Am Dienstag, dem 19. August, hat in Europa die erste Welle des
Computerwurms Sobig.F zugeschlagen und sich auch extrem schnell an der TU
mit E-Mails mit gefälschten Absender- und Empfängeradressen verbreitet.
Wurde das Attachment geöffnet, war der Rechner infiziert. www.antivir.de/vireninfo/sobig_f.htm Die meisten Anti-Viren Produkte (außer Sophos) hatten anfangs keinen Patch
gegen diesen Wurm. Ab ca. 12 Uhr traten die ersten Infektionen an der TU
auf. Der Mail-Bastionsrechner konnte ab 15 Uhr mit einer Speziallösung
gepatcht werden. Erst ab 16 Uhr kam ein Patch über das automatische Update
von Norton Anti Virus, welches die zweite Sicherheitsstufe darstellt.

Der Wurm verbreitete sich deshalb so rasch, weil er sich nicht - wie
ähnliche Würmer - über MS Outlook oder Outlook Express sondern über einen
eigenen SMTP-Dienst verbreitete. Sobig.F verwendet das Outlook-Adressbuch,
um E-Mail-Adressen zusammenzusetzen und zu verändern und sich unter diesen
Namen auszugeben.

Ferner trafen uns zwei weitere Viren-Wellen durch Notebook- und ADSL-User:
W32.Blaster und W32.Welchia. Vor allem W32.Blaster macht bis heute noch
Probleme.

Zusätzlich zu den Maßnahmen, die an den Mail-Bastionsrechnern getroffen
wurden, wurden vom ZID Log-Files analysiert, die von den Instituten zur
Verfügung gestellt wurden, um daraus eventuell infizierte Rechner zu
ermitteln. Dann wurden die entsprechenden Administratoren kontaktiert und
beraten.

Wo Systemunterstützungs-Wartungsverträge bestehen
( sts.tuwien.ac.at/pss/ ), werden die Viren und Würmer von uns beseitigt
und die Rechner gepatcht, in den anderen Fällen geben wir Hinweise zur
Sicherung der Systeme.

Aktuelle Informationen zur Viren- und Würmer-Problematik finden sich auf
den Webseiten der ZID Security: www.zid.tuwien.ac.at/security/ An dieser Stelle soll wiederum darauf hingewiesen werden, wie wichtig es
ist, vor dem Öffnen eines Attachments zu prüfen, ob der Absender
vertrauenswürdig ist. Vor allem bei unverlangt zugesendeten Attachments,
die exekutierbar sind oder Macros enthalten können (Extensions .exe, .com,
.pif, .doc, .xls, .ppt etc), sollte erst mit dem Absender telefonische
Rücksprache gehalten werden.

Weiters empfehlen wir, Anti-Viren-Software laufend auf dem aktuellen Stand
zu halten und regelmäßig einen Viren-Scan über alle Laufwerke
durchzuführen. Entsprechende Software wird im Rahmen der Campussoftware für
Institute der TU zu günstigen Preisen angeboten: sts.tuwien.ac.at/css/ Ingmar Jaitner
ak.gep. Datentechniker
Security/Abt. Standardsoftware ZID TU-Wien
Tel.: 01 / 588 01 42037
Fax: 01 / 588 01 42099
---