Neuer wurm

[Berny]

Ein neuer Wurm namens KELVIR treibt sein Unwesen im Netz, verbreitet sich über den MSN Messenger, läd einen weiteren Wurm aus dem Internet nach und hat aufgrund sehr starker Verbreitung bereits "Gelb Alarm" ausgelöst.

Der Wurm verbreitet sich über den bekannten und häufig benutzten MSN Messenger an alle im Messenger gespeicherten Adressen mittels einer Nachricht, in der eine URL aufgeführt ist. Öffnet der ahnungslose Empfänger die vertraut wirkende Nachricht, kopiert der Wurm zunächst eine Kopie in das betroffene System und läd von folgenden Adressen

Um Links zu sehen, bitte registrieren
Um Links zu sehen, bitte registrieren

Weitere Dateien nach, die als SDBOT.AUI identifiziert werden.

Dieser Wurm missbraucht in der Folge die seit längerer Zeit bekannten Schwachstellen

Remote Procedure Call (RPC)
Distributed Component Object Model (DCOM)
Windows LSASS

für die ebenso seit längerer Zeit Updates zur Verfügung stehen, wie sie unter:

Microsoft Security Bulletin MS02-026
Microsoft Security Bulletin MS04-011

beschrieben wurden.

Dieser Wurm verbreitet sich über freigegebene Netz-Ressourcen, die lediglich mit einem schwachen Passwort gesichert sind. Hierzu benutzt der Wurm eine längere Liste mit häufig verwendeten Passwörtern und Benutzernamen.

SDBOT besitzt BackDoor-Funktionen, die über einen Internet Relay Chat (IRC) gesteuert werden. Angreifer haben damit die Möglichkeit, den betroffenen Rechner fernzulenken.

Im Grunde bietet KELVIR und seine Varianten keine wesentlichen neuen Schadensfunktionen und auch die Übertragungswege sind eigentlich seit vielen Monaten bekannt.

[Rotti]

Hi Berny!
Danke für die Info, nur wie schalte ich den MSN - Messenger aus oder wie deinstalliere ich den Kerl. Versuche das schon lange, aber ich glaub das geht gar nicht. Ich verwende XP - Professional.

Gruß Rotti

[Berny]

Seit einigen Stunden verbreitet sich eine neue Sober-Variante stark, die noch nicht alle Viren-Scanner erkennen. Auf dem Heise-Mail-Server treffen derzeit reihenweise Mails mit dem Betreff: "Ich habe Ihre E-Mail bekommen!" ein. Der Text lautet:
Anzeige

Hallo,
jemand schickt ihre privaten Mails auf meinem Account.
Ich schaetze mal, das es ein Fehler vom Provider ist.

Insgesamt waren es jetzt schon 6 Mails!
Ich habe alle Mail-Texte im Texteditor kopiert und gezippt.

Wenn es doch kein Fehler vom Provider ist, sorge dafuer
das diese Dinger nicht mehr auf meinem Account landen,
es Nervt naemlich.

Im Anhang findet sich auch tatsächlich eine ZIP-Datei namens "MailTexte.zip", bei deren Entpacken

mail_text-data.txt [viele Leerzeichen] .pif

entsteht. Offenbar weckt der plausible Text die Neugier und die Anwender übersehen die mit vielen Leerzeichen abgetrennte Dateiendung .pif, die auf eine ausführbare Datei hinweist. Wer die vermeintliche Textdatei öffnet, infiziert sein System mit dem neuen Wurm. Es ist jedoch nicht auszuschließen, dass der Schädling auch andere Texte und Dateinamen verwendet. Anwender sollten deshalb bei allen unverlangt zugesandten Mails mit Dateianhängen größte Vorsicht walten lassen.

Update
Einer Viren-Beschreibung von Ikarus zufolge gibt es auch eine englische Version mit dem Betreff: "your password + accountnumber !" und einem Anhang namens "Acc_text.zip":

hi,

i've got an admin mail with a Password and Account info!
but the mail recipient are you! it's probably an esmtp error, i think.
i've copied the full mail text in the Windows text-editor & zipped.
ok, cya...

Mit aktuellen Updates erkennen Kaspersky, ClamAV, NOD32, Sybari und Ikarus die Mail als Sober.l, Antivir meldet Sober.M und DrWeb erkennt den Schädling generisch als BACKDOOR.Trojan, McAfee als Sober.gen. (ju/c't)

[Berny]

Gerüchte zur Folge sollen gerade in der Zeit der Cebit Hackangriffe auf Server stark ansteigen.
Der Grund: Die Hacker gehen davon aus, dass viele Systemadministratoren sich auf der Cebit herumtummeln und in den Firmen daher die Server eher unbeobachtet bleiben.
Hackerangriffe bleiben deshalb meistens länger unbeobachtet, weshalb die Hacker leichteres Spiel haben.

Mal sehen, bei der letzten Cebit habe ich selbst diesbezüglich nichts mitbekommen.

[snoopy21]

Zitat von Rotti

Hi Berny!
Danke für die Info, nur wie schalte ich den MSN - Messenger aus oder wie deinstalliere ich den Kerl. Versuche das schon lange, aber ich glaub das geht gar nicht. Ich verwende XP - Professional.

Gruß Rotti

Hallo Rotti,

vielleicht hast du ja bereits geschafft, den MSN-Messenger zu deinstallieren. Wenn nicht und die Frage immer noch offen ist, hier die Antwort:

Klick auf diesen Link, dort erfährst du alles weitere:

Um Links zu sehen, bitte registrieren

Ich habe XP-Antispy installiert und damit auch noch einige weitere Spione entfernt (z.B. Alexa). Tipp: Adaware SE und Spybot Search&Destroy installieren und damit den Rechner sauber halten (zusätzlich zu Antivirusprogrammen und Firewall).

Viele Grüße,
Thomas