An - Aus, An - Aus, An - Aus: Wenn der Rechner spinnt, mehrfach hintereinander startet und sich wieder "herunterfährt", dann besteht akuter Erkältungsverdacht. Sasser.A geht um, verbreitet sich mit noch moderatem, aber angeblich steigendem Tempo und könnte das Potenzial haben, zur nächsten großen Virenwelle anzuwachsen.

Mehrere Millionen Rechner in aller Welt, berichteten am Sonntag die Nachrichtenagenturen, gestützt auf Angaben der führenden IT-Sicherheitsunternehmen, seien bereits infiziert. Jeden mit dem Internet verbundenen, von den Windows-Betriebssystemen 2000 oder XP beseelten Rechner könne es erwischen, und man müsse noch nicht einmal eine E-Mail dafür öffnen. Stattdessen verbreite sich Sasser nach dem "Zufallsprinzip", meldete die Nachrichtenagentur AFP.

Sasser setzt direkt an einer seit längerem bekannten Sicherheitslücke der Windows-Systeme an - mit "Zufall" hat zumindest das nichts zu tun.

Das Virus verbreitet sich, indem es aktiv nach dieser Sicherheitslücke im "Local Security Authority Subsystem Service" (LSASS, daher "Sasser") sucht. Sasser führt einen Buffer-Overflow herbei und erhält in der Folge die Kontrolle über den Port 9996. Danach lädt Sasser die eigentliche Virendatei per FTP aus dem Internet. Der befallene Rechner öffnet zudem TCP-Port 5554, über den er alle FTP-Anfragen von anderen infizierten Remote-Systemen akzeptiert.

Salopp übersetzt: Sasser besteht aus zwei Teilen. Der erste Teil ist eine Art "Spürhund", der beim Kontaktversuch mit einem Rechner diesen auf eine bekannte Sicherheitslücke prüft. Wird er fündig, nutzt er diese aus und übernimmt die Kontrolle über zwei "Ports", das sind Verbindungs-Schnittstellen zwischen Rechner und Internet. Nach Download des eigentlichen Virenprogrammes hat Sasser mehr oder minder die Kontrolle über den Rechner: Jetzt könnte der Virenautor am anderen Ende damit beginnen, den Rechner auszuspionieren oder für seine Zwecke zu missbrauchen.

Sasser: Ein Trendsetter?

Was so abstrakt klingt, treibt EDV-Wächtern den Schweiß auf die Stirn. Seit längerem beobachten die IT-Sicherheitsexperten einen Trend weg vom bloßen Cyber-Vandalismus, hin zur tückischen Rechner-Übernahme: "Hintertüren", so genannte Back Doors zu installieren, gehört bei den meisten erfolgreichen Viren inzwischen zum Standardprogramm. Darüber lässt sich allerlei Schindluder treiben: Sei es, dass der Virenautor den befallenen Rechner zum Spam-Versender macht, sei es, dass er kritische Daten ausspioniert oder den Rechner zum Teil eines Zombie-Heeres in einer Denial-of-Service-Attacke macht.

"Out" ist es hingegen, ganz profane Datenschäden auf dem befallenen Rechner zu verursachen. Schäden verursacht der Virenautor von Welt künftig allenfalls mit Hilfe des befallenen Rechners.

Risikogruppe Nummer Eins: Heimanwender

Als besonders fatal gelten zudem alle Viren-Verbreitungsmethoden, die "selbsttätig" funktionieren, ohne dass der User durch das leichtsinnige bis schwer trottelige Öffnen einer Lock-E-Mail einen Teil der Arbeit und Schuld übernimmt. Verblüfft sind die Sicherheitsexperten über die Geschwindigkeit, mit der Virenautoren heute entsprechende Virenprogramme entwickeln, sobald wieder eine der zahlreichen "kritischen Sicherheitslücken" - gemeinhin in Windows-Programmen - bekannt wird.

Im aktuellen Fall vergingen knapp 16 Tage zwischen Bekanntwerden der Lücke und dem ersten Virus, der dort aufsetzte: "Agobot" war allerdings ein Würmchen, kein Wurm. Schon besser programmiert ist da der wenige Tage später aufgetretene Sasser.A - auch, wenn dessen Verbreitungsroutine noch alles andere als effektiv ist.

Was eine wirklich fatale Virenwelle von Sasser verhindern könnte ist, dass sich der Wurm selbst ausbremst. Die Verbreitungsgeschwindigkeit über das Internet bleibt nach Auskunft aller führenden IT-Sicherheitsunternehmen hinter den ursprünglichen Befürchtungen zurück: Sasser ist ein potenzieller Killer, aber ein kriechender.

• Microsoft:Informationen zu Sasser.A 

Unternehmen mit aktuellem Virenschutz und funktionierender, aktueller Firewall sollten vor Sasser-Attacken gut geschützt sein, größere Schäden erwartet man bei Heimanwendern. Die können sich durch den Download aktueller Sicherheitspatches von Microsoft schützen: Das Software-Großunternehmen hat bereits mit einer Sasser-Sonderseite auf die neue Bedrohung reagiert (siehe Linkkasten).

Riskant könnte es noch einmal werden, wenn nach dem Wochenende Mitarbeiter ihre Laptops ins Firmennetzwerk einloggen: Innerhalb lokaler Netzwerke verbreitet sich Sasser sehr schnell und effektiv. Angeblich wurden schon Rechner mehrerer großer Unternehmen infiziert, sagen Network Associates, Trend Micro und Symantec. Welche Unternehmen betroffen sind, wird in der Regel nicht bekannt gegeben.