Sie haben sicherlich schon einmal den Begriff Internetwurm, Web-Wurm, Web 2.0-Wurm, Ajax-Wurm oder XSS-Wurm gehört. Mit dem Siegeszug des Web 2.0 und vor allem von den sog. Social Communities hat diese Art der Bedrohung aus dem Internet für den Nutzer enorm an Bedeutung gewonnen und taucht immer häufiger in den Medien auf.
Was sind die größten Bedrohungen? Wie kann man reagieren?
Der erste allgemein bekannt gewordene Internetwurm war “Samy”, der im Oktober 2005 auf MySpace kursierte und dort innerhalb von nur 20 Stunden mehr als 1 Millionen Benutzerprofile verseuchte. Möglich war dies über eine Integration eines JavaScript-Befehls in das jeweilige Benutzerprofil über eine persistente XSS-Schwachstelle, so dass eine derart rasche Verbreitung ermöglicht werden konnte.
Aus der Sicherheitsperspektive sind die großen sozialen Netzwerke wie MySpace, Facebook oder hier in Deutschland gerade studivz sicherlich mit einem kritischen Auge zu betrachten. Denn durch die Möglichkeit sogenannte “3rd-Party Applications” (Anwendung anderer Anbieter, auch Widgets genannt) in sein jeweiliges Profil zu integrieren, öffnen sich Hackern oftmals Tür und Tor.
So warnte kürzlich das Sicherheitsunternehmen Fortinet vor einer sich über Facebook verbreitenden Spyware. Das Vorgehen war folgendes: Der Benutzer bekommt per e-Mail eine Einladung mit dem Titel “Someone has a Secret Crush on you” und der Aufforderung, die jeweilige Applikation zu installieren. Zunächst scheinbar eine ungewöhnliche Einladung. Nachdem noch 5 weitere Kontakte einzuladen waren, wurde eine Spyware namens “Zango” installiert, die anschließend problemlos Werbung im jeweiligen Benutzerprofil einblendete:
Problematisch scheint dabei die Sorglosigkeit zu sein, mit der Benutzer derartige Applikationen in Social Networks installieren. Denn durch die Ausführung von Schadcode durch Lücken im jeweiligen Browser des Benutzers, ist auch das Ausspionieren von Passwörtern oder weiteren sensiblen Informationen, wie bspw. Kreditkartennummern möglich.
Dementsprechend ist es auch nicht verwunderlich, dass das BSI (Bundesamt für Sicherheit in der Informationstechnik) kürzlich vor Widgets und Gadgets (Minianwendungen auf dem Desktop von Windows Vista) warnte:
Experten raten zur Vorsicht im Umgang mit “Widgets” beziehungsweise “Gadgets”. Das Problem dabei: Widgets laufen in der Regel mit den Rechten des angemeldeten Benutzers. Damit seien sie prinzipiell in der Lage, umfangreiche Manipulationen am System vorzunehmen. So könnten Unbefugte persönliche Daten des Nutzers lesen und verändern.
Aus diesem Grund gilt es für den Internet-Nutzer stets gründlich die Herkunft bzw. die Autoren zu integrierender Applikationen vor der Installation zu prüfen. Denn die Zahl der Widgets steigt stetig (shopbetreiber-blog berichtete vor kurzem über den Einsatz neuer Storefront-Widgets), so dass auch Hacker vermehrt den Nutzen dieser kleinen Minianwendungen für sich entdecken werden.
Weiterführende Informationen zu Web-Würmer finden Sie auch auf Entwickler.de und heise.de
