ILOVEYOU: Ein Liebesbrief legt die Welt lahm
Zusammenfassung
Am 4. Mai 2000 warnte das CERT Coordination Center vor dem Wurm „Love Letter“, der sich als E-Mail mit dem Betreff ILOVEYOU und dem Anhang LOVE-LETTER-FOR-YOU.TXT.VBS verbreitete. Bis zum 8. Mai meldeten über 650 Standorte mehr als 500.000 befallene Rechner. Der Wurm nutzte keine Sicherheitslücke, sondern die Neugier der Empfänger, ausgeblendete Dateiendungen und die Adressbücher von Outlook.
Wie der Wurm arbeitete
Das Skript in Visual Basic Script lief unter Windows, sobald jemand den Anhang öffnete. Es verschickte sich über Microsoft Outlook an alle Einträge aller Adressbücher, sodass die Mail scheinbar von Bekannten kam. Zusätzlich verbreitete es sich über Windows-Freigaben, IRC und Usenet.
Auf dem befallenen Rechner überschrieb der Wurm Dateien mit seinem eigenen Code, etwa Bilder im JPG-Format, an deren Namen er .vbs anhängte, und versteckte MP3-Dateien. Außerdem änderte er die Startseite des Browsers, um ein Programm namens WIN-BUGSFIX.exe herunterzuladen, das Kennwörter ausspähte.
Ideen
- Ein Wurm braucht keine Lücke, wenn Menschen den Anhang selbst öffnen.
- Ausgeblendete Dateiendungen machen aus einem Skript scheinbar einen Text.
- Mails von Bekannten sind kein Beweis für Harmlosigkeit.
- Automatisch ausgeführte Skriptsprachen vergrößern die Angriffsfläche.
Einsichten
- ILOVEYOU machte Social Engineering massentauglich: Der Angriff zielte auf Menschen, nicht auf Software, und genau deshalb half kein Patch.
- Die Voreinstellung von Windows, bekannte Dateiendungen auszublenden, war ein Teil des Problems; erst Jahre später rieten Hersteller und Behörden flächendeckend, sie anzuzeigen.
Fakten
- CERT-Meldung CA-2000-04 vom 4. Mai 2000, zuletzt geändert am 9. Mai 2000.
- Betroffen waren Windows-Systeme mit aktiviertem Windows Scripting Host.
Referenzen
Bemerkungen
- Die Meldung ist über das Webarchiv erhalten; die CERT-Seiten von damals gibt es nicht mehr.
Empfehlungen
- Dateiendungen in Explorer und Mailprogramm immer anzeigen lassen.
- Skript- und ausführbare Anhänge am Mailserver blockieren.
- Bei unerwarteten Anhängen von Bekannten kurz auf einem anderen Weg nachfragen.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.