News: Neuer Wurm mit alter Masche
Eigentlich logisch: Updates und Patches sollte man sich immer direkt beim Hersteller einer Software holen. Dazu sind aus Sicht von G Data allerdings viele zu bequem und fallen deshalb jetzt auf eine alte Email-Masche rein.
In der Betreffzeile wird ein „Windows XP SP3 Critical Update“angekündigt und die Mail lockt zum Öffnen eines in der Anlage befindlichen Ordners. Tatsächlich handelt es sich bei diesem Ordner allerdings um eine ausführbare EXE-Datei, die im System einen Email-Wurm-Mechanismus einnistet über den sich die Schadsoftware dann weiter verbreitet.
Ralf Benzmüller, Leiter des G DATA Security Labs:
„Dieser Schädling ist ein eher altmodischer E-Mail-Wurm. Allerdings ist die Tarnung der Datei hinter einem Ordnersymbol interessant. Diese Masche ist ein ganz schön hinterhältiger Trick, um User zu täuschen. Wer in Hektik ist und ‚nur mal schnell‘ nachsehen will, was sich in dem Ordner befindet, oder gar nicht weiß, dass eine Datei ein anderes Icon haben kann, der handelt sich leider schnell Ärger ein. Es lohnt sich, genau hinzusehen!“ Laut G Data trägt die getarnte EXE-Datei die Bezeichnung „mswinxpa_sp3upd.exe“ und hat den Wurm "Trojan.Generic.171369" drinnen. Er verbindet sich offensichtlich über Port 25 mit einem externen SMTP-Server und versendet von dort aus E-Mails.
Der Schädling kopiert sich gleich mehrfach auf die Festplatte des befallenen Rechners und tarnt sich mit diversen bekannten Dateinamen. Außerdem nistet er sich im Autostart-Mechanismus ein und blockiert den Windows-Taskmanager sowie den Registry-Editor Rededit.
Damit lässt sich der laufende Wurm kaum ermitteln beziehungsweise manuell entfernen.
Michael Nickles meint: Es ist schon gruselig, wie viele anscheinend immer noch auf diesen billigen Trick reinfallen. Es scheint halt eine enorme Masse an Super-DAUs zu geben, die ohne Peil vor ihrem Rechner sitzen.
Inzwischen dürfte doch wirklich jeder mitgekriegt haben, dass Email-Anhänge riskant sind und dass ein Windows-Update garantiert niemals per Email geliefert wird.
mawe2
