Seine eigentlichen Ziele hat es nicht erreicht, das "erfolgreichste Virus aller Zeiten". MyDoom hatte sich zwar mit bisher ungeahnter Geschwindigkeit im Web verbreitet, be- und überlastet die Mailserver weltweit und treibt so manchen Büroarbeiter in den Wahnsinn - aber die durch das Virus eingeleiteten DDoS-Attacken zeigten nicht die Wirkung, die sich der Virenautor wohl erhofft hätte.

Zwar verschwand die SCO Group, Ziel der ersten MyDoom-Variante, am Montag wirklich aus dem Web. Doch wer ist SCO? Die vor allem durch ihre juristischen Bemühungen gegen andere Unternehmen bekannte Firma ist keine Größe, von der man erwarten würde, dass sie eine DDoS-Attacke aushielte. SCO verschob am Dienstag seine Server auf eine alternative Adresse und die MyDoom-Attacke lief ins Leere.

Auch bei Microsoft hatte man sich auf so einiges gefasst gemacht. Schon Tage vor dem erwarteten Einsetzen der Attacke durch MyDoom.B, die erste Variante des Wurmes, ließ Microsoft Ausweichadressen bekannt machen. Gebraucht hat sie der Softwareriese nicht: Die Attacke entpuppte sich als "Attackchen".

5000 bis 8000 Rechner weltweit, schätzt man bei Microsoft, beteiligten sich am Angriff auf die Server in Seattle. Das ist so gut wie nichts: Ein "Nicht-Event", dichtete ein Microsoft-Sprecher, sei die Virenattacke.

Nur im Großen ein Rohrkrepierer

Wirklich überraschend ist das nicht: Viel schneller als bei MyDoom.A reagierten die IT-Sicherheitsunternehmen auf die zweite Variante. Dass diese nicht die gleiche Verbreitung wie MyDoom.A erreichen würde, war vielen klar. Nur laut sagen wollte das keiner, denn MyDoom traut man vieles zu.

Die bisher heftigste Virenwelle, die das World Wide Web in seiner Geschichte erlebte, hatte nicht nur die PC-Nutzer geschockt. Anders noch als im Mai 2000, als "I Love You" weltweit Schäden verursachte, schützt sich heute der größte Teil der Internet-Surfer mit Virenscannern und Firewalls. Gerade die Zeit der Viren, die man erst mit einem unvorsichtigen Klick selbst aktivieren muss, schien doch vorbei.

Offensichtlich ein Irrtum: MyDoom schaffte es binnen nur zwei Tagen, zum meistverbreiteten Virus des Januar zu werden. In den Zählungen von Kaspersky Labs etwa macht MyDoom.A unglaubliche 78,32 Prozent aller gefundenen Viren aus. Rund um den Globus wissen geplagte Systemadministratoren und PC-Nutzer, was das heißt: Post ohne Ende.

Postmaster: Deaktiviert die Auto-Response!

Dabei ist ein Großteil des Postaufkommens nur mittelbar durch MyDoom verursacht. Weil sich das Virus einerseits unter gefälschten Absenderadressen verschickt, Mailgateways mit Virenscannern andererseits aber heute zumeist so konfiguriert sind, dass sie den angeblichen Versendern von Virenpost eine Benachrichtigung zuschicken, ergibt sich ein wahres Mail-Ping-Pong über zwei Banden.

Wahrscheinlich gut die Hälfte des durch MyDoom verursachten E-Mail-Mülls ließe sich vermeiden, wenn die Verwalter von Mail-Gateways die automatische Benachrichtigung von vermeintlichen Virenversendern deaktivieren würden. Spätestens seit Anfang letzten Jahres macht die sowieso keinerlei Sinn mehr: Jedes bessere Virus verschickt sich heute über gefälschte oder gestohlene Absenderadressen.

Der Prozentsatz des so vermeidbaren Mail-Mülls ist aus Perspektive der E-Mail-Empfänger sogar noch höher: Weil die Virenscanner MyDoom-Mails abfangen, die Nachrichten der Autoresponder, nach denen man angeblich selbst Virenversender sei, aber durchlassen, bekommt man fast nur diesen Teil der Flut zu sehen. Fazit: Der größte Teil der durch Arbeitszeitvernichtung und Kommunikationsbehinderung verursachten Schäden ließe sich völlig vermeiden, wenn EDV-Postmaster darauf verzichten würden, ihre Virenscanner unsinnige automatische Nachrichten verschicken zu lassen.

• BSI:Ausführliche Informationen zu MyDoom 
• McAfee-Infos zu MyDoom (mit Removal-Tool "Stinger") 
• Sophos:MyDoom-Entfernungs-Tool MYDOOGUI 
• Symantec:Mit "FxNovarg" gegen MyDoom 
• AntiVir:Removal-Tool gegen MyDoom.B 
• BSI:Ausführliche Beschreibung von MyDoom.B 
• MyDoom.B:Ausführliche Beschreibung bei AntiVir 
• Kaspersky:Virenschutz-Pattern gegen MyDoom.B 
• Trend Micro:Infos zu MyDoom in deutscher Sprache (bei Trend "MiMail.R" genannt) 

Bis zum Wochenende bestand zumindest Hoffnung, dass sich der MyDoom-Spuk zu einem festen Termin selbst erledigen würde: Während die durch MyDoom geöffnete "Hintertür" zu befallenen Systemen geöffnet bleiben sollte, enthielt der Wurm als "Ablaufdatum" den 12. Februar 2004, an dem er seine Verbreitung selbst einstellen sollte.

Jetzt scheint es möglich, dass das nicht geschehen wird, denn zumindest in dieser Hinsicht scheint MyDoom tatsächlich "schlecht programmiert". Damit bliebe der Web-Welt die derzeitige, quälende Mail-Lawine auf absehbare Zeit erhalten: So lange es im Web befallene PCs gibt, so lange würde auch der Virenpost-Versand weitergehen.

Rezepte dagegen

...gibt es nur zwei:

• Rechner säubern und schützen
• Mail filtern

Während man ersteres als Präventivmaßnahme schnell und bequem erledigen kann (siehe Linkverzeichnis: Tools gegen MyDoom), erfordert das Filtern der eingehenden Post Handarbeit. Zumindest in Büros lohnt sich das: Hauptbetroffene der Mail-Lawine sind Unternehmen, und hier vor allem im Web aktive. Da summieren sich die Virenmails auf einzelnen Mail-Accounts gern schon mal zu mehreren Hundert am Tag - und machen E-Mail als Kommunikationsmittel so gut wie unbrauchbar. Die IT-Fachleute von Unternehmen stöhnen teils über ein sechsstelliges Virenmail-Aufkommen am Tag.

Private Mailkonten dagegen scheinen zumeist weniger betroffen, insbesondere die Freemail-Anbieter konnten mit ihren Virenfiltern in den letzten Tagen richtig glänzen.

So filtern Sie MyDoom-Post

Mailprogramme, die es erlauben, selbst Filter zu definieren, werden mit rund 80 Prozent der Mailflut fertig. Die Sache ist so einfach wie mühselig: In einem ersten Schritt identifiziert man die häufigsten Betreffzeilen der Virenpost. Dazu gehören die vom Virus selbst versandten E-Mails (vollständige Liste in den Virus-Spezifikationen des BSI ). Jeden einzelnen dieser Begriffe müsste man zum Filter-Kriterium für die Betreffzeile machen. Fragen Sie sich selbst, welche Begriffe Sie "durchlassen" müssen, um legitime Post nicht per Filter im Orkus zu versenken.

Der zweite Ansatz schafft weit mehr Ordnung im Postfach. Die meisten automatischen Virenbenachrichtigungen sind relativ uniform und enthalten Stichworte, die man zu Filterkriterien machen kann. Dazu zählen beispielsweise die Begriffe

• Zylom Automatic Response
• DrWeb-DAEMON
• Postmaster
• virenschutz
• VirenScanner
• SAV_for_SMTP_Gateways
• Mail-Router

...und andere. Nachteil dieser Methode, die man treffender als "Notwehr" bezeichnen sollte: Im Zweifelsfall erfahren Sie nicht mehr, wenn Ihnen ein Mail-Daemon oder Postmaster mitteilt, dass eine Ihrer echten E-Mails nicht ausgeliefert werden konnte. Im seltenen Extremfall erfahren Sie auch nicht, dass Sie tatsächlich Versender eines Virus sind (regelmäßige Scans sind Selbstschutz und zeigen Verantwortungsbewusstsein). Eine reine Kosten-Nutzen-Abwägung: Wie oft passiert das - und wie oft bekommen Sie MyDoom-Post?

Beobachten Sie, wie die Viren-Benachrichtigungen aussehen, die in Ihrem Postfach auflaufen und filtern Sie sie aus. Mailprogramme wie Lotus machen es möglich, eigens als Spam- oder Viren-Mailfächer definierte Auffang-Ordner automatisch alle paar Tage zu löschen. Arbeiten Sie mit einfacheren Mailprogrammen, achten Sie auf eine regelmäßige Leerung des Mailfach-Papierkorbs, sonst läuft die Festplatte irgendwann voll.

Als Nutzer von Outlook gehören Sie zur Hauptrisikogruppe, sich Viren zu fangen oder welche zu verbreiten. Achten Sie darauf, dass die allerneuesten Sicherheitspatches aufgespielt sind und das Programm so konfiguriert ist, dass es aber auch nichts als Reintext ungefragt zeigt oder öffnet.