Neuester Virus

Mein PC-Kumpel schickte mir folgende Info:

Bundesamt warnt vor dem neuen Sobig-Wurm
Neue Gefahr nach Blaster/Lovsan: Durch Doppelklick auf den Anhang
installiert sich ein Trojaner
Nur eine Woche nach der Aufregung um den Computer- Wurm Blaster/Lovsan hat
das Bundesamt für Sicherheit in der Informationstechik (BSI) vor einem neuen
gefährlichen Schädling gewarnt. Eine Variante des bereits bekannten
Sobig-Wurms hat wie bereits berichtet innerhalb von nur wenigen Stunden
Tausende Rechner infiziert, teilte das BSI in Bonn mit. Sobig.F
<http://www.bitdefender.com/bd/…fo.php?menu_id=1&v_id=152>
verbreite sich seit Dienstag per E- Mail mit großer Geschwindigkeit und
werde durch einen Doppelklick auf den Dateianhang aktiviert. Erstmals war
ein Sobig-Wurm vor etwas mehr als einem halben Jahr im Internet in Umlauf
gebracht worden. E-Mails mit dem Wurm ließen sich nur schwer erkennen, da
die Namen der Anhänge und des Absenders variieren können, sagte Frank
Felzmann vom Bundesamt. Das neueste Mitglied der Sobig-Familie
<http://php.zdnet.de/suchen/wei…?method=and&format=long&s
ort=time&config=news_footer&restrict=&exclude=&words=sobig&noim=1> verbreite
sich wie auch seine Vorgänger per E-Mail anhand seiner eigenen SMTP-Engine
sowie über Freigaben in Windows-Netzwerken. Erste Kopien des Wurms sollen
ihren Ursprung in den USA haben. Infizierte E-Mails weisen angeblich
folgende Merkmale auf: Betreffzeile: "Re: That movie" "Re: Wicked
screensaver" "Re: Your application" "Re: Approved" "Re: Re: My details" "Re:
Details" "Your details" "Thank you!" "Re: Thank you!" Body: Please see the
attached file for details. bzw. See the attached file for details
Dateianhang: "movie0045.pif" "wicked_scr.scr" "application.pif"
"document_9446.pif" "details.pif" "your_details.pif" "thank_you.pif"
"document_all.pif" "your_document.pif" Durch einen Doppelklick auf den
Dateianhang installiert der Schädling ein so genanntes Trojanisches Pferd
auf dem Rechner. Trojanische Pferde sind manipulierte Programme, die den
Zugriff von Außen auf die Daten des Rechners ermöglichen. Das BSI warnt
dringend davor, Datei-Anhänge von eingehenden E-Mails ungeprüft zu öffnen.

----------------------------------------------------------------------------
----------------------------------------------------------------------------
----------------------------------------------------------------------------
----------------------
Bereits mehrere Tausend Windows-Systeme befallen
Der Antiviren-Spezialist BitDefender warnt heute vor gleich zwei neuen
Internet-Würmern, die sich rasant verbreiten.

Sobig.F, das neueste Mitglied der Sobig-Familie, habe Berichten zufolge
bereits mehrere Tausend Windows-Systeme infiziert und verbreite sich
zunehmend schnell. Wie auch seine Vorgänger verbreitet sich der Massenmailer
per E-Mail anhand seiner eigenen SMTP-Engine sowie über Freigaben in
Windows-Netzwerken. Erste Kopien des Wurms sollen ihren Ursprung in den USA
haben.

Infizierte E-Mails weisen angeblich folgende Merkmale auf:

Betreffzeile:
"Re: That movie"
"Re: Wicked screensaver"
"Re: Your application"
"Re: Approved"
"Re: Re: My details"
"Re: Details"
"Your details"
"Thank you!"
"Re: Thank you!"

Body:
Please see the attached file for details.
bzw.
See the attached file for details

Dateianhang:
"movie0045.pif"
"wicked_scr.scr"
"application.pif"
"document_9446.pif"
"details.pif"
"your_details.pif"
"thank_you.pif"
"document_all.pif"
"your_document.pif"

Der Dumaru-Wurm erscheint als angebliches E-Mail von Microsoft mit folgendem
Inhalt:

Absender:
Microsoft

Betreffzeile:
Use this patch immediately !

Body:
Dear friend , use this Internet Explorer patch now! There are dangerous
virus in the Internet now! More than 500.000 already infected!

Anhang:
patch.exe

Wird der Anhang ausgeführt, installiert dieser eine Backdoor-Komponente, die
eine Verbindung zu einem passwortgeschützten IRC-Channel aufbaut. Hier
wartet der Schädling auf Befehle des Virenautoren.

Einige Antivirenhersteller geben seit heute Warnungen heraus, dass der weit verbreitete Wurm Sobig.F ab heute abend vermutlich neue Komponenten von fest im Quelltext verankerten 'Master-Servern' aus dem Netz laden soll. Der Wurm soll in der Lage sein von diesen Servern beliebigen Code zu beziehen und auszuführen. Dadurch kann er sich aktualisieren oder gar Schadroutinen laden. Sobig kommuniziert mit bestimmten NTP-Servern um sich die aktuelle UTC-Zeit zu besorgen. Freitags bis Sonntags zwischen 19 und 22 Uhr UTC (21 und 24 Uhr deutscher Zeit) versucht er dann Kontakt mit den 'Master-Servern' herzustellen.

Heute mal wieder GMX geöffnet und 308 Mails....Virenmails des Sobig.F

Auszug aus GMX:

GMX Viren-Report

Während in Teilen der Republik noch immer schläfrige Urlaubsstimmung vorherrscht, hat einer in diesen Tagen richtig viel zu tun: Mehr als 420.000 mit dem Sobig.F-Wurm infizierte e-mails hat der GMX Virenschutz innerhalb von drei Tagen gefiltert. Und Besserung ist keineswegs in Sicht, wie die GMX interne Virenschutz-Statistik verrät. Seit Dienstag ist die Rate infizierter e-mails vom vorherigen Durchschnittswert von einem Prozent auf mittlerweile 16% angestiegen!

In seiner rasanten Verbreitung übertrifft "Sobig.F" nach Einschätzung von Experten bislang bekannte Schädlinge um das Zehnfache. Der Wurm, der sich per e-mail verbreitet, soll bereits Hunderttausende Windows-Rechner befallen haben. Das Moskauer IT- Sicherheitsunternehmen Kaspersky Lab sprach sogar von der "größten Epidemie" in den vergangenen eineinhalb Jahren.

"Hunderttausende Sobig-F-Kopien geistern nun durch das Internet, so dass bei einigen Unternehmen das E-Mail-System bereits kollabiert ist", sagte Gernot Hacker, Technik-Experte beim Münchner Anti-Virensoftware-Hersteller Sophos. Wegen der hohen Verbreitungsgeschwindigkeit vermutet das Unternehmen, dass der Wurm so genannte Spam-Technologie zum Massenversand eingesetzt hat. Sein "Erfolg" beruht nach Angaben des Karlsruher IT-Experten Christoph Fischer auf zwei neuartigen Eigenschaften: Zum einen durchsucht "Sobig.F" nicht nur das Adressbuch des Empfängers, sondern gleich auch dessen gesamte Festplatte - und zwar "gründlichst", wie Fischer betont. Zum anderen kann sich der Wurm Dank einer "multi-threading"-Technik hundertfach gleichzeitig statt hintereinander versenden. Fischer spricht von Hinweisen, dass "Sobig.F" ein Test aus der Spammer-Ecke ist. Denn die Versender von Werbemails im Internet arbeiteten an Techniken, um ihre unerwünschten Botschaften mittels Würmer zu verbreiten. Dann sind die Täter nicht mehr ermittelbar, erklärte Fischer.

Sobig.F Kurzprofil (Quelle: Sophos)

W32/Sobig-F ist ein Wurm, der sich via E-Mail und über Netzwerkfreigaben verbreitet. Der Wurm versendet sich unter Verwendung seiner eigenen SMTP-Engine als Attachment an e-mail-Adressen, die er in verschiedenen Dateien auf dem Computer des Opfers findet. Wenn er sich per e-mail versendet, fälscht er die Adresse des Senders, so dass nur schwer ermittelt werden kann, wessen Computer tatsächlich infiziert ist.

Die e-mail hat folgendes Format:

Betreffzeile: Ausgewählt aus:
Re: That movie / Re: Wicked screensaver / Re: Your application / Re: Approved / Re: Re: My details / Re: Details / Your details / Thank you!

Text: Ausgewählt aus:
Please see the attached file for details. / See the attached file for details

Attachment: Ausgewählt aus:
movie0045.pif / wicked_scr.scr / application.pif / document_9446.pif / details.pif / your_details.pif / thank_you.pif / document_all.pif / your_document.pif

W32/Sobig-F versucht außerdem, sich zu verbreiten, indem er sich auf Windows-Netzwerkfreigaben kopiert und verwendet das Network Time Protocol eines von verschiedenen Servern, um das aktuelle Datum und die Uhrzeit festzustellen. Wenn das Datum der 10. September 2003 oder später ist, deaktiviert sich der Wurm.

Ob man darauf hoffen darf, dass der GMX Virenschutz dann wieder weniger zu tun haben wird, ist allerdings fraglich. Denn Sobig.F wird sicherlich nicht der letzte seiner Art sein. Wenn auch Sie Ihr Postfach mit dem GMX Virenschutz gegen die aktuellen und kommenden Viren-Attacken schützen möchten, sollten Sie den nachfolgenden Artikel nicht überspringen.