Bagle.Z greift bekannte deutsche Web-Sites an

Trend Micro hat einen globalen Yellow Alert bezüglich des Wurms Bagle.Z ausgelöst. Bislang sei das Auftreten dieses Malicious Code aus Europa und den USA gemeldet worden.

Wie frühere Varianten verwendet auch Bagle.Z Social Engineering, um Anwender zu täuschen und zum Ausführen des Dateianhangs zu bewegen. Zudem kombiniert der Malicious Code neue Funktionen mit der Variation eines älteren Tricks und tarnt sich als Passwort-geschütztes Dokument oder Benachrichtigung des Email-Systems (Reply Notification).

Der Massen-Mailing-Wurm verbreitet sich über eine eigene SMTP-Engine (Simple Mail Transfer Protocol), durchsucht infizierte Computer nach E-Mail-Adressen und kopiert sich selbst in öffentliche Netzwerk-Ordner. Darüber hinaus greift BAGLE.Z verschiedene bekannte deutsche Web-Sites an, darunter www.spiegel.de, www.deutsches-museum.de und www.deutschland.de. Dabei ist zu beachten, dass einige dieser deutschen Web-Sites auf russische Inhalte und Texte weiterleiten, so zum Beispiel www.tekeli.de.

„Die Motive für diese Aktion sind nicht ganz klar. Möglicherweise versuchen die Programmierer dieses Wurms, eine Denial-of-Service-Attacke gegen bestimmte Web-Sites zu starten“, so Raimund Genes, President of European Operations bei Trend Micro. „Unter Umständen handelt es sich auch bei einer der fraglichen URLs um einen Zähler realer Infektionen. Die anderen Web-Sites auf der Liste könnten dann dazu dienen, den Infektionsherd zu tarnen. Alternativ wäre es auch möglich, dass diese Methode dazu genutzt wird, um den Virenprogrammierer mittels spezieller Skripte über die infizierten Systeme zu informieren.“

Bagle.Z versendet Mails mit Betreffzeilen wie „Protected Message“ oder „RE: Msg reply“. In den Nachrichtentext ist eine JPEG-Datei eingebettet, die ein vermeintliches Passwort für die Darstellung des Dateianhangs enthält. Für den Dateianhang, in dem der Speicher-residente Wurm verborgen ist, werden Namen wie „Alive-condom“, „Loves_money“ oder „MoreInfo“ verwendet. Nach dem Ausführen kopiert sich BAGLE.Z in den Windows System-Ordner (als DRVDDLL.exe) und fügt der Registry verschiedene Einträge hinzu, um bei jedem Systemstart erneut ausgeführt zu werden.

Bagle.Z leitet infizierte Computer nicht nur zu den oben erwähnten Web-Sites um, sondern löscht auch Registry-Einträge, die einen automatischen Start der NETSKY-Virusvarianten ermöglichen. Dies ist ein weiteres Indiz für die Rivalität zwischen den Programmierern der Bagle- und Netsky-Familien. Wie frühere Varianten versucht zudem auch Bagle.Z, laufende Antiviren- sowie andere Sicherheitsprozesse zu deaktivieren, um die Erkennung zu erschweren.

Von Bagle.Z sind Rechner mit Windows 95, 98, ME, NT, 2000 und XP bedroht.