Loveletter ist ein Computerwurm, der sich am 4. Mai 2000 und den folgenden Tagen nach dem Prinzip eines Kettenbriefs explosionsartig per E-Mail verbreitete. Die Betreffzeile lautete „ILOVEYOU“.

Er war der erste Computerwurm, über den weltweit in den Massenmedien berichtet wurde. Der Wurm verursachte Schäden in Höhe von über 10 Milliarden Dollar. Als Urheber konnte der philippinische Informatikstudent Onel de Guzmán ermittelt werden. Aufgrund der damaligen Gesetzeslage konnte man ihn nicht anklagen und verurteilen.

Aliasse

Der Autor des Wurms verwendete im Programmkopf die Bezeichnung -loveletter(vbe).

Loveletter wurde in der Presse und der Allgemeinheit oft auch I-love-you genannt. Häufig wurde der Wurm auch fälschlich als I-Love-You-Virus bezeichnet. Computerviren waren der Öffentlichkeit um die Jahrtausendwende bereits ein Begriff, während Würmer damals nur in Fachkreisen bekannt waren. Vor allem in den USA war auch die Bezeichnung Love Bug geläufig.

Versionen und Derivate

Da der Wurm aus einer Skript-Datei besteht, die nicht kompiliert wird und mit jedem gewöhnlichen Editor bearbeitet werden kann, gibt es mehr als 100 bekannte Varianten. Oft handelt es sich nur um kleine Veränderungen, wie ein alternativer E-Mail- oder IRC-Text oder andere Dateinamen. Einige dieser Trittbrettfahrer konnten ausgeforscht und verhaftet werden.

Funktion

Loveletter wurde in der Skriptsprache Visual Basic Script geschrieben. Es handelt sich somit um ein vergleichsweise einfaches Programm, das aber in der VBScript-Laufzeitumgebung ausgeführt werden muss. Die Datei hatte den Namen LOVE-LETTER-FOR-YOU.TXT.vbs. Zur Verbreitung wurde der Wurm vor allem als Anhang von E-Mails versendet. Die Betreffzeile solcher Mails lautete ILOVEYOU, sie enthielt den Satz kindly check the attached LOVELETTER coming from me. Neben dem Neugier erweckenden Betreff versuchte „ILOVEYOU“ gezielt, die Empfänger in falscher Sicherheit zu wiegen – er verschickte sich an Einträge aus dem persönlichen Adressbuch, so dass die Empfehlung „Öffnen Sie keine Mailanhänge von fremden Personen“ nicht griff. Da die Dateiendung .vbs des Attachments bei Standardeinstellungen ausgeblendet wird, sah der Dateiname zudem auf den ersten Blick trügerischerweise nach einer harmlosen Textdatei aus. Das Icon der Datei gab zwar einen deutlichen Hinweis auf den eigentlichen Dateityp, dies wurde von vielen Empfängern der verseuchten Mails aber nicht wahrgenommen.

Bei den damaligen Versionen von Outlook gab es die Möglichkeit, das Attachment einer geöffneten E-Mail automatisch auszuführen. Vorfälle wie Loveletter waren für Microsoft der Grund, diese Funktion in späteren Outlook-Versionen aus Sicherheitsgründen zu entfernen. Loveletter konnte nur auf Windows-PCs aktiviert werden und benötigte für seine volle Funktion zusätzlich das E-Mail-Programm Microsoft Outlook. Außerdem musste Windows Scripting Host (WSH) installiert sein, was allerdings seit Windows 98 SE und Windows 2000 standardmäßig der Fall war. Die Einstellungen eines Windows-Systems erlauben es normalerweise nicht, dass durch ein Skript Veränderungen an Dateien vorgenommen werden. Der Wurm öffnete daher den Internet Explorer und blendete einen Text ein, laut dem die Htm-Datei ein ActiveX-Steuerelement benötigen würde. Ließ der User dies zu, wurden der Payload und die Verbreitungsroutine von Loveletter ausgeführt. Bei einer Ablehnung wurde die Meldung allerdings sofort erneut aufgerufen.

Waren alle Voraussetzungen erfüllt, konnte Loveletter seinen vollen Effekt entfalten.

Schäden

Auf Grund seiner exponentiellen Verbreitung hatte der Wurm bereits in den ersten Stunden viele Mailserver überlastet. Die Schätzungen über die Höhe des Schadens und das Ausmaß der Infektionswelle gingen dabei teils weit auseinander, meist wurde von 10 Milliarden US-Dollar berichtet, oft auch von bis zu 15 Milliarden US-Dollar Schaden. Es war von 50 Millionen infizierten PCs die Rede oder auch nur von 500.000. Andere Quellen nannten 45 Millionen oder auch nur knapp 4 Millionen infizierte Rechner als Ausmaß. Die Zahlen variieren unter anderem, weil je nach Rechnung die zahlreichen Mehrfachinfektionen mehr oder weniger eingerechnet werden.

In negativem Sinne stellte Loveletter damit einen Rekord auf, der später aber von anderen Würmern wie Sobig.F oder MyDoom noch übertroffen wurde. In nur 6 Stunden verteilte sich der Wurm in ganz Amerika und Europa. Das in Washington ansässige NIPC gab um 11:00 Uhr Eastern Time eine Warnung aus. Die URL, die Loveletter nutzen sollte, um weitere Malware nachzuladen, wurde noch am selben Tag deaktiviert. Die ersten Fälle wurden aus Hongkong gemeldet.

Betroffene Institutionen waren unter anderem das Pentagon, das britische Parlament, das NASA Space Center in Houston, der Automobilhersteller Ford, der Telekommunikationskonzern Vodafone, die niederländische High-Tech-Firma Philips, die US-Armee und die Walt Disney Company.

Der Autor

Nachdem man erst fälschlich eine philippinische Informatikstudentin im Verdacht hatte, konnte der wahre Urheber von Loveletter nach wenigen Tagen identifiziert werden. Ein Kommentar in den ersten beiden Zeilen des Skripts führte die Ermittler auf seine Spur:

rem barok -loveletter(vbe) <i hate go to school> 
rem by:spyder / ispyder@mail.com / @GRAMMERSoft Group / Manila, Philippines

Der Urheber war demnach ein männlicher, philippinischer Student. Bereits ein Jahr zuvor hatte ein Professor des AMA Computer College in Manila bei der Polizei einen Schüler gemeldet, der eine Studienarbeit abgegeben hatte, die sich mit dem Diebstahl von Passwörtern befasste. Das führte nach kurzer Zeit zur Verhaftung von Onel de Guzmán.

Man konnte de Guzmán nach philippinischer Rechtslage vom Jahr 2000 keinen Prozess machen. Gesetze für Cyberkriminalität gab es noch nicht und Sachbeschädigung war nur bei Vorsatz strafbar. De Guzmán gab vor Gericht an, den Wurm aus Versehen freigelassen zu haben. Damit wurden alle Anklagen fallengelassen. Bereits zwei Monate später erließ man ein Gesetz gegen das Programmieren von Malware. Der philippinische Kongress erließ im Juli 2000 das Republic Act Nr. 8792.

2019 räumte de Guzmán in einem Interview ein, dass er damals durchaus im Sinn gehabt hatte, Passwörter zu stehlen. Außerdem habe er seine Mittäter geschützt.

Folgen

• Auf Grund seiner schnellen und weiten Verbreitung sowie der Höhe des entstandenen Schadens wurde die Thematik von den Massenmedien aufgegriffen und in das öffentliche Bewusstsein gerückt. Auf diese Weise wurden viele Computernutzer in Europa gewarnt, lange bevor die Antivirenprogramm-Hersteller ihre Signaturen aktualisiert hatten.
• Die Ereignisse inspirierten den Song "E-Mail" auf dem britischen Top-Ten-Album "Pet Shop Boys" von 2002, "Release", dessen Texte thematisch auf den menschlichen Wünschen basieren, die die Massenvernichtung dieser Computerinfektion ermöglichten.
• 2012 ernannte das Smithsonian Institut Loveletter zum zehnthäufigsten virulenten Computervirus in der Geschichte.
• Die mittlerweile nicht mehr bestehende Werbeagentur Springer & Jacoby schaltete in der Folge eine ganzseitige Anzeige in der Zeitschrift Die Welt. Auf den ersten Blick wirkte das Inserat wie eine Werbeanzeige des Konzerns Apple mit der Überschrift: „Liebe Windows-User: We love you!“. Betroffen von Loveletters direkten Folgen waren nur Betriebssysteme des Konkurrenten Microsoft.

Einzelnachweise

Weblinks

• Die betreffende Warnung im Heise-Newsticker vom 4. Mai 2000 12:28 Uhr
• Interview mit Onel Guzman aus dem Jahr 2020
• Eintrag bei F-Secure
• Revealed: The man behind the first major computer virus pandemic
• The ILOVEYOU Computer Virus, 20 Years On – What happened to Onel de Guzman?
• Lovletter-Skript auf GitHub. Abgerufen am 1. Mai 2023.