Wurm "Bizex" kommt über ICQ - 500 Beiträge pro Seite

[wallyonline]

Wurm "Bizex" kommt über ICQ

Unter dem Namen "Bizex" haben die Antivirenspezialisten einen neuen Wurm ausgemacht, der sich über den Instant-Messaging-Dienst ICQ verbreitet.

W.32.Bizex weist die Benutzer von ICQ auf eine Webseite hin, bei deren Besuch der Wurm geladen wird. Zur Tarnung wird der Inhalt der Webseite "Joe Cartoon" abgespielt. Unterdessen infiziert Bizex das System. Dabei nutzt er laut Kaspersky Labs eine Schwachstelle im Internet Explorer und eine weitere im Betriebssystem Windows aus. Bizex lädt dabei über diverse Umwege die Datei APTGETUPD.EXE nach und führt sie aus. Zudem versucht der Wurm ein Java-Archiv herunterzuladen, das weitere Download-Programme für Trojaner enthält. Die Webseite (jokeworld), zu der sich der Wurm verbindet, ist allerdings bereits geschlossen worden.


Bizex: Wer als ICQ-Anwender dem Link auf die vermeintich lustige Seite folgt, hat anschließend nichts zu Lachen. Quelle: Kaspersky Labs

Bei der Infektion kopiert sich Bizex in das Verzeichnis SYSMON im Systemverzeichnis von Windows als SYSMON.EXE und registriert die Datei im Autostart-Verzeichnis ([HKLMSoftwareMicrosoftWindowsCurrentVersionRun]"sysmon" =.system%sysmonsysmon.exe). Zur Verbreitung über ICQ hat Bizex eigene Bibliotheken dabei, die ihm Zugang zu den Kontaktadressen des Messaging-Clients ermöglichen. Bizex trennt die bestehende Verbindung von ICQ und erstellt eine eigene unter der Adresse des infizierten PCs. Darüber verschickt er die Links zur Hacker-Webseite. Laut Kaspersky Labs sind nur originäre ICQ-Clients betroffen. Alternative Clients wie Trillian oder Miranda sind gegen den Schädling immun.

Weitere Schadensfunktionen des Wurms: Er scannt den Rechner nach den Zahlungssystemen unter anderem von Wells.

[wallyonline]

News / W32.Netsky.C ist unterwegs


Vom: 26.02.2004 10:39 Drucken / PDF-Download

W32.Netsky.C ist unterwegs



Trend Micro warnt vor einer neuen Variante des E-Mail-Wurms W32.Netsky mit der Versionsnummer "C". Das Schadens- und Verbreitungspotenzial des Schädlings stuft der Antivirenspezialist als hoch ein.

Wie sein erst vor wenigen Tagen erschienener Vorgänger Netsky.b kommt auch Netsky.C per E-Mail als angehängte Datei. In der Betreffzeile der infizierten E-Mail stehen Formulierungen wie "Question,""Fwd: lol," oder auch "Re: hey" zu lesen.

Beim Öffnen des Attachment lege der Wurm die Datei "winlogon.exe" im Systemverzeichnis ("System32") von Windows ab. Kopien davon speichert der Wurm zudem in verschiedenen freigegebenen Verzeichnissen. Nach Erkenntnissen von TrendMicro verwende Netsky.C dabei Dateinamen wie "Adobe Photoshop 9 full.exe", "Microsoft Office 2003 Crack.exe" oder "Win Longhorn Beta.exe".


Um sich zu verbreiten verfügt auch Netsky.C über eine eigene SMTP-Engine. Gefährdet sind Computer mit den Betriebsystemen Windows. Netsky.c versucht diverse registrierungseinträge zu löschen, darunter auch diejenigen von Antivirensoftware. Laut dem Antivirenexperten Sophos kann es vorkommen, dass der Rechner sporadisch einen Piepton von sich gibt, wenn der Rechner am 26. Februar zwischen 6 und 9 Uhr gestartet wird.

Trend Micro und Sophos haben die Signaturen ihrer Virenscanner bereits auf die Abwehr von Netsky.c angepasst, Von anderen Herstellern von Antiviren-Software ist dies ebenfalls zu erwarten.