text: Obwohl der Slammer-Wurm schon vier Jahre alt ist, breitet er sich weiterhin aktiv aus. Aktuell ist er um eine Position gestiegen und es gibt keine Anzeichen für einen Rückgang seiner Aktivität. Wie wir schon in früheren Berichten ausgeführt haben, leistet Slammer einen beständigen Beitrag zu dem durch Malware verursachten Hintergrundrauschen im Internet, wobei seine Aktivität durch die Unmenge weltweit infizierter Rechner – vor allem aber in Asien – angeheizt wird.
  Die Versuche anonymer FTP-LogIns sind um rekordverdächtige 15 Positionen nach oben geklettert und befinden sich nunmehr auf Platz 4 im Ranking. In der zweiten Jahreshälfte 2006 waren sie etwas weniger präsent, und es gibt eindeutige Anzeichen dafür, dass die Anzahl dieser Sonden in den nächsten Monaten abnehmen wird. Sie werden hauptsächlich eingesetzt, um offene Server zu finden, die Malware oder so genannte „warez“ (Raubkopien) enthalten. FTP-Server sind wohl nicht der effektivste Verbreitungsweg, weshalb andere Systeme, etwa BitTorrent oder das VPN-Programm Hamachi, im Computer-Untergrund immer populärer werden.
  Der berüchtigte Pufferüberlauf im Microsoft RPC Interface ist im Vergleich zu 2005 um 5 Positionen gestiegen. Doch insgesamt gesehen nimmt seine allgemeine Verbreitung in Relation zur ersten Hälfte des Jahres 2006 ab. Da es sich hierbei um eine recht alte Schwachstelle handelt (nämlich aus dem Jahr 2003), steht ein weiterer Rückgang außer Frage und schließlich wird er in das allgemeine Hintergrundrauschen im Internet eingehen – und zwar für eine vermutlich längere Zeit.
  Die Anzahl der Radmin-Sonden, die im Jahr 2005 noch die zweite Position im Ranking einnahmen, hat erheblich abgenommen. Interessanterweise ist ihre Zahl in der zweiten Jahreshälfte 2006 wieder angestiegen, was dem freien Umlauf von Exploits und Bibliotheken zugeschrieben werden kann.
  Auch die Secure Shell Brute-Force Passwort-Cracker kommen immer häufiger zum Einsatz und sind im Vergleich zu 2005 um einen Platz aufgerückt, wobei das Knacken von Passwörtern mit der Brute-Force-Methode allgemein immer mehr zunimmt. Da solche Software-Giganten wie Microsoft sich zunehmend auf Sicherheit konzentrieren, ist es nicht verwunderlich, dass die bösen Jungs nun den Menschen – das schwächste Glied in der Sicherheitskette – ins Visier nehmen. Doch dazu später mehr.
  Microsoft-ASN.1-Exploits werden heutzutage fast ausschließlich in Bots verwendet, und zwar in Verbindung mit anderen bekannten Exploits, die relativ alte Schwachstellen ausnutzen. Die im Microsoft Security Bulletin MS03-007 beschriebene WebDAV-Schwachstelle zum Beispiel ist ein Jahr älter als die ASN.1-Verwundbarkeit und doch ist sie kaum weniger populär.
  Der Blaster-Wurm mit seinen Varianten ist von Platz 12 (2005) auf Platz 10 gestiegen. Obwohl er nicht viele Infektionen verursacht, scheint er doch nicht völlig auszusterben und wird vermutlich in Zukunft Teil des Hintergrundrauschens im Internet werden. Seit Microsoft per Windows-Update ein Blaster-Desinfektions-Tool zur Verfügung stellt, sind größtenteils nur noch Rechner mit älteren Versionen (zum Beispiel NT4), die nicht automatisch aktualisiert werden, infiziert. Man darf gespannt sein, ob das kürzlich auf den Markt gekommene Windows Vista diesen Grundstock alter Betriebssysteme in irgendeiner Art verändern wird, etwa durch User, die von NT4/2000 auf XP oder 2003, wenn nicht gar auf Vista direkt umsteigen.
  Die HTTP-CONNECT-Versuche haben ebenfalls zugenommen und sind in den Top 20 im Vergleich zu 2005 um vier Positionen nach oben geklettert. Dieser merkliche Anstieg derartiger Sonden in der zweiten Jahreshälfte 2006 wird sich vermutlich fortsetzen, da es sich um eine alternative Methode zum Scannen offener Proxies handelt.
  Der Lupper-Wurm und von ihm abgeleitete Varianten sind jetzt völlig von der Bildfläche verschwunden, doch in den ersten zwei Monaten des Jahres 2006 waren sie noch recht weit verbreitet. Das letzte Lebenszeichen von Lupper erhielten wir im Juli 2006.
  WINS-Exploits haben leicht zugenommen, wenn auch nur um einen sehr geringen Prozentsatz. Der Anstieg wurde möglicherweise durch verschiedene Würmer verursacht, die diese Exploits zusammen mit Hunderten anderer anwenden.
  Auf dem 15. Platz gibt es mit der CGI-BIN-Sonde einen interessanten Neuzugang. Wir haben diese Sonden schon in der Vergangenheit registriert, doch im letzten Jahr haben sie quantitativ zugelegt. Einige von ihnen werden durch Würmer hervorgerufen, die dieselben Scripte auszunutzen wie Lupper und ähnliche Schadprogramme, während andere von verschiedenen Hacking-Tools generiert werden.
  Auch bei den HTTP-POST-back-Sonden handelt es sich um einen interessanten Neuzugang. Diese Sonden versuchen, sich mit dem Rechner zu verbinden, der eine Verbindung herstellt, meist über die Ports 16667, 6667 oder 6660. Dabei erhält man einen Dienst, der alle Verbindungen blockiert – ein Zeichen, dass der Computer einen offenen Proxy-Server unterhält.
  Bis hierhin ergeben sich aus unseren Beobachtungen zwei eindeutige Trends: Zum einen gehen alte Exploits in eine Art Hintergrundrauschen im Internet über und werden hauptsächlich in Bots verwendet. Da relativ wenige neue Schwachstellen gefunden und remote über das Internet ausgenutzt werden können, verlagert sich der Schwerpunkt zum anderen nun auf das Auffinden und Hacken von Servern (wie SSH und SQL), die durch schwache Passwörter geschützt sind.
  1 MS02-039 Pufferüberläufe im Namensauflösungsdienst des SQL Server 2000 können die Ausführung unerwünschter Codes ermöglichen
  4 MS03-007 Ungeprüfter Puffer in einer Windows-Komponente kann die Sicherheit des Webservers gefährden
  5 CVE-2005-1921 Sicherheitslücke in PEAR XML_RPC 1.3.0 und niedriger (alias XML-RPC oder xmlrpc) und PHPXMLRPC (alias XML-RPC For PHP oder php-xmlrpc) 1.1 und niedriger
  6 CVE-2005-0116 AWStats 6.1 und andere Versionen niedriger als 6.3 ermöglichen entfernten Angreifern das Ausführen beliebigen Codes über Shell-Metazeichen im configdir-Parameter
  7 CVE-2005-1950 hints.pl in Webhints 1.03 ermöglicht entfernten Angreifern das Ausführen beliebigen Codes über Shell-Metazeichen im Argument
  10 MS03-051 Pufferüberlauf in den Microsoft FrontPage-Servererweiterungen kann die Ausführung von Code ermöglichen