Hamburg - W32.Sircam war Anfang vergangener Woche zum ersten Mal aufgetaucht. Zunächst war der Wurm eher langsam vorangekommen, aber zum Wochenende hin hatte sich eine weit schnellere Verbreitung bereits angekündigt. Über die Definition, ob es sich bei Sircam eher um einen Wurm oder ein Virus handelt, lässt sich streiten. Das Programm verbreitet sich wie ein Wurm über E-Mail-Anhänge weiter, hat aber auch Schadensroutinen wie ein Virus.

Inzwischen warnen die wichtigsten großen Hersteller von Antivirenprogrammen im Web direkt auf ihren Startseiten vor W32.Sircam. Bei McAffee wird etwa von einem "high risk virus" gesprochen. Virenschutzprogrammhersteller Symantec, der Würmer und Viren je nach ihrem Gefährdungsgrad auf einer Skala von eins bis fünf einordnet, stufte Sircam wegen seiner hohen Verbreitung mittlerweile von Stufe drei auf vier herauf. Wie schnell sich der Wurm verteilt, lässt sich gut auf der Weltkarte des Herstellers Trend Micro ablesen, wo die Zahl der Infektionen weltweit angegeben wird. In Nordamerika, Europa und Asien ist Sircam bereits an erster Stelle der Virus-Hitlisten, weltweit hinter dem Loveletter-Wurm auf Platz zwei.

Vertraulich? Im Prinzip ja, aber...

Mit der fortschreitenden Verbreitung des Codes steigt auch die Zahl des sinnlos übertragenen Datenvolumens. Denn mit jeder Kopie verschickt Sircam auch ein privates Dokument, das er auf dem Rechner des Absenders im Ordner "Meine Dateien" gefunden hat. Teilweise sind das megabytegroße Files, oftmals mit vertraulichen Informationen. So fanden sich etwa in den Posteingangsordnern von SPIEGEL ONLINE bereits infizierte Mails mit Dokumenten einer Bank und ein internes Memo einer großen deutschen Unternehmensberatung.

• Viren-Weltkarte von Trend Micro 
• W32.Sircam:Infos bei Symantech 
• W32.Sircam:Infos bei F-Secure 
• W32.Sircam:Infos zum Virus und zur Entfernung (McAffee) 

In der Betreffzeile der infizierten Mails ist immer der Name der angehängten und verseuchten Datei zu finden. Auffällig ist dabei, dass die Dateinamen immer doppelte Endungen tragen, also etwa ".doc.exe", ".zip.com" oder ".jpg.pif". Für den Mailtext gibt es mehrere Varianten. Immer gleich ist der Eingangssatz, der entweder auf Englisch oder auf Spanisch vorkommt: "Hi! How are you?" beziehungsweise "Hola como estas?"

In einigen Fällen löscht W32.Sircam Dateien von der Festplatte des befallenen Rechners oder füllt diese mit Datenmüll auf. Die Chance, dass die Platte mit Zufallstext vollgestopft wird, liegt bei eins zu 33, bei jedem Zwanzigsten werden alle Files ins digitale Nirvana befördert.

Mittlerweile ist auch klar, wie Sircam an die Mailadressen seiner Opfer kommt. Zum einen durchsucht der Wurm das Windows-Adressbuch, das unter anderem von Outlook Express verwendet wird, zum anderen stöbert er im Quellcode von Webseiten, die im lokalen Cache zwischengespeichert sind, nach Mail-Adressen. Dadurch erhalten auch User die verseuchten Virenmails, die noch niemals zuvor miteinander zu tun hatten. Zum Versenden ist Sircam nicht auf ein spezielles Mailprogramm angewiesen, er nutzt eine eigene SMTP (Simple Mail Transfer Protocol)-Engine.

Bandbreite geht verloren, teure Mitarbeiter fallen aus

Nach Ansicht von Christoph Fischer vom MicroBIT Viruscenter an der Universität Karlsruhe entwickelt sich die aktuelle Epidemie "langsam zu einem Kostenfaktor". Doch nicht die fehlende Bandbreite hält der Virenjäger im Gespräch mit SPIEGEL ONLINE für entscheidend, "wichtiger ist der Produktivitätsverlust, wenn Computer oder hoch bezahlte Mitarbeiter wegen der Folgen des Wurms ausfallen".

Das CERT (Computer Emergency Response Team) der Carnegie Mellon University macht in einem am Montag veröffentlichten Statement zur Datensicherheit vor allem die Privatanwender für die Verbreitung von Würmern und Viren im Internet verantwortlich. Diese würden sich nicht genügend um Schutzprogramme kümmern, Sicherheitslücken in ihren Systemen nicht stopfen und oft unüberlegt E-Mail-Attachments öffnen.

Fischer schlägt zum Schutz eine zweistufige Sicherheitsstrategie vor. Zum einen müssten Mails beim zuständigen Server auf Viren überprüft werden, zum anderen noch einmal auf dem Rechner des Users, jeweils mit den neusten Virenscannern. Nur so könnte die momentane Virenflut wenigstens teilweise wieder eingedämmt werden.