Neuste MyDoom-Variante sucht Opfer wieder in Google

Die Antivirus-Spezialisten von Sophos melden eine neue MyDoom-Variante, die sich als E-Mail-Anhang über eine eigene SMTP-Engine verschickt und E-Mail-Adressen von potentiellen Opfern auf der Festplatte des infizierten Rechners sowie in verschiedenen Suchmaschinen aufstöbert. Der Wurm ist inzwischen als „W32/Mydoom.bb@MM“ und „MyDoom.bb“ bekannt. Eine Vorgängerversion, die nach einem ähnlichen Schema gearbeitet hat, hat bereits im August 2004 für Performanceeinbrüche bei Google gesorgt.

Der neue MyDoom-Wurm durchsucht zunächst die lokale Festplatte eines Rechners nach E-Mail-Adressen und bedient sich dann den Diensten der Suchmaschinen Google, Lycos, Yahoo und Altavista. Gesucht werden laut Sophos aber nur Adressen mit der Domain des Providers, über den ein Anwender ins Internet geht. 45 Prozent seiner Anfragen sendet der Schädling an Google, 22,5 Prozent an Lycos, 20 Prozent an Yahoo und 12,5 Prozent an Altavista.

Der Schädling gibt sich in der Betreff-Zeile durch Einträge wie delivered, hello, hi, error, status, test, report delivery failed zu erkennen und installiert sich als „Java.exe“ im Windows-Verzeichnis. Außerdem wird dort die Datei „services.exe“ abgelegt. Auf infizierten Systemen öffnet MyDoom den Port TCP 1034 und schafft so eine Backdoor, um darüber die Befehle zu erhalten.

Anwender sollten auf jeden Fall vorsichtig beim Öffnen von E-Mail-Anhängen sein. Die Antivirus-Tool-Hersteller Sophos, Computer Associates und Symantec sagten übereinstimmend, dass sich die neuste MyDoom-Version zwar sehr schnell ausbreitet, mit den aktuellsten Signaturen aber auch schnell zu entfernen sei.