Netzwerk-Wurm „Bagle“ ruft in neuem Gewand globale Epidemie hervor

[Newsbot]

Kaspersky Labs, ein international führender Experte im Bereich IT-Sicherheit zum Schutz vor Viren, Hacker-Attacken und Spam, warnt ausdrücklich vor „I-Worm.Bagle.b”, eine neue Modifikation des bekannten Netzwerk-Wurms „I-Worm.Bagle“: Es sind bereits hunderte von Nachrichten von Anwendern aus unterschiedlichen Ländern eingegangen, die über mit diesem Wurm infizierte Korrespondenz berichten. Nach moderaten Einschätzungen sind zur Zeit rund 2000 Nachrichten im globalen Netz mit dem Wurm „Bagle.b“ infiziert, wobei die Anzahl stark ansteigt. Die Daten sind weniger beunruhigend als beim berühmten Wurm „Mydoom“, wobei bis dahin Bagle für 2004 mit seiner Variante „Bagle.a“ klar der meistverbreitete Wurm war.

Altes Muster

Die neue Version von „I-Worm.Bagle“ ist funktional seinem Vorgänger sehr ähnlich. Die Malware verbreitet sich per E-Mail als Anhang. Der Wurm ist eine exe. Datei in Windows, 11 KB groß und ist der Nachricht mit der Überschrift «ID х... thanks» und dem Text «Yours ID x… Thank», beigefügt, wobei „x“ ein beliebiges Symbol darstellt.

Nach dem Öffnen der Datei kopiert sich der Wurm in das System-Verzeichnis von Windows und registriert sich im System-Register Auto-Starten. Um den Anwender in die Irre zu führen initiiert der Wurm die Windows Standard-Utility: Sound Recorder (sndrec32.exe). Danach versucht „Bagle.b“ sich mit mehreren gelöschten Sites zu verbinden, die wiederum mit dem Trojaner Proxy Server „TrojanProxy.Win32.Mitglieder“ verbunden sind. Zur Zeit sind alle Links zu allen Netz-Quellen zum Herunterladen von „Mitglieder“ gelöscht und “I-Worm.Bagle” kann diese Technologie zur Beschleunigung seiner Verbreitung nicht benutzen.

Große Gefahr durch Trojaner

Gefährlicher für den infizierten Computer ist allerdings die im Wurm enthaltene Trojaner-Komponente. Sie öffnet auf dem infizierten Computer den Port 8866 und verfolgt danach alle seine Operationen. Dies eröffnet die Möglichkeit den Computer entfernt zu steuern, verschiedene Kommandos zu starten und Dateien nach Belieben des Wurm-Autors auf den Computer zu laden.

Zur Vermehrung verwendet “I-Worm.Bagle.b” wie sein Vorgänger eine für diese Art von Schadens-Programmen gewöhnliche Prozedur. Er scannt das Datei-System des infizierten Computers auf der Suche nach Dateien mit der Erweiterungen wab, txt, htm, html und r1 und versendet sich an alle im Adressenverzeichnis gefundenen E-Mail-Adressen. Zum Versenden verwendet der Wurm den eigenen SMTP-Server. Die Aktivität des Schadens-Programms ist zeitlich begrenzt: Der Wurm ist auf Vervielfältigung bis zum 25. Februar 2004 programmiert, was auf eine neue Version von „Bagle“ zu diesem Zeitpunkt hinweist.