Der Computerwurm Anna Kournikova sorgte bei seinem Ausbruch am 11. Februar 2001 für zahlreiche überlastete E-Mail-Server und Systemstörungen.blog.to.com Blog.to.com: History of Hacks-Anna Kournikova Wurm
Benannt ist der Wurm nach der damals noch aktiven russischen Tennisspielerin Anna Kurnikowa. Die schädliche Datei war als AnnaKournikova.jpg.vbs beschriftet.
Anna Kournikova war in Visual Basic Script geschrieben und verschickte sich automatisiert als Mail-Anhang. Das Skript wurde von dem damals zwanzigjährigen niederländischen Studenten Jan de Wit geschrieben.
Aliasse Der Autor des E-Mail-Wurms verwendete das Pseudonym OnTheFly. Das Wurm-Programm nannte er selbst Vbs.OnTheFly, was für „Visual Basic Script von OnTheFly“ steht.
In der Presse und im Sprachgebrauch etablierte sich aber noch am Tag der Infektionswelle der Name Anna Kournikova, manchmal auch ohne Leerzeichen, AnnaKournikova. Sehr häufig wurde und wird der Wurm auch fälschlich als Anna-Kournikova-Virus bezeichnet.
Versionen und Derivate In der Folge gab es mehrere Abkömmlinge des Anna-Kournikova-Wurms.
Einer der bekanntestem Nachahmer versprach ein angebliches Nacktfoto der Sängerin und Schauspielerin Jennifer Lopez. Dieser Wurm geriet etwa vier Monate später in Umlauf. Der Wurmcode ist aber kein wirkliches Derivat des Anna-Kournikova-Wurms, wie in den Medien aufgrund der ähnlichen Verbreitung teils berichtet wurde. Stattdessen basiert er auf dem Code von Loveletter, hat aber teilweise einen veränderten Payload. Der Lopez-Wurm konnte befallene Rechner zusätzlich mit dem CIH-Virus infizieren. Unter Windows-9x-Betriebssystemen brachte CIH die Gefahr von Datenverlusten und, in seltenen Fällen, auch Firmwareschäden mit sich.Greg Sandoval: Virus dresses up as a naked Jennifer Lopez. 1. Juni 2001
Fast zur selben Zeit wie Anna Kournikova, ab dem 15. Februar 2001, kursierte in Deutschland der T-Online-Wurm, der von der Funktion her quasi identisch mit Anna Kournikova ist. Er gab aber vor, eine Textdatei zu sein, und köderte mit einem angeblichen Angebot der Telekom, das günstigere Internetgebühren versprach. Auch er ist keine Variante des Anna-Kournikova-Wurms, wie in der Presse teilweise behauptet wurde. Die VB-Skripte unterscheiden sich größtenteils deutlich.Vorsicht: T-Online-Wurm breitet sich rasant aus
Aufbau und Funktion De Wit verwendete das Toolkit VBS Worm Generator zum Erstellen des Wurms.Details zum VBS Worm Generator V.2 von Hans-Christian Dirscherl, März 2001 Das Kit ist nur 38 KByte groß und verfügt über mehrere Funktionen zum Erstellen und Überarbeiten von Visual-Basic-Würmern. Zu diesem Zeitpunkt war das Tool noch frei verfügbar und online erhältlich.
Der Entwickler des VBS Worm Generator war ein damals achtzehnjähriger Programmierer aus Buenos Aires. Als sein Tool und sein Pseudonym [K]Alamar im Zusammenhang mit dem Kournikova-Wurm im Fernsehen genannt wurden, entfernte er das Programm von seiner Website. Zuvor hatte er es zum freien Download zur Verfügung gestellt.
Benutzer anderer E-Mail-Programme als Outlook oder anderer Betriebssysteme als Windows (MacOS, Linux etc.) waren nicht betroffen. Das Ausführen des Anhangs hatte in diesem Fall keinen praktischen Effekt. Außerdem war die passende Laufzeitumgebung für VB-Scripte notwendig. Sie war aber auf zeitgemäßen Windows-Rechnern standardmäßig installiert.
Vervielfältigung Das VB-Skript verbreitete sich als Attachment per E-Mail. Die Betreffzeile einer solchen Mail lautete bei der Originalversion des Wurms: Here you have ,; 0)
Die Mail selbst enthielt den Text: Hi: Check This!
Die Datei im Anhang hatte den Namen: AnnaKournikova.jpg.vbs
Davon war aber bei den damals gebräuchlichen Betriebssystemen und üblichen Einstellungen aber nur AnnaKournikova.jpg zu sehen. Die Dateiendungen von bekannten Dateien, in diesem Fall von einem Visual-Basic-Skript, wurden im Browser oder Mail-Client meist ausgeblendet.
Social Engineering Der Dateiname signalisierte aufgrund der Bekanntheit des JPG-Formates dem User, es handle sich um ein Foto der damals sehr bekannten Tennisspielerin Anna Kurnikowa. Infolgedessen klickten tausende von Usern auf den Anhang, um das vermeintliche Bild zu öffnen.
Die Anwendung Microsoft Outlook war das Mittel zur Verbreitung des Wurms. Öffnete ein E-Mail-Empfänger den Anhang und startete dadurch das Skript, erschien nicht das erwartete Bild von Kurnikowa. Stattdessen versendete sich der Wurm an alle im Microsoft-Outlook-Adressbuch gespeicherten Adressen. Das Misstrauen beim Empfänger war daher eher gering, es handelte sich vermeintlich ja um einen bekannten Absender. Allgemein gelten JPEG-Dateien als relativ ungefährlich. Der Anna-Kournikova-Wurm nutzte also in erster Linie die soziale Komponente für seine Verbreitung. Die Effektivität dieser einfachen Trickserei war enorm.Markus Pilzweger: Vorsicht, neuer Wurm im Umlauf! 13. Februar 2001 .
Payload Der Wurm enthielt außerdem eine Funktion, die eine DoS-Attacke gegen die Website des niederländischen Computershops DynaByte durchführen konnte. Ausgelöst wurde sie nur, wenn der Wurm an einem 29. Januar aktiviert wurde. DynaByte als Ziel war mehr oder weniger wahllos, Jan de Wit hatte während des Schreibens des Skripts zufällig eine Rechnung des Computershops auf seinem Schreibtisch liegen. Dieses Datum lag bei der ersten Freisetzung des Wurms noch ein knappes Jahr in der Ferne. Dass bis dahin noch eine ausreichende Anzahl Kopien des Schadprogramms in Umlauf waren, um eine effektive Attacke starten zu können, war völlig ausgeschlossen. Das war sicher auch dem Autor von Anna Kournikova bewusst gewesen. Sein Motiv für die Programmroutine ist nicht bekannt, vermutlich wollte er diesen sinnlosen Payload als Mahnung einbauen und damit zeigen, dass der Wurm mit wenigen Modifikationen weit schlimmere Folgen haben könnte. Spiegel.de: Anna Kournikowa Virus ich tue das nie wieder
Schutz und Entfernung Der Wurm Anna Kournikova stellt keine zeitgemäße Gefahr mehr dar. Anna Kournikova hatte große Ähnlichkeit mit dem bereits seit August 2000 bekannten Wurmstamm VBS/SST@MM. Da es sich somit praktisch nicht um ein neues Programm handelte, sondern um eine Variante von bereits bekannten Würmern, konnten einige der damals aktuellen Antiviren-Scanner den Wurm bereits am Tag der Infektionswelle identifizieren und problemlos entfernen. Die schnelle Verbreitung des Wurms zeigt aber, dass IT-Schutzsoftware im Jahr 2001 noch keineswegs einen etablierten Standard darstellte. Aktuelle Betriebssysteme und Outlook-Versionen sind gegen den Wurm nicht mehr anfällig. E-Mail-Anbieter prüfen Dateianhänge automatisch auf bekannte Malware und verweigern den Versand von kritischen Attachments. Antivirenprogramme erhielten noch in derselben Woche entsprechende Updates, um den Effekt des Anna-Kournikova-Wurms bei Echtzeitüberwachung zu unterbinden. Die Ausführungsrichtlinien für VB-Skripte wurden überarbeitet und sicherer. Eine Personal Firewall schützte nicht vor den Auswirkungen von Anna Kournikova. Outlook musste standardmäßig als Ausnahme zugelassen werden, um die gewünschten Funktionen zu ermöglichen. Zudem waren Personal Firewalls im Jahr 2001 im Privatgebrauch noch nicht etabliert.
Situation um 2001 Die Zeit von 2000 bis 2010 war die Goldene Ära der Computerwürmer. Anna Kournikova war nach Loveletter aus dem Jahr 2000 erst der zweite Wurm mit nahezu weltweiter medialer Aufmerksamkeit. Im Fahrwasser des Kournikova-Wurms machte in Deutschland der T-Online-Wurm einige Schlagzeilen. In diesem "Jahrzehnt der Würmer" folgten noch zahlreiche weitere bekannte und berüchtigte Malware, wie Sasser, Sobig.F, MyDoom, Netsky, Conficker oder Stuxnet. Vorfälle mit herkömmlichen Datei- oder Makroviren waren dagegen kaum ein Thema mehr in den Massenmedien.
Auswirkungen des Wurms Am 11. Februar 2001 verbreitete de Wit gegen 15:00 Uhr den Wurm erstmals über eine Newsgroup. In der Folge grassierte er nahezu global. Das Datum fiel auf einen Sonntag. Möglicherweise wollte Jan de Wit ausnutzen, dass dieser Tag von vielen Privatpersonen zum Surfen und für E-Mailverkehr genutzt wird.
Anna Kournikova ähnelte zwar dem Loveletter-Wurm, der ein Jahr zuvor im Jahr 2000 aufgetreten war, beschädigte jedoch keine Daten auf infizierten Computersystemen. Dennoch verursachte der Wurm den Versand von Millionen von E-Mails und verursachte dadurch zahlreiche Probleme bei IT-Anlagen und E-Mail-Servern.
Da es sich um einen einfachen Skriptwurm handelte, konnte sich Anna Kournikova zwar automatisiert, aber nicht selbstständig auf andere Rechner verbreiten. Ausschlaggebend für die rasante Verbreitung waren ausschließlich E-Mail-Empfänger, die den Anhang der Mail öffneten. Dabei spielten mehrere soziale Komponenten eine Rolle. Der Absender der E-Mail war meist bekannt, die Neugier wurde geweckt und Bild-Dateien galten allgemein als eher ungefährlich. Ein JPEG des damals neunzehnjährigen Tennisstars und Fotomodels wirkte nicht weiter verdächtig. Dass es sich dabei in Wahrheit nicht um ein Foto, sondern um ein Visual Basic Script handelte, fiel in vielen Fällen nicht sofort auf.
Am Dienstag, den 13. Februar ging auf einer niederländischen Website ein kurzes Bekennerschreiben ein. Unter seinem Pseudonym OnTheFly gab de Wit an, er habe keinen Schaden anrichten wollen. Der Wurm sei eine Warnung an unvorsichtige Internetnutzer, die unbekannte Dateianhänge bedenkenlos öffnen.Anna Kournikova sollte nur eine Warnung sein. In: Handelsblatt. 14. Februar 2001 (). Dass der Wurm durch seine lawinenartige Verbreitung auch Serverausfälle verursachen würde, habe er nicht für möglich gehalten, schrieb de Wit in seinem Bekennerschreiben.
Am Nachmittag des 14. Februar stellte sich Jan de Wit der niederländischen Polizei.
Der Autor mini|300px|Anna Kurnikowa 2002 beim Training.
Der damals zwanzigjährige niederländische Student Jan de Wit war der Urheber des Wurm-Skripts. Malware war allgemein eines seiner Interessensgebiete, zudem war er ein Fan von Kurnikowa. Um den Wurm zu erstellen, benötigte er nach eigenen Angaben nur wenige Stunden.
De Wit veröffentlichte am 13. Februar zwei Bekennerschreiben im Internet. Einer der Onlinedienste gab am nächsten Tag an, dass man OnTheFly identifiziert habe.Florian Rötzer: Angeblicher Fan will den Kournikova-Wurm geschrieben haben In: Heise.de, 14. Februar 2001; abgerufen am 20. September 2026.Jo Bager: Autor von AnnaKournikova stellt sich In: Heise.de, 14. Februar 2001; abgerufen am 20. September 2026. Einem Pressebericht nach soll auch David L. Smith – Autor des 1999er-Virus Melissa – bei der Überführung von de Wit geholfen haben.Court documents reveal that Melissa's author helped authorities catch other virus writers. 10. Mai 2009 sophos.com. Bevor es zu einer Verhaftung kam, stellte sich de Wit aber selbst den Behörden. Er meldete sich am 14. Februar 2001 bei der Polizei in seiner Heimatstadt Sneek. Darin gab er zu, den Wurm mithilfe eines Toolkits erstellt zu haben, und erläuterte seine Beweggründe, um festzustellen, ob die IT-Community nach früheren Malwareinfektionen ihre Lektion zur besseren Sicherheit von Systemen gelernt hatte.Mutmaßlicher Urheber des Kournikova Virus stellt sich. In: Computerwoche. computerwoche.de.
Neben seinem Bedauern machte er die Arglosigkeit vieler Computerbesitzer für das Ausmaß der Verbreitung verantwortlich. Er bezeichnete auch seinen Bauerntrick mit dem angeblichen Foto als idealen Köder. Im Gegensatz zum Virus Melissa und dem E-Mail-Wurm Loveletter, die rein auf die Neugier der Mail-Empfänger setzten, nutzte de Wit auch noch Kurnikowas attraktives Aussehen als Mittel zur effektiveren Verbreitung seines Wurms.Wurm statt Warnung heise.de.