GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Sasser</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Sasser</span></h1>

</header>

</div>

<th colspan="2" style="background:#80A080;">Sasser

</th></tr>

<tr>

<th style="text-align:left">Name

</th>

<td>Sasser

</td></tr>

<tr>

<th style="text-align:left">Bekannt seit

</th>

</td></tr>

<tr>

<th style="text-align:left">Herkunft

</th>

<td><a href="Deutschland" title="Deutschland">Deutschland</a>

</td></tr>

<tr>

<th style="text-align:left">Typ

</th>

<td>Netzwerkwurm

</td></tr>

<tr>

<th style="text-align:left; vertical-align:top;">Autoren

</th>

<td><a href="Sven_Jaschan" title="Sven Jaschan">Sven Jaschan</a>

</td></tr>

<tr>

<th style="text-align:left">Dateigröße

</th>

<td>15.872 Bytes

</td></tr>

<tr>

<th style="text-align:left">Verbreitung

</th>

<td><a href="Exploit" title="Exploit">Exploit</a> in LSASS

</td></tr>

<tr>

<th style="text-align:left">System

</th>

<td><a href="Windows_2000" class="mw-redirect" title="Windows 2000">Windows 2000</a> und <a href="Windows_XP" class="mw-redirect" title="Windows XP">XP</a>

</td></tr>

<tr>

<th style="text-align:left">Programmiersprache

</th>

<td>C++

</td></tr>

</tbody></table>

<p>Der <a href="Computerwurm" title="Computerwurm">Computerwurm</a> <b>Sasser</b> verbreitete sich ab dem 13. April 2004 lawinenartig und mit hoher Geschwindigkeit auf <a href="Computer" title="Computer">Computern</a> mit den <a href="Microsoft" title="Microsoft">Microsoft</a>-<a href="Betriebssystem" title="Betriebssystem">Betriebssystemen</a> <a href="Windows_2000" class="mw-redirect" title="Windows 2000">Windows 2000</a> und <a href="Windows_XP" class="mw-redirect" title="Windows XP">Windows XP</a>.

</p><p>Der Name des Wurms ist ein Wortspiel, zusammengesetzt aus dem englischen Verb „to sass“, zu deutsch „freche Antworten geben“, und der Tatsache, dass er eine Schwachstelle im Dienst LSASS für seine Verbreitung ausnutzte.

</p>

<div class="mw-heading mw-heading2"><h2 id="Versionen_und_Derivate">Versionen und Derivate</h2></div>

<p>Der Name des Wurmes wurde von Microsoft als <i>W32.Sasser</i> festgelegt, die Originalversion wird zur Unterscheidung auch <i>Sasser.A</i> genannt.

</p><p>Innerhalb kurzer Zeit tauchten mehrere Varianten des Wurms auf: <i>Sasser.B</i>, <i>Sasser.C</i> und <i>Sasser.D</i>.

</p>

<div class="mw-heading mw-heading2"><h2 id="Funktion">Funktion</h2></div>

<div class="mw-heading mw-heading3"><h3 id="Vervielfältigung"><span id="Vervielf.C3.A4ltigung"></span>Vervielfältigung</h3></div>

<p>Sasser wurde im Gegensatz zu vielen anderen Computerwürmern, die im Jahr 2004 <a href="In-the-wild" title="In-the-wild">ausbrachen</a>, nicht als <a href="E-Mail" title="E-Mail">E-Mail</a>-Anhang versandt. Sobald sich ein Benutzer mit dem <a href="Internet" title="Internet">Internet</a> verbindet, nutzte der Wurm eine <a href="Exploit" title="Exploit">Sicherheitslücke</a> in einem <a href="Windows-Systemdienst" title="Windows-Systemdienst">Windows-Systemdienst</a> mit dem Namen Local Security Authority Subsystem Service (LSASS) aus. Fand er einen verwundbaren Rechner, infizierte er ihn mit einem <a href="Code" title="Code">Code</a>, der den eigentlichen Wurm von bereits infizierten Rechnern kopierte. Dazu startete er auf <a href="Port_(Protokoll)" class="mw-redirect" title="Port (Protokoll)">Port</a> 5554 einen <a href="File_Transfer_Protocol" title="File Transfer Protocol">FTP</a>-<a href="Server" title="Server">Server</a>.<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup>

</p><p>Microsoft hatte bereits vor dem Ausbruch von Sasser einen Patch (MS04-011) veröffentlicht, der das Exploit im LSASS-Dienst schloss. Doch viele Unternehmen und Einzelpersonen hatten ihn nicht installiert.

</p><p>Sasser und seine Varianten infizierten etwa zwei Millionen Rechner weltweit.

</p>

<div class="mw-heading mw-heading3"><h3 id="Payload">Payload</h3></div>

<p>Der befallene Rechner wurde von dem Wurm in unregelmäßigen Abständen ausgeschaltet, dies wurde durch das Beenden des Systemprozesses lsass.exe durchgeführt, da Windows beim Beenden dieses Prozesses automatisch einen Neustart durchführt. Der materielle Schaden war schwer zu bemessen, da er im Wesentlichen aus allgemeinen Produktivitätsverlusten in Unternehmen bestand und darin, dass Dritte (z. B. Kunden und Interessenten) Internetseiten zeitweise nicht erreichen und nutzen konnten.

</p><p>Das Herunterfahren konnte mit dem Befehl <code>shutdown -a</code> unter Start > Ausführen verhindert werden.<sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup> Jedoch funktionierte Windows bis zu einem Neustart nicht richtig, da lsass.exe ein wichtiger Systemprozess ist.

</p>

<div class="mw-heading mw-heading2"><h2 id="Entfernung">Entfernung</h2></div>

<p>Das Einspielen der damals verfügbaren Windows-Updates schütze sicher vor einer Infektion. Für alle etablierten <a href="Antivirenprogramm" title="Antivirenprogramm">Antimalware-Programme</a> wurden Suchmuster entwickelt, um den Wurm auf befallenen Systemen zu erkennen und zu beseitigen. Zeitgemäße Betriebssysteme kann Sasser nicht infizieren, anfällige Rechner werden heutzutage wohl nur noch in seltenen Ausnahmefällen betrieben.

</p>

<div class="mw-heading mw-heading2"><h2 id="Folgen">Folgen</h2></div>

<p>Unter den betroffenen Systemen waren Computer bei <a href="Kreditinstitut" title="Kreditinstitut">Banken</a>, <a href="Reiseveranstalter" title="Reiseveranstalter">Reiseunternehmen</a> und öffentlichen Einrichtungen. Betroffen waren die Computer der deutschen <a href="Postbank" title="Postbank">Postbank</a>, der <a href="Finnland" title="Finnland">finnischen</a> Sampo Bank, der <a href="Delta_Air_Lines" title="Delta Air Lines">Delta Air Lines</a> und der <a href="Europ%C3%A4ische_Kommission" title="Europäische Kommission">Europäischen Kommission</a> sowie weiterer Unternehmen und Behörden weltweit.<sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading3"><h3 id="Trittbrettfahrer">Trittbrettfahrer</h3></div>

<p>Ein weiterer Wurm mit dem Namen Phatbot schloss die Hintertüren, die andere Würmer geöffnet hatten, und löschte beispielsweise bei den Würmern <a href="Bagle_(Computerwurm)" title="Bagle (Computerwurm)">Bagle</a> oder <a href="Mydoom" title="Mydoom">Mydoom</a> den Schädling. Sasser jedoch wurde von Phatbot modifiziert, um alle <a href="IP-Adresse" title="IP-Adresse">IP-Adressen</a> des Wurms herauszufinden und folgte Sasser nach, um die befallenen Rechner zu infizieren. Man kann diese Infektion an einer Datei mit dem Namen <code>wormride.dll</code> im Windows-Rootverzeichnis erkennen. Ist diese Datei vorhanden, ist der Rechner mit beiden Würmern infiziert.

</p><p>Zudem nutzte ein E-Mail-Wurm mit dem Namen <i>Netsky.AC</i> die Angst von Anwendern vor Sasser aus: Als Absender gab er sich als ein Hersteller von <a href="Antivirensoftware" class="mw-redirect" title="Antivirensoftware">Antivirensoftware</a> aus und tarnte sich unter anderem als Programm zum Entfernen von Sasser.B.

</p>

<div class="mw-heading mw-heading2"><h2 id="Der_Autor">Der Autor</h2></div>

<p>Der Softwarekonzern Microsoft hatte für Hinweise auf den Urheber von Sasser eine Belohnung von 250.000 US-Dollar ausgesetzt. Daraufhin meldeten sich Mitwisser an die Polizei.

</p><p>Der Programmierer von Sasser, <a href="Sven_Jaschan" title="Sven Jaschan">Sven Jaschan</a>, ein damals 17-jähriger Schüler aus <a href="Waffensen" title="Waffensen">Waffensen</a> bei <a href="Rotenburg_(W%C3%BCmme)" title="Rotenburg (Wümme)">Rotenburg (Wümme)</a>, wurde am 7. Mai 2004 vorübergehend festgenommen. Er besuchte zu dieser Zeit eine Berufsfachschule für Informatik. Jaschan war auch für die ursprünglichen Versionen der <a href="Netsky_(Computerwurm)" title="Netsky (Computerwurm)">Netsky</a>-Computerwürmer verantwortlich.<sup id="cite_ref-5" class="reference"><a href="#cite_note-5"><span class="cite-bracket">[</span>5<span class="cite-bracket">]</span></a></sup>

</p><p>Am 8. Juli 2005 wurde Sven Jaschan vom Jugendschöffengericht des Landgerichts Verden zu einer <a href="Jugendstrafe" title="Jugendstrafe">Jugendstrafe</a> von einem Jahr und neun Monaten auf Bewährung und 30 Stunden gemeinnütziger Arbeit verurteilt.<sup id="cite_ref-6" class="reference"><a href="#cite_note-6"><span class="cite-bracket">[</span>6<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="http://virus.wikidot.com/netsky">virus.wikidot.com</a> Fachwiki-Eintrag zu <i>Netsky</i></span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="http://virus.wikidot.com/sasser">virus.wikidot.com</a> Fachwiki-Eintrag zu <i>Sasser</i></span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="http://sasser.klaffke.de/"><i>Netzwerk-Wurm Sasser – Maßnahmen zu Schutz und Entfernung.</i></a><span class="Abrufdatum"> Abgerufen am 15. April 2020</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASasser&rft.title=Netzwerk-Wurm+Sasser+%E2%80%93+Ma%C3%9Fnahmen+zu+Schutz+und+Entfernung&rft.description=Netzwerk-Wurm+Sasser+%E2%80%93+Ma%C3%9Fnahmen+zu+Schutz+und+Entfernung&rft.identifier=http%3A%2F%2Fsasser.klaffke.de%2F"> </span></span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://www.heise.de/newsticker/meldung/Datenschutzbeauftragter-von-Microsoft-sagt-im-Sasser-Prozess-aus-113914.html"><i>Datenschutzbeauftragter von Microsoft sagt im Sasser-Prozess aus.</i></a> heise online, 6. Juli 2005,<span class="Abrufdatum"> abgerufen am 28. Januar 2009</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASasser&rft.title=Datenschutzbeauftragter+von+Microsoft+sagt+im+Sasser-Prozess+aus&rft.description=Datenschutzbeauftragter+von+Microsoft+sagt+im+Sasser-Prozess+aus&rft.identifier=&rft.publisher=heise+online&rft.date=2005-07-06"> </span></span>

</li>

<li id="cite_note-5"><span class="mw-cite-backlink"><a href="#cite_ref-5">↑</a></span> <span class="reference-text">FAZ.net 9. Mai 2004: <a rel="nofollow" class="external text" href="https://www.faz.net/aktuell/gesellschaft/festnahme-von-waffensen-in-die-welt-1160122.html">Von Waffensen in die Welt</a></span>

</li>

<li id="cite_note-6"><span class="mw-cite-backlink"><a href="#cite_ref-6">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://www.rotenburger-rundschau.de/lokales/rotenburg-wuemme/sven-jaschan-infizierte-2004-mit-seinen-computerwuermern-netsky-und-sasser-millionen-rechner-weltweit-117691.html">rotenburger-rundschau.de</a> <i>Sven Jaschan infizierte 2004 mit seinen Computerwürmern Netsky und Sasser Millionen Rechner weltweit</i>, 19. November 2016</span>

</li>

</ol>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

<ul><li><span class="cite">Alfred Krüger: <a rel="nofollow" class="external text" href="https://www.heise.de/tp/features/Wuermer-made-in-Germany-3435841.html"><i>Würmer made in Germany.</i></a> <a href="Telepolis" title="Telepolis">Telepolis</a>, 9. August 2004,<span class="Abrufdatum"> abgerufen am 28. Januar 2009</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASasser&rft.title=W%C3%BCrmer+made+in+Germany&rft.description=W%C3%BCrmer+made+in+Germany&rft.identifier=&rft.creator=Alfred+Kr%C3%BCger&rft.publisher=%5B%5BTelepolis%5D%5D&rft.date=2004-08-09"> </span></li>

<li><span class="cite"><a rel="nofollow" class="external text" href="https://www.heise.de/security/meldung/Sasser-Prozess-Microsoft-zahlt-250-000-US-Dollar-Kopfgeld-114404.html"><i>Sasser-Prozess: Microsoft zahlt 250.000 US-Dollar Kopfgeld.</i></a> <a href="Heise_Security" class="mw-redirect" title="Heise Security">Heise Security</a>, 8. Juli 2005,<span class="Abrufdatum"> abgerufen am 28. Januar 2009</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASasser&rft.title=Sasser-Prozess%3A+Microsoft+zahlt+250.000+US-Dollar+Kopfgeld&rft.description=Sasser-Prozess%3A+Microsoft+zahlt+250.000+US-Dollar+Kopfgeld&rft.identifier=&rft.publisher=%5B%5BHeise+Security%5D%5D&rft.date=2005-07-08"> </span></li>

<li><span class="cite"><a rel="nofollow" class="external text" href="https://www.stern.de/digital/online/-sasser--programmierer-der-wurm-von-der-wuemme-5801568.html"><i>"Sasser"-Programmierer: Der Wurm von der Wümme.</i></a> <a href="Stern_(Zeitschrift)" title="Stern (Zeitschrift)">Stern</a>, 17. Juni 2004,<span class="Abrufdatum"> abgerufen am 24. Januar 2016</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASasser&rft.title=%22Sasser%22-Programmierer%3A+Der+Wurm+von+der+W%C3%BCmme&rft.description=%22Sasser%22-Programmierer%3A+Der+Wurm+von+der+W%C3%BCmme&rft.identifier=&rft.publisher=%5B%5BStern+%28Zeitschrift%29%7CStern%5D%5D&rft.date=2004-06-17"> </span></li>

<li><a rel="nofollow" class="external text" href="https://www.faz.net/aktuell/gesellschaft/computer-millionen-rechner-leiden-unter-sasser-1148023.html">faz.net</a> Millionen Rechner leiden unter „Sasser“, 4. Mai 2004</li></ul></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-11-18" href="https://de.wikipedia.org/wiki/?title=Sasser&oldid=261657961">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>