Bagle verbreitet am Halloween-Wochenende Schrecken

Die neue Bagle-Variante, über die ZDNet bereits am Freitag berichtete, hat sich in den letzten drei Tagen rasant ausgebreitet. Laut Messagelabs sind allein am letzten Wochenende rund 900.000 infizierte Mails gesichtet worden. Man rechnet mit einem neuen Ansturm, wenn die Arbeitnehmer nach dem verlängerten Feiertags-Wochenende ihre Firmenrechner wieder anschalten.

Gefährlich ist Bagle.at alias Bagle.bb oder Bagle.q, Bagle.au und Bagle.av besonders deshalb, weil er offenbar auch Rechnern gefährlich werden kann, die bereits die in SP2 von Windows XP enthaltene Firewall installiert haben.

„Wer das Service Pack 2 samt Firewall installiert hat, sollte sich nicht in Sicherheit wiegen“, warnte der Viren-Experte Graham Cluley von Sophos. Selbst auf einem Rechner mit allen aktuellen Patches könne der Wurm die Windows-Firewall abschalten und Hackern Hintertüren auf dem Rechner öffnen. Neil Campbell vom Security-Spezialisten Dimension Data rät dazu, die Firewall eines Drittherstellers zu installieren. Außerdem sollte die Antiviren-Software auf den neuesten Stand gebracht werden – sämtliche führenden Unternehmen haben inzwischen Updates gegen den neuen Bagle-Wurm zur Verfügung gestellt.

ZDNet bietet mittels des kostenlosen Virenscanners Antivir Abhilfe – die neuste Version ist bereits gegen den neuen Wurm gefeit.

Potentiell Gefährdet sind alle Anwender der Betriebssysteme Windows 9x, ME, NT, 2000 und XP sowie Windows Server 2003. Im Gegensatz zu seinen Vorgängern soll sich die neue Variante mit sehr hoher Geschwindigkeit über den massenhaften Email- und P2P-Versand verbreiten.

Für den via Mail nutzt der Übeltäter seine eigene SMTP-Engine. Worm/Bagle.at durchsucht die lokalen Festplatten nach E-Mailadressen und verschickt sich umgehend an die Gefundenen. Nicht betroffen seien Mail-Adressen der Antivirensoftware-Hersteller.

Eine versandte Email hat laut der Warnung verschiedene Betreffzeilen (Subject) und Inhalte (Body). Die meisten E-Mails haben trügen ein Attachement namens „Joke“ oder „Price“. Beim Versand über Peer-to-Peer (P2P) Netzwerke sucht der Wurm auf dem System nach Verzeichnissen, die den Textstring „SHAR“ enthalten und kopiert sich in diese mit bestimmten Dateinamen.

Worm/Bagle.at soll in der Lage sein, verschiedene Prozesse wie Antiviren- oder Firewall-Programme, zu beenden. Der Internet-Wurm kommuniziert über den TCP Port 81. Nach Ausführen des Wurms fügt dieser in der Windows Registry bestimmte Einträge hinzu.