Verschiedene Antivirenunternehmen haben vor einem neuen Virus „in the wild“ gewarnt, der die selbe Schwachstelle im Internet Explorer ausnutzt wie Klez. Dieser Virus hatte bekanntlich für die bislang letzte große Epidemie im Internet gesorgt. Zur Virenlawine von April und Mai hat ZDNet alle Nachrichten in einem Klez-Report gesammelt.
Laut Sophos handelt es sich bei „W32/Yaha-E“ um einen neuen Wurm, der sich per E-Mail verbreitet. Er verfüge über seine eigene STMP-Client-Software und verwende entweder einen SMTP-Server, den er beim Durchsuchen der Windows-Registrierung findet, oder einen SMTP-Server aus einer Liste innerhalb des Wurms.
Die von dem Wurm gesendete E-Mail variiere sehr stark. Die Betreffzeile sei eine Kombination aus Wörtern und Wortgruppen aus der folgenden Liste:
Der Text der E-Mail beginne folgendermaßen:
„Hi
Check the Attachment ..
See u“
oder
„Attached one Gift for u..“
oder
„wOW CHECK THIS“
Der Rest der E-Mail ähnle einer weitergeleiteten E-Mail. Die Sender- und Betreffzeile der weitergeleiteten E-Mail sind ebenfalls unterschiedlich, jedoch enthalte die E-Mail unter anderem folgenden Text:
„This e-mail is never sent unsolicited. If you need to unsubscribe,
follow the instructions at the bottom of the message.
Enjoy this friendship Screen Saver and Check ur friends circle…
Send this screensaver from to everyone you
consider a FRIEND, even if it means sending it back to the person
who sent it to you. If it comes back to you, then you’ll know you
have a circle of friends.“
Der Dateiname des Anhangs besteht aus drei Teilen: Einem Namen und zwei Erweiterungen.
Der Name werde aus der folgenden Liste ausgewählt:
Die erste Erweiterung werde aus der folgenden Liste ausgewählt:
Die zweite Erweiterung werde aus dieser Liste ausgewählt:
Der Wurm erstelle außerdem eine Kopie von sich im Papierkorb-Ordner mit einem Namen aus vier zufällig gewählten kleingeschriebenen Zeichen. Der Pfad zu dieser Kopie werde daraufhin zu folgendem Registrierungseintrag hinzugefügt. Damit wollte der Autor offenbar sichergehen, dass der Wurm ausgeführt wird, sobald ein Programm mit einer EXE-Erweiterung gestartet wird:
HKLMexefileshellopencommanddefault
Im Windows-Ordner würden zwei Dateien erstellt. Eine habe eine DLL-Erweiterung und einen achtstelligen Namen aus denselben Zeichen des Namens der Wurmkopie. Diese Datei enthalte eine Liste mit E-Mail-Adressen, die der Wurm auf dem infizierten Computer gefunden hat. Die zweite Datei laute auf denselben Namen wie die Kopie des Wurms und eine TXT-Erweiterung. Dies ist eine einfache Textdatei mit dem Text „iNDian sNakes pResents yAha.E“.
Der Wurm versucht laut Sophos, eventuelle Sicherheitssoftware zu deaktivieren, indem er jeden der folgenden Prozesse beendet:
Wenn der Wurm erstmalig ausgeführt wird, imitiere er einen Bildschirmschoner, indem er wiederholt folgende Meldung in verschiedenen Farben auf dem Bildschirm anzeigt:
U r so cute today „!“!
True Love never ends
I like U very much!!!
U r My Best Friend
Eine Kopie des Attachments im base64-kodierten Format werde im Ordner C:WindowsTemp mit dem Dateinamen kitkat erstellt.
Kontakt:
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.
Der Bericht zeigt bereits nutzbare Angriffsanwendungen und bewertet die Risiken, die davon ausgehen.
Deutsche sehen Finanzwesen und IT im Zentrum der KI-Transformation. Justiz und Militär hingegen werden deutlich…
Cubbit ist das weltweit erste Unternehmen, das Cloud-Objektspeicher anbietet. Es wurde 2016 gegründet und bedient…
Unbefugte können Schadcode einschleusen und ausführen. Auslöser ist eine fehlerhafte Implementierung einer Android-Funktion.
iPhones und iPads belasten das Ergebnis. Außerdem schwächelt Apple im gesamten asiatischen Raum inklusive China…