Linux.Wifatch ist ein Computerwurm, der 2014 entdeckt wurde.^[1][2] Der Wurm versucht Router zu infizieren um anschließend eventuelle Sicherheitslücken zu schließen. Es handelt sich also nicht um ein Schadprogramm im eigentlichen Sinne, sondern um einen sogenannten Helpful Worm, bzw. um einen Nematoden.

Wifatch ist in Perl geschrieben und benutzt einen eigenen Interpreter.^[3] Er unterscheidet sich relevant von den meisten anderen Würmern. Zum einen ist der Quelltext von Wifatch nicht obfuskiert, zum anderen war der Wurm nicht auf schädlichen Aktivitäten ausgelegt.

Im Quelltext von Wifatch befindet sich ein Zitat von Richard Stallman:

To any NSA and FBI agents reading this: please consider whether defending the US Constitution against all enemies, foreign or domestic, requires you to follow Snowden's example.

Die Angriffe des Wurms wurden vermutlich über schwache Telnet-Passwörter mit Hilfe der Brute-Force-Methode ausgeführt. Die meisten betroffenen Geräte befanden sich in der Volksrepublik China und in Brasilien.^[4]

Wifatch schließt Sicherheitslücken bei den betroffenen Geräten. Über ein Peer-to-Peer-Netzwerk kann der Nematode die betroffenen Geräte updaten. Der Wurm deaktiviert anschließend den Telnet-Client, hinterlässt jedoch eine Nachricht für die Besitzer des Gerätes:

Telnet has been closed to avoid further infection of this device. Please disable telnet, change telnet passwords, and/or update the firmware.

• Beschreibung des Wurms Symantec (englisch)
• Erläuterung und Quellcode The White Team/GitLab (englisch)

1. ↑ Charlie Osborne: Internet of Things vigilante malware strikes tens of thousands of devices - to protect them. ZDNet, 2. Oktober 2015, abgerufen am 6. Oktober 2015 (englisch). 
2. ↑ CASE 1 : ifwatch malware Part 1. 9. November 2014, abgerufen am 6. Oktober 2015 (englisch). 
3. ↑ Rudolf Opitz: Virus oder Impfstoff? WiFatch befällt Router und schützt vor Malware. Heise online, 3. Oktober 2015, abgerufen am 6. Oktober 2015. 
4. ↑ Mario Ballano: Is there an Internet-of-Things vigilante out there? Symantec, 1. Oktober 2015, abgerufen am 6. Oktober 2015 (englisch).