NetSky ist ein Computerwurm aus dem Jahr 2004, der sich als Massenmailer über E-Mail-Anhänge verbreitete: Öffnete ein Nutzer den Anhang, startete im Hintergrund unbemerkt die Vervielfältigungsroutine, und der Wurm verschickte sich mit selbst generierten E-Mails weiter.
Auf einen Blick
Die Varianten des Mass-Mailing-Wurms Netsky notierten die Hersteller von Antivirensoftware im zweistelligen Bereich.
Die Variante NetSky.B hatte keine Schadroutine. Durch seine unkontrollierte Verbreitung verursachte Netsky Systemüberlastungen und Serverausfälle.
Netsky gehörte zur nicht minder gefährlichen Gattung der „guten Würmer“, die einen oder mehrere andere Würmer auszuschalten versuchen.
Was ist NetSky?
Der Wurm verbreitete sich als Dateianhang einer E-Mail; bei der Variante NetSky.B variierten die Dateinamen stark. Aktiviert wurde er, wenn ein Nutzer einen E-Mail-Anhang mit einer Netsky-Variante öffnete. Hauptsächlich verbreitete er sich, indem er sich über eine eigene SMTP-Engine selbst als Anhang an Adressen schickte, die er auf dem infizierten Computer fand. Von Netsky gab es mehrere Varianten; die Variante NetSky.B wurde auch als Moodown.B bezeichnet. Diese Variante fand die Zieladressen in diversen Dateien auf dem System, kopierte sich zusätzlich in Verzeichnisse von Netzlaufwerken und legte mehrere ZIP-Dateien auf dem System ab.
Hätte ein Mitarbeiter eines Versicherers einen E-Mail-Anhang mit NetSky geöffnet, hätte der Wurm nach E-Mail-Adressen gesucht und sich über eine eigene SMTP-Engine weiterversendet. Netsky war als eine Art „guter“ Wurm konzipiert. Eine Schadroutine hatte die Variante NetSky.B nicht. Durch seine unkontrollierte Verbreitung verursachte Netsky Systemüberlastungen und Serverausfälle. Der Wurm nutzte das E-Mail-System als Weg, um von Postfach zu Postfach zu gelangen. Die Varianten des Wurms notierten die Hersteller von Antivirensoftware im zweistelligen Bereich.
Wie funktioniert NetSky?
Der Wurm verbreitete sich hauptsächlich über eine eigene SMTP-Engine, mit der er sich als Anhang an E-Mail-Adressen verschickte, die er auf dem infizierten Computer fand. Aktiviert wurde die Schadsoftware, sobald ein Nutzer einen E-Mail-Anhang mit einer Netsky-Variante öffnete. Beim Öffnen des Anhangs wurde angezeigt, dass es nicht möglich gewesen sei, den Anhang zu öffnen. Bei der Variante NetSky.B variierten die Dateinamen der Anhänge stark, und die ebenfalls stark variierenden Betreffzeilen und Nachrichtentexte waren auf Englisch verfasst.
Der Wurm zielte auf Computer, auf denen bestimmte Versionen von Microsoft Windows liefen. Die Variante NetSky.B, auch Moodown.B genannt, tauchte in nennenswerter Anzahl in E-Mails auf, die in die Postfächer gelangten. Die Zieladressen für den Versand fand sie in diversen Dateien auf dem System, und für den Versand nutzte sie die eigene SMTP-Engine. Zusätzlich kopierte sie sich in Verzeichnisse von Netzlaufwerken und legte mehrere ZIP-Dateien auf dem System ab.
Woran erkenne ich NetSky?
| Signal | Woran erkennbar |
|---|---|
| Englische Betreffzeile und englischer Nachrichtentext | Bei der Variante NetSky.B waren Betreffzeilen und Nachrichtentexte englisch und variierten stark |
| Dateianhang mit wechselndem Namen | Die Variante NetSky.B versendete sich als Dateianhang der Mail, wobei die Dateinamen stark variierten |
| ZIP-Dateien und Kopien auf Netzlaufwerken | Die Variante NetSky.B kopierte sich in Verzeichnisse von Netzlaufwerken und legte mehrere ZIP-Dateien auf dem System ab |
Schutz im Ernstfall
Vorbeugen
- Unerwartete E-Mail-Anhänge und Links nicht ungeprüft öffnen, auch bei bekannten Absendern; das gilt, egal wie die Datei heißt
- Auf allen Rechnern eine aktuelle Virenschutzlösung einsetzen, die heruntergeladene Dateien auf Schadsoftware prüft; zusätzlich eine Firewall aktiviert halten, um unerwünschte Netzwerkverbindungen zu begrenzen.
- Per Richtlinie festlegen, dass Mitarbeiter verdächtige Dateianhänge der IT-Sicherheit melden, statt sie zu öffnen
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen, damit es keine weiteren Rechner infiziert
- Den Verdacht umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst etwas löschen oder bereinigen
- Das System durch die IT-Sicherheit mit einer aktuellen Sicherheitslösung vollständig auf Schadsoftware prüfen und auch betroffene Netzlaufwerke bzw. freigegebene Ordner kontrollieren lassen, da NetSky.B sich dorthin kopieren konnte.
Beispiele aus der Praxis
- Die Variante Moodown.B alias NetSky.B tauchte in nennenswerter Anzahl in E-Mails auf, die in die Postfächer gelangten.
- Der Sasser-Wurm und die verschiedenen Varianten des NetSky-Wurms dominierten die Wurm- und Virencharts des ersten Halbjahres 2004.
- Hätte ein Mitarbeiter eines Versicherers einen E-Mail-Anhang mit NetSky geöffnet, hätte der Wurm auf dem Rechner nach E-Mail-Adressen gesucht und sich über seine eigene SMTP-Engine an diese Adressen weitergeschickt.
