Categories: Sicherheit

Trend Micro warnt vor Frethem.K

Trend Micro hat einen „Yellow Alert“ für den 48,640 KByte großen Virenwurm Frethem.K ausgesprochen. Der Erreger sei eine nicht-destruktive, speicher-residente Variante des Frethem.D-Wurms und verbreite sich als Dateianhang in einer E-Mail mit folgenden Merkmalen:

Betreff:

„Re: Your password!“

Text:

„You can access very important information by this password DO NOT SAVE password to disk use your mind now press cancel“

Anhang:

„DECRYPT-PASSWORD.EXE PASSWORD.TXT“

Die Datei password.txt beinhalte folgenden Text-String:

„Your password is W8dqwq8q918213“

Der Computerwurm nutze bereits bekannte MIME-Header und IFRAME-Sicherheitslücken: der Anhang einer HTML-E-Mail werde automatisch ausgeführt, wenn der Empfänger die E-Mail liest oder E-Mail-Vorschau eingestellt hat. Damit wird es dem Computerwurm ermöglicht sich selbst zu installieren, ohne dass der Benutzer einen Doppelklick auf das Attachment ausführen muss. Diese Sicherheitslücken betreffen Microsoft (Börse Frankfurt: MSF) Internet Explorer 5.01 und Microsoft Internet Explorer 5.5. Der Virus nehme zudem Kontakt zu einer ganzen Reihe von Websites auf und versende Daten. Möglicherweise ist es sein Ziel, Gewinn aus dem dadurch erzeugten Traffic zu generieren.

Bei Ausführen des Dateianhangs platziere der Computerwurm die Datei TASKBAR.EXE im Windows-Ordner und nehme folgende Einträge in der Registrierungsdatei vor:

„HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunTask Bar = %Windows%TASKBAR.EXE“

Der Computerwurm nutze eine eigene SMTP-Engine zur Verbreitung. Hierfür extrahiert er die SMTP-Server-Informationen des infizierten Systems aus folgendem Eintrag in der Registrierungsdatei:

„HKEY_CURRENT_USERSoftwareMicrosoftInternet Account ManagerAccounts0000001“

Falls dieser Account 00000001 leer sei oder nicht existiere, könne sich der Wurm nicht verbreiten. Adressen entnehme er dem Windows Adressbuch (WAB) und „.dbx“-Dateien, in denen MS-Outlook Express E-Mail-Nachrichten ablegt.

Der Wurmcode enthalte folgende Text-Strings:

„thAnks tO AntIvIrUs cOmpAnIEs fOr dEscrIbIng thE dEA!
nO AnY dEstrUctIvE ActIOns! dOnt wArrY, bE hAppY“

ZDNet bietet ein Virencenter mit allen aktuellen Informationen rund um die Gefahr aus dem Cyberspace.

Kontakt: