Warnung vor ILOVEYOU-Mail

Seit heute Vormittag macht eine E-Mail die Runde, die im Attatchment einen Wurm mit sich führt und sich rasend schnell verbreitet. Wer elektronische Post mit dem Betreff ILOVEYOU und dem Text „kindly check the attached LOVELETTER coming from me“ erhält, sollte sie ungelesen löschen, da die Virenprogramme den neuen Code noch nicht erkennen. Mittlerweile bietet Trend Micro unter 213.198.25.58/… ein erstes Update seines Security-Programms.

Der angebliche Liebesbrief ist bei genauerer Betrachtung ein Visual Basic-Skript und verändert die Registry-Einträge für Kernel32, das heißt er überschreibt die Win32.dll, die bei jedem Boot ausgeführt wird.

Zudem ändert der Wurm alle Dateien mit den Endungen vbs, vbe, js, jse, css, wsh, sct, hta, jpg, jpeg, mp3, und mp2. Ins System werden eingebaut: MSKernel32.vbs in der Windows System directory, Win32DLL.vbs in the Windows directory, LOVE-LETTER-FOR-YOU.TXT.vbs in der Windows System directory, WinFAT32.EXE in der Internet download directory, WIN-BUGSFIX.EXE in der Internet download directory und script.ini in der mIRC directory.

Außerdem ändert er die Startseite des Browsers so, dass eine „.exe“-Datei namens „WIN-BUGSFIX.exe“ heruntergeladen wird. Der Provider, auf dessen Site die „WIN-BUGSFIX.exe“ gehostet wird, hat die Datei inszwischen vom Netz genommen. Zudem wird bei Outlook das Adressbuch durchkämmt und eine Mail mit dem Trojaner an alle Mailadressen verschickt.

Weil bei großen Firmennetzwerken jeder das gleiche globale Adressbuch hat, verschickt der Exchange-Server irgendwann so große Mengen an Mails, dass der Server in die Knie geht.

Besonders betroffen sind wieder einmal Nutzer von Outlook, da sich Outlook über Active Scripting steuern lässt. Deshalb ist es für Outlook-Nutzer wichtig, die Mail ungeöffnet zu löschen. Wer die Mail erhalten hat, sollte über die Browsereinstellungen Active Scritping deaktivieren, bevor er die Mail ohne Gefahr markieren kann. Erst dann ist es ungefährlich, sie zu löschen. Man sollte weder die Mail öffnen noch das Anhängsel doppelklicken.

Der Virus hat heute innerhalb von zwei Stunden die Mailserver von zahlreichen großen deutschen Konzerne wie Microsoft, Siemens, sowie von Hamburger Verlagshäusern und zahlreichen Banken lahmgelegt.