Loading...Ein gefährlicher Mail-Wurm beschädigt jeweils am Dritten eines Monats Dateien auf infizierten Rechnern. An diesem Freitag ist es also wieder soweit. Bei Kaspersky befürchtet man Hunderttausende neu infizierte Rechner.
Die russischen Sicherheitsexperten von Kaspersky Lab warnen vor dem kürzlich entdeckten Mail-Wurm Win32.Nyxem.e. Das Schadprogramm verbreitet sich als E-Mail-Anhang via Internet sowie über infizierte Dateien, die sich auf Internetseiten befinden. Die Besonderheit an Nyxem.e liegt darin, dass er die Dateien auf infizierten Rechnern jeweils am Dritten eines Monats beschädigt. Laut Angaben von Kaspersky Lab beläuft sich die Zahl der befallen Computer mittlerweile bereits auf einige Hunderttausend, Tendenz steigend. So könnte der morgige 3. Februar 2006 zu einem schwarzen Tag für Hunderttausende PC-Anwender werden, befürchtet man bei Kaspersky.
Der Wurm ist eine an eine E-Mail angehängte ausführbare Windows-Datei mit einer Größe von 95 KB. Der Betreff der Nachricht wird willkürlich aus einer vom Autor erstellten Liste mit etwa 25 Varianten gewählt. Der Text der E-Mail und die Bezeichnung der angehängten Datei existieren in etwa 20 unterschiedlichen Versionen, wodurch dem Anwender das Erkennen des Wurms erschwert wird.
Die Aktivierung des Schadcode erfolgt beim Start der infizierten Datei durch den Nutzer. Nach dem Start versteckt der Wurm seine Hauptfunktion, indem er im Windows-Verzeichnis ein ZIP-Archiv mit der Bezeichnung der ursprünglich gestarteten Datei erstellt, das er danach öffnet. Bei der Installation kopiert sich der Wurm unter mehreren Namen in das Root- und Windows-Systemverzeichnis sowie in das Autostart-Verzeichnis. Danach registriert er sich im Autostart-Key der System-Registry. Auf diese Weise aktiviert Windows bei jedem Neustart automatisch den Schadcode.
Anschließend scannt Nyxem.e das Dateisystem des befallenen Computers und verschickt Kopien von sich selbst an alle dort aufgefundenen E-Mail-Adressen. Für den Versand der infizierten E-Mails versucht der Wurm eine direkte Verbindung mit dem SMTP-Server aufzubauen. Parallel dazu kopiert er sich in die vom befallen Computer aus zugänglichen Netzlaufwerke und -Ordner unter dem Namen Winzip_TMP.exe.
Dabei unterbricht das Schadprogramm alle Prozesse, die den Antiviren-Schutz des Computers gewährleisten, und verhindert deren Neustart – dadurch ist der attackierte PC ohne Schutz. Durch die vollständige Kontrolle über den Rechner ist Nyxem.e in der Lage, seine eigenen Aktualisierungen selbstständig aus dem Internet herunterzuladen. Er verändert sich dabei ganz nach den Vorgaben des Autors.
Darüber hinaus geht von Nyxem.e eine destruktive Gefahr aus: Entspricht das Datum des Rechners dem Monatsdritten, vernichtet er 30 Minuten nach dem Start des PCs Teile der aufgefundenen Dateien der gängigsten Formate und ersetzt sie durch eine sinnlose Auswahl an Symbolen. Aufgrund dieses Gefahrenpotenzials rät Kaspersky dazu, keine unbekannten E-Mail-Anhänge zu aktivieren, die Antivirus-Signaturen zu aktualisieren und einen Komplett-Scan des Rechners durchzuführen.
Die Datenbanken von Kaspersky Lab wurden um Schutzmaßnahmen für Win32.Nyxem.e ergänzt. Weitere Infos zum beschriebenen Schadprogramm gibt es in der Virus-Enzyklopädie unter dem unten genannten Link.
