Neue Bagle-Variante verbreitet sich rasch

Antivirenhersteller warnen vor Bagle.AO bzw. Bagle.aq

Antivirenhersteller warnen vor einer neuen Variante des Wurms Bagle, der als W32.Beagle.AO@mm, W32/Bagle.aq@MM, WORM_BAGLE.AC oder Win32.Bagle.AG bezeichnet wird. Wie auch einige seiner Vorgänger konnte sich die neue Variante in kurzer Zeit in recht hohem Maß per E-Mail verbreiten. Der Wurm öffnet auf infizierten Systemen eine Hintertür, über die sich ein befallener Rechner zur Spam-Verbreitung missbrauchen lässt.

Bei der Verbreitung per E-Mail steckt der Wurm-Code wie üblich im Anhang, der als ZIP-Datei mit wechselnden Namen daherkommt. Die Archive enthalten neben dem Wurm in Form einer EXE-Datei auch eine HTML-Datei, die, öffnet man das Archiv mit dem Explorer von Windows, die Datei "Price.html" anzeigt. Allerdings wird über diese HTML-Datei über eine Sicherheitslücke automatisch der Wurm ausgeführt.

Wie üblich bei derartigen E-Mail-Würmern werden die E-Mails mit gefälschtem Absender verschickt, so dass dieser keinen Aufschluss über den Urheber gibt. Bagle.AO sammelt E-Mail-Adressen, indem zahlreiche lokale Dateien nach Adressen durchsucht werden und versendet sich über eine eigene SMTP-Engine. Zudem öffnet der Schädling den TCP-Port 80 sowie den UDP-Port 80, worüber ein Angreifer ein infiziertes System als E-Mail-Versender für die Verbreitung von Spam missbrauchen kann.

Die Hersteller von Virenscannern bieten bereits aktualisierte Signaturdateien zur Erkennung von Bagle.AO an.