Verschiedene Antivirenunternehmen haben vor einem neuen Virus „in the wild“ gewarnt, der die selbe Schwachstelle im Internet Explorer ausnutzt wie Klez. Dieser Virus hatte bekanntlich für die bislang letzte große Epidemie im Internet gesorgt. Zur Virenlawine von April und Mai hat ZDNet alle Nachrichten in einem Klez-Report gesammelt.
Laut Sophos handelt es sich bei „W32/Yaha-E“ um einen neuen Wurm, der sich per E-Mail verbreitet. Er verfüge über seine eigene STMP-Client-Software und verwende entweder einen SMTP-Server, den er beim Durchsuchen der Windows-Registrierung findet, oder einen SMTP-Server aus einer Liste innerhalb des Wurms.
Die von dem Wurm gesendete E-Mail variiere sehr stark. Die Betreffzeile sei eine Kombination aus Wörtern und Wortgruppen aus der folgenden Liste:
Der Text der E-Mail beginne folgendermaßen:
„Hi
Check the Attachment ..
See u“
oder
„Attached one Gift for u..“
oder
„wOW CHECK THIS“
Der Rest der E-Mail ähnle einer weitergeleiteten E-Mail. Die Sender- und Betreffzeile der weitergeleiteten E-Mail sind ebenfalls unterschiedlich, jedoch enthalte die E-Mail unter anderem folgenden Text:
„This e-mail is never sent unsolicited. If you need to unsubscribe,
follow the instructions at the bottom of the message.
Enjoy this friendship Screen Saver and Check ur friends circle…
Send this screensaver from to everyone you
consider a FRIEND, even if it means sending it back to the person
who sent it to you. If it comes back to you, then you’ll know you
have a circle of friends.“
Der Dateiname des Anhangs besteht aus drei Teilen: Einem Namen und zwei Erweiterungen.
Der Name werde aus der folgenden Liste ausgewählt:
Die erste Erweiterung werde aus der folgenden Liste ausgewählt:
Die zweite Erweiterung werde aus dieser Liste ausgewählt:
Der Wurm erstelle außerdem eine Kopie von sich im Papierkorb-Ordner mit einem Namen aus vier zufällig gewählten kleingeschriebenen Zeichen. Der Pfad zu dieser Kopie werde daraufhin zu folgendem Registrierungseintrag hinzugefügt. Damit wollte der Autor offenbar sichergehen, dass der Wurm ausgeführt wird, sobald ein Programm mit einer EXE-Erweiterung gestartet wird:
HKLMexefileshellopencommanddefault
Im Windows-Ordner würden zwei Dateien erstellt. Eine habe eine DLL-Erweiterung und einen achtstelligen Namen aus denselben Zeichen des Namens der Wurmkopie. Diese Datei enthalte eine Liste mit E-Mail-Adressen, die der Wurm auf dem infizierten Computer gefunden hat. Die zweite Datei laute auf denselben Namen wie die Kopie des Wurms und eine TXT-Erweiterung. Dies ist eine einfache Textdatei mit dem Text „iNDian sNakes pResents yAha.E“.
Der Wurm versucht laut Sophos, eventuelle Sicherheitssoftware zu deaktivieren, indem er jeden der folgenden Prozesse beendet:
Wenn der Wurm erstmalig ausgeführt wird, imitiere er einen Bildschirmschoner, indem er wiederholt folgende Meldung in verschiedenen Farben auf dem Bildschirm anzeigt:
U r so cute today „!“!
True Love never ends
I like U very much!!!
U r My Best Friend
Eine Kopie des Attachments im base64-kodierten Format werde im Ordner C:WindowsTemp mit dem Dateinamen kitkat erstellt.
Kontakt:
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Suchmaschinenoptimierung (SEO) ist ein zentraler Faktor für den nachhaltigen Erfolg im digitalen Wettbewerb. Sie generiert…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
Hinter 84 Prozent der Zwischenfälle bei Herstellern stecken Schwachstellen in der Lieferkette. Auf dem Vormarsch…
Es kommt angeblich 2028 auf den Markt. Das aufgeklappte Gerät soll die Displayfläche von zwei…