NEUER COMP.-VIRUS - 500 Beiträge pro Seite

[GENLOG]

Höchste Viren-Alarmstufe: W32/Nimda@MM


Der Internet Wurm Nimda breitet sich sehr rasch im Internet aus. Betroffen sind die Windows Systeme NT und 2000.

Der Schädling verbreitet sich nicht über E-Mail aus, sondern auch über den Internet Explorer, wenn eine befallene Webseite angesurft wird. Da sich der Wurm anscheinend noch schneller als Code Red verbreitet, sollte
man als Schutzmaßnahme unbedingt JavaScript beziehungsweise Active Scripting im Browser deaktivieren. Das hat zwar zur Folge, dass manche Web-Seiten nicht mehr funktionieren, aber in Anbetracht des hohen Infektionsrisikos sollte man das in Kauf nehmen.

Die infizierten Mails tragen wechselnde Betreffszeilen und enthalten häufig ein Attachement mit dem Mime-Typ Audio/WAV, hinter dem sich EXE- oder DOC-Dateien verstecken. Auch Dateianhänge mit dem Namen readme.exe sind häufig aufgetaucht. Die Aktualisierung der Virenscanner mit den neuesten Virensignaturen ist im Gange, das ist allerdings noch keine Garantie dafür, daß jeder Rechner bereits geschützt ist.

Auf den ersten Blick handelt es sich beim Nimda Virus um einen weiteren Mass-Mailer, also ein Virus, daß sich via eMail verbreitet.
Das Virus durchsucht dazu alle HTM und HTML Dateien in den Temporären Internet Foldern nach eMail Adressen ebenso wie es diese aus der ?INBOX? des Mailprogramms auslesen kann. Über einen eigenen SMTP Server verschickt sich das Virus an alle gesammelten Adressen.

Aber nicht genug damit:

Nach genaueren Analysen zeigt sich, daß das Nimda Virus sich nicht nur via eMail sondern auch wie der CodeRED via Sicherheitslücken im IIS (Internet Information Server) verbreiten kann.

Darüberhinaus ist Nimda das erste Virus, das seine Code auch gezielt über WebSites verbreitet. Das Virus ist in der Lage über infizierte PC?s nach angreifbaren WebSites zu suchen auf dem es seinen Code plazieren und zum Download bereitstellt.

Das Virus infiziert dafür alle .ASP, .HTM und .HTML Dateien sowie alle Dateien mit den Namen INDEX, MAIN und DEFAULT mit einem eigenen Javascript Code und legt damit seinen gesamten Code auf der infizierten Seite ab. Ein Besuch dieser Seite ohne entsprechende Absicherung des Browsers führt zu einer weiteren Infektion.


Die eMails die vom Virus erzeugt werden nutzen eine Vulnerability (Angreifbare Lücke im System) im MIME (Mailformat) dazu, daß eMail Attachments unter Outlook und Outlook Express automatisch, nur durch daß bloße Lesen ohne Doppelklick auf das Attachment aktiviert werden können.

Das gilt auch für Mails die über den Internet Explorer (Version 5.01 und 5.5 ohne Servicepack 2) abgerufen werden. Es empfiehlt sich jedoch dringlich den angebotenen Patch von Microsoft zu installieren. Kein Wunder also, daß das Nimda Virus in kürzester Zeit durch mehrer hundert Infektionen auf sich auf aufmerksam machte. Österreich hat das Virus am späteren Nachmittag des 18. September erreicht. Betroffen sind alle Windows-Anwender mit den Betriebssystemen Win95/Win98/WinME sowie WinNT und Win2000.

Eindeutig zu erkennen ist das Virus NUR durch sein Attachment, das gleich wie bei dem nur seit wenigen Wochen aktiven W32. APOST.A, auf README.EXE lautet.
Der Betreff wird durch das Virus unterschiedlich generiert und besteht im Regelfall aus einer verwirrenden Zahlen-Buchstaben Kombination. Das Mail enthält dabei keinen Mailtext.

Betreff: ? .. zufälliger text


Mailtext: ?leer?

Attachment: README.EXE

Gleich wie CodeRED kann das Nimda Virus über eine Unicode Attacke auch IIS (Internet Information Server) infizieren und sich verbreiten. Der Wurm scannt dafür nach IP-Adressen auf IIS Servern. Dabei verhält sich das Virus gleich wie der CodeRED.C in dem es versucht das gleiche Backdoorprogramm (Trojaner) zu installieren.

Sollte der Patch der diese Lücke für IIS Server schließt noch nicht eingespielt worden sein, empfiehlt sich diese Maßnahme überaus dringlich.

Nicht genug damit verbreitet sich das Virus auch über freigebene Verzeichnisse oder Platten über das Internet ebenso wie über interne Netze. Es nutzt dazu, wie schon ein anderes Virus (W32.CodeBlue) die sogenannte Microsoft Web Folder Transversal Vulnerability um in infizierten Netzen Laufwerke frei zu geben. Das Virus erzeugt dafür auf jeder infizierten Maschine eigene Verzeichnisse die zusätzlich frei gegeben werden. Auf WinNT und Win2000 PC?s und Servern handelt es sich dabei um Verzeichnisse die keine Passwort Abfragen mehr benötigen. Nach einem Reboot der befallenen Maschinen erhält der User GUEST zudem volle Administratoren Rechte. Darüberhinaus kopiert sich das Virus als LOAD.EXE ins Windows System Verzeichnis und erzeugt eine eigene SYSTEM.INI um sicherzustellen, das es beim Reboot des PC?s auch verlässlich wieder gestartet wird.

Sicheres Indiz für das Vorhandensein des Wurms ist zudem die Existenz von README.EML Dateien in allen Windows Verzeichnissen sowie Kopien des Wurms auf C:, D: und E: mit dem Namen ADMIN.DLL.

Seine Schadensfunktion besteht nur darin, daß das Virus versucht soviel wie möglich an Traffic zu erzeugen um befallene Netze damit zu überlasten und wenn möglich zum Ausfall zu bringen. Besonders in Mitleidenschaft gezogen werden dabei, wie beim CodeRED, wieder alle Kabelnetze.

(Quelle: Ikarus Software)

[pechsuse]

danke fürs Reinstellen
ps

[Pega]

Bin ich mal wieder froh einen Mac zu haben!