"Die Ausbreitung ist unglaublich hoch", sagte Christian Persson, Chefredakteur der Computerzeitschrift "c't". "So etwas haben wir noch nicht gesehen."

Die Sabotage-Software, eine Mischung aus Computervirus und Internet-Wurm, greift sowohl Server als auch PC an. Er verbirgt sich in E-Mails mit dem Anhang "Readme.exe". Solche Anhänge dürften auf keinen Fall geöffnet werden, warnen Experten.

Da es sich bei dem fraglichen Attachment tatsächlich um eine ausführbare Programmdatei handelt ("exe"), ist die schädliche Wirkung in diesem Fall nicht auf bestimmte Programme begrenzt. Bei den meisten Wurm-Viren der letzten zwei Jahre handelte es sich um VBS-Skripte, für die nur E-Mail-Programme empfänglich waren, die eine direkte Ausführung von Skripten aus E-Mail-Anwendungen vorsehen. Durch eine bloße Deaktivierung solcher Voreinstellungen - zum Beispiel in Microsofts Outlook Express - konnte man sich gegen die Effekte solcher Viren schützen.

Gegen eine "exe"-Datei gibt es dagegen keinen Schutz: Einmal aktiviert ist sie kaum noch zu stoppen.

Das Sabotage-Programm, berichtete das Antivirus-Unternehmen Kaspersky Lab, beinhalte Angriffsmechanismen wie der gefährliche Internetwurm "Code Red" und das Virus "Sir Cam", gilt aber als wesentlich aggressiver. Es nutze mehr Sicherheitslücken der Internet-Information-Services-Software (IIS) von Microsoft.

Symantec stufte W32.Nimda.A@mm zunächst als Risikostufe 3 ein - vor allem wegen seiner extrem schnellen Verbreitung. Nach wenigen Stunden stufte Symantec das Virus auf Stufe 4 hoch, weil die Verbreitung noch weit schneller lief, als die Experten für möglich hielten. Dies deutet wiederum darauf hin, dass das Virus mit Erfolg agiert. Zum Schadensprogramm gehört wie üblich die Selbstvervielfältigung und -versendung via E-Mail. Hier greift auch W32.Nimda.A@mm auf Outlook Express zurück.

Im Code des noch nicht vollständig analysierten Virus finden sich Hinweise darauf, dass dieser auch einen Word-Makro-Bestandteil enthält, der folglich die Textverarbeitung in Mitleidenschaft ziehen würde ("Concept Virus (CV) V.5"). Als Copyright ist hier "R.P.China" verewigt. Das mag ein Scherz sein, könnte aber auf den laufenden Schlagabtausch zwischen chinesischen ("Code Red") und amerikanischen ("Code Blue") Virenautoren hinweisen.

• Virenschutz:Sophos 
• Symantec:Informationen zu "Nimda" 
• Aktuelle Virenwarnungen von McAffee 
• Aktuelle Virenwarnungen von Trend Micro 

Nach Angaben des Karlsruher Experten Christoph Fischer benutzt "Nimda" insgesamt 19 verschiedene Angriffsmethoden. Insofern ist Nimda eine Art viröser Rundumschlag, der sowohl Server - und über diese Webseiten - als auch PCs angreife. Dort attackiert das Virus sowohl Anwendungsprogramme, als auch die Betriebssystemebene der gängigen Windows-Versionen inklusive NT.

Besonders tückisch: Gelingt es dem Virus, einen Microsoft IIS-Server zu korrumpieren, verändert das Virus bestimmte Schlüsseldateien, indem es sie mit einem Stück funktionierendem Javascript-Code versieht. Ein Surfer, der einen gegen die Ausführung solcher Scripte nicht gesicherten Microsoft Internet Explorer nutzt, infiziert seinen Rechner durch bloße Bewegung auf solch einer Website.

Symantec schätzt die Schädlichkeit des Virus trotzdem als eher gering ein, weil offenbar die verursachten Schäden nicht gravierend sind und auch nicht alle Schadensroutinen des Virus erfolgreich ausgeführt werden. Gefährlich ist das Virus vor allem für Firmen-Netzwerke und alle Internet-User, die auch finanzielle Angelegenheiten über das Web abwickeln: Nimda macht das C-Laufwerk zum Netzwerk-Laufwerk - sprich: Es öffnet Angreifern eine Hintertür in Scheunentor-Größe. Näheres wird man nach einer eingehenden Analyse erfahren.

Christoph Fischer: "Die Hersteller arbeiten fieberhaft an einer genauen Analyse, um ein Gegenmittel auf den Markt zu bringen."