit auf mehreren Geräten im Netzwerk | Ein Wurm kann Schwachstellen ausnutzen, um mehrere Geräte in einem Netzwerk zu infizieren |
Schutz im Ernstfall
Vorbeugen
- Sicherheitsupdates für Betriebssysteme und Netzwerkdienste zeitnah einspielen, sobald der Hersteller sie bereitstellt
- Mitarbeiter anweisen, unerwartete E-Mail-Anhänge nicht zu öffnen, auch bei bekannten Absendern
- Regelmäßig Backups anlegen und getrennt aufbewahren, um Daten nach einem Angriff wiederherstellen zu können, und Auffälligkeiten auf mehreren Geräten im Netzwerk sofort der IT-Sicherheit melden lassen
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen, damit sich der Wurm nicht auf weitere Systeme kopiert
- Den Verdacht umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Erst danach die Systeme durch die IT-Sicherheit analysieren und neu aufsetzen lassen, fehlende Sicherheitsupdates einspielen und Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Der Wurm WannaCry nutzte 2017 eine Sicherheitslücke in Windows aus und breitete sich selbstständig ohne Zutun der Nutzer auf Windows-Rechnern aus, verschlüsselte dabei Daten und forderte Lösegeld.
- Beim Wurm ILOVEYOU startete im Jahr 2000, wer unter Windows den E-Mail-Anhang öffnete, ein Skript, das die Nachricht im Namen des Opfers an alle Adressen im Outlook-Adressbuch schickte.
- Nutzt ein Computerwurm eine Sicherheitslücke in einem Netzwerkdienst, die auf den Systemen eines Versicherers noch nicht durch ein Update geschlossen ist, kann er weitere Systeme im Netzwerk erreichen, ohne dass ein Wirtsprogramm nötig ist.
Die Varianten im Detail (6)
E-Mail-Wurm E-Mail-Wurm ist ein Computerwurm, der sich selbstständig per E-Mail an weitere Empfänger verschickt.
Er liest Adressen etwa aus Adressbüchern oder Postfächern aus und versendet Kopien seiner selbst als Anhang oder über einen Link. Die Verbreitung setzt häufig voraus, dass Empfänger den Anhang öffnen.
IM-Wurm IM-Wurm ist ein Computerwurm, der sich über Instant-Messaging-Dienste an Kontakte verbreitet.
Der Wurm verschickt über das Konto eines infizierten Nutzers Nachrichten mit schädlichen Links oder Dateien an dessen Kontaktliste. Das Vertrauen in bekannte Absender erhöht die Wahrscheinlichkeit, dass diese Nachrichten geöffnet werden.
Internet-Wurm Internet-Wurm bezeichnet einen Computerwurm, der sich über das Internet auf erreichbare Systeme ausbreitet.
Er sucht selbstständig nach Rechnern mit bekannten Sicherheitslücken in Netzwerkdiensten und überträgt sich ohne Zutun der Anwender. Dadurch kann er sich in sehr kurzer Zeit weltweit verbreiten.
JavaScript-Wurm JavaScript-Wurm ist ein Wurm, der in JavaScript geschrieben ist und sich in Webanwendungen verbreitet.
Solche Würmer nutzen häufig Schwachstellen wie Cross-Site-Scripting, um sich über Nutzerprofile oder Beiträge auf weitere Besucher zu kopieren. Die Ausführung erfolgt im Browser, ohne dass eine Programmdatei installiert wird.
Linux-Wurm Linux-Wurm ist ein Computerwurm, der Systeme mit dem Betriebssystem Linux als Ziel hat.
Er verbreitet sich meist über unsichere Netzwerkdienste, schwache Zugangsdaten oder ungepatchte Software auf Servern und Geräten. Betroffen sind auch eingebettete Geräte, die auf Linux basieren.
Yaha-Wurm Yaha-Wurm ist ein E-Mail-Wurm für Windows-Systeme, der sich mit einem Anhang selbst weiterversendet.
Er gilt als Beispiel für einen Massenwurm, der Adressen auf dem infizierten Rechner sammelt und Kopien seiner selbst verschickt. Technische Einzelheiten und Auswirkungen unterscheiden sich je nach Variante.
Häufiger Irrtum
Mythos „WannaCry war ein Trojaner und kein Wurm.“
Richtig Anders als die häufige Bezeichnung Erpressungstrojaner vermuten lässt, handelte es sich laut BSI bei WannaCry um einen Wurm, der sich selbstständig ohne Zutun der Nutzer auf Windows-Rechnern ausbreitete. Zugleich verschlüsselte WannaCry Daten und forderte Lösegeld.
