Computerwurm.

Ein Computerwurm ist Schadsoftware, die sich durch Ausnutzung von Netzwerkdiensten, offenen Freigaben oder ungepatchten Schwachstellen verbreitet und sich dabei von System zu System kopiert, ohne sich an ein Wirtsprogramm anhängen zu müssen. Würmer können Leitungen sättigen, Dienste beeinträchtigen, Sekundärnutzlasten wie Ransomware oder Backdoors absetzen und interne Systeme erreichen, die nicht direkt im Internet erreichbar sind.

Wie sich Würmer verbreiten. Ein Wurm sucht nach erreichbaren Hosts, testet jeden gegen einen Exploit oder einen Satz von Zugangsdaten und installiert eine Kopie, die den Zyklus wiederholt – das Wachstum ist exponentiell, bis die verwundbare Population erschöpft ist oder das Netzwerk unter dem Scan-Verkehr zusammenbricht. Der SQL Slammer-Wurm von 2003 machte sich einen Pufferüberlauf im SQL Server 2000 Resolution Service zunutze (sechs Monate zuvor durch MS02-039 behoben) und verwendete dazu ein einziges 376-Byte-UDP-Paket an Port 1434; er verdoppelte seine infizierte Population etwa alle 8,5 Sekunden und legte innerhalb von Minuten große Teile des Internets lahm. Conficker (2008) verkettete die RPC-Schwachstelle MS08-067 mit USB-Autorun und Wörterbuchangriffen auf Freigaben und baute so ein Botnet aus Millionen von Rechnern auf. WannaCry (2017) kombinierte den geleakten EternalBlue-Exploit für SMBv1 (MS17-010) mit Ransomware, und Stuxnet überwand Air Gaps über infizierte USB-Laufwerke, um die Steuerungen der iranischen Zentrifugen zu erreichen.

Zu den Schutzmaßnahmen gehören schnelles Patchen netzexponierter Dienste, das Deaktivieren veralteter Protokolle (SMBv1, schwaches RDP), Netzwerksegmentierung zur Unterbrechung der lateralen Erreichbarkeit, Egress-Filterung, das Ratenbegrenzen ausgehenden Scan-Verkehrs und die Erkennung eines anomalen Ost-West-Verbindungsaufkommens.

flowchart LR
  A[Infizierter Host] --> B[Netzwerk nach einem<br/>verwundbaren Dienst durchsuchen]
  B --> C{Ziel<br/>verwundbar?}
  C -->|Nein| B
  C -->|Ja| D[Exploit / schwache Zugangsdaten]
  D --> E[Wurm auf Ziel kopieren]
  E --> F[Neuer Host führt Wurm aus]
  F --> B
  E --> G[Sekundärnutzlast absetzen<br/>Ransomware / Backdoor]