So sehen die gefälschten MMS-Mails aus.
So sehen die gefälschten MMS-Mails aus. (Bild: Screenshot Golem.de)

Malware Neuer E-Mail-Wurm tarnt sich als MMS von T-Mobile

Seit Dezember 2012 verbreiten sich vermeintliche MMS-Nachrichten, die von Vodafone-Anschlüssen kommen sollen. Jetzt sind die mit Malware verseuchten Mails auch mit T-Mobile-Logo versehen. Der angehängte Wurm wird nun von den meisten Virenscannern erkannt.

Anzeige

Diesmal helfen gegen die neue Malware nur die üblichen Regeln: Mails mit einem Anhang von einem unbekannten Absender sollten mit größter Vorsicht behandelt werden. Wie Golem.de anhand von Mustern des neuen Wurms ausprobieren konnte, wird er von den Scannern Eset Smart Security 5 und Norton Antivirus 2013 mit aktuellen Signaturen vom Nachmittag des 30. Januar 2013 nicht erkannt.

Der Wurm verbreitet sich über E-Mails, die eine MMS von einem T-Mobile-Handy vortäuschen. Allein die Tatsache, dass der Anhang eine ZIP-Datei ist, die in dem uns vorliegenden Fall " foto_{SYBOL}.zip" heißt, ist ungewöhnlich. Per Handy auf Mailaccounts verschickte MMS enthalten in der Regel ein nicht in ein Archiv verpacktes JPEG-Foto. In dem ZIP steckt, wie nicht anders zu erwarten, auch ein Programm. Unser Exemplar heißt "foto96905.jpg.exe"

  • Nur wenige Scanner entdeckten den Wurm am 30. Januar ...
  • ... am Morgen des 31. Januar sind es alle großen AV-Hersteller. (Scan: Virustotal, Screenshot: Golem.de)
Nur wenige Scanner entdeckten den Wurm am 30. Januar ...

Auch in dem Dateinamen verbirgt sich ein recht alter Trick von Malware-Verbreitern, denn in den Standardeinstellungen von Windows wird die Namenserweiterung ausgeblendet, der unbedarfte Anwender sieht also nur "foto96905.jpg" und denkt leicht, er hätte ein Bild vor sich, das nur noch angeklickt werden muss. Dass das Icon auf ein Programm hinweist oder die Namenserweiterung .jpg auf solchen Systemen gar nicht sichtbar sein sollte, fällt manchen Nutzern nicht sofort auf. Spätestens beim Doppelklick auf das vermeintliche Bild sollten aber die Warnfenster von Windows zum Ausführen eines unbekannten Programms stutzig machen.

Viele namhafte Virenscanner erkennen den Wurm noch nicht

Wer auch das ignoriert, kann sich nur noch auf seinen Virenscanner verlassen - aber bisher nur auf sehr wenige der verbreiteten Programme. Unser Muster, das wir bei Virustotal hochgeladen haben, wird nach einer Analyse des Dienstes nur von 8 von 46 Scannern erkannt. Neben Eset und Norton erkennen die Engines von Avast, AVG, Bitdefender, F-Secure und Kaspersky den Schädling bisher nicht. Antivir (Avira) und F-Prot sollen den Wurm laut der Analyse von Virustotal finden. Der folgende Link bezieht sich auf die Untersuchung unseres Musters, die Einträge dort können sich ändern, wenn mehr Scanner den Schädling erkennen.

Die Verfolgung der Namen des Wurms, der beispielsweise von AhnLab als "Worm/Win32.Stekct" bezeichnet wird, führt immerhin zu einem Malware-Eintrag von Microsoft, der den Schädling beschreibt - ob es sich wirklich um eine neue Variante des Schädlings handelt, der auch als "Skype Worm" bekannt ist, ist damit nicht sicher. Als wahrscheinlich kann das aber gelten, denn schon die seit Dezember 2012 als vermeintliche MMS von Vodafone verbreitete Malware basierte auf diesem seit Anfang 2012 bekannten Programm.

Der Wurm verteilt sich über Schwachstellen in alten Versionen von Instant-Messengern wie AIM, ICQ, Skype, Windows Live Messenger und Yahoo Messenger, sowie zusätzlich über Facebook. Dazu schickt er Nachrichten über die betroffenen Dienste an Einträge aus dem Adressbuch des Anwenders, die einen Link zu einem Download der Malware enthalten. Verbreitung und Tarnung durch Beenden von manchen Sicherheitsprozessen sind die einzigen Funktionen dieser bisherigen Version, dass inzwischen auch mehr Schaden angerichtet wird, ist nicht auszuschließen.

Ebenso ist gut möglich, dass sich hinter den in den Mails angegebenen deutschen Handynummern nichts Positives verbirgt. Wer eine solche Mail erhält, sollte also der Versuchung eines Anrufs widerstehen. Zumindest Werbeanrufe oder die Verwendung der eigenen Nummer für weitere Wurmmails sind recht wahrscheinlich, falls die in den Mails angegebenen Anschlüsse den Malware-Autoren gehören.

Nachtrag vom 31. Januar 2013, 9:35 Uhr

Inzwischen erkennen die am häufigsten eingesetzten Scanner den Wurm. Es handelt sich nicht, wie zuerst gemeldet, um den Skype-Wurm, sondern um eine meist als "Bebloh" bezeichnete Malware. Im deutschen Trojaner-Board wird der Wurm "Backdoor.Andromeda" genannt. Laut einer Analyse von Symantec verbreitet sich das Schadprogramm nicht selbst weiter, ändert aber Einstellungen des Internet Explorers und öffnet eine Backdoor, über die weitere Programme nachgeladen werden können.


Ben Dover 06. Feb 2013

Und hier werden auch von Profis die Artikel verfasst, die nicht merken das der wurm auf...

Kommentieren



Anzeige

  1. SAP ABAP-Entwickler/in
    Endress+Hauser InfoServe GmbH+Co. KG, Weil am Rhein
  2. Mitarbeiter in der Beratung (m/w) im Umfeld Produktdatenmanagement
    Daimler AG, Stuttgart
  3. Full-Stack Entwickler (m/w)
    Scandio GmbH, München
  4. Produktsoftwareentwickler Vorentwicklung Cloud / Serverplattform (m/w)
    Robert Bosch Car Multimedia GmbH, Hildesheim

 

Detailsuche


Spiele-Angebote
  1. NEU: PlayStation 4 Konsole inkl. FIFA 15
    399,00€
  2. NEU: Assassins Creed Unity PC Download
    29,97€
  3. Dead Island 2 [AT PEGI] - [PC]
    49,99€ USK 18

 

Weitere Angebote


Folgen Sie uns
       


  1. Innenstädte

    Einzelhändler für Ende des Sonntagsverkaufsverbots

  2. Yanis Varoufakis

    Griechischer Finanzminister hat für Valve gearbeitet

  3. Quartalszahlen

    Apples iPhone-Verkauf übertrifft alle Prognosen

  4. Apple

    Das ist neu an iOS 8.1.3 und OS X 10.10.2

  5. Autobahn

    Ruhrgebiet soll Testgebiet für autonomes Fahren werden

  6. Glibc

    Ein Geist gefährdet Linux-Systeme

  7. iPhone

    Apple patentiert ansteckbares Gamepad und weiteres Zubehör

  8. KDE Plasma 5.2 erschienen

    Breeze ist überall

  9. Vorratsdatenspeicherung

    EU-Kommission plant keinen neuen Anlauf

  10. Microblogging

    Twitter führt Videofunktion und Gruppennachrichten ein



Haben wir etwas übersehen?

E-Mail an news@golem.de



IMHO: Juhu, DirectX 12 gibt's auch für Windows-7-Besitzer
IMHO
Juhu, DirectX 12 gibt's auch für Windows-7-Besitzer
  1. Benchmark-Beta DirectX 12 und Mantle gleich schnell in 3DMark
  2. Grafikschnittstelle AMD zieht Aussage zu DirectX 12 zurück
  3. Grafikschnittstelle Kein DirectX 12 für Windows 7

Samsung Gear VR im Test: Ich liebe das umschnallbare Heimkino!
Samsung Gear VR im Test
Ich liebe das umschnallbare Heimkino!
  1. Für 200 US-Dollar verfügbar Samsungs Gear VR ist nicht für Radfahrer geeignet
  2. Innovator Edition Gear VR wird Anfang Dezember 2014 in den USA ausgeliefert
  3. Project Beyond Frisbee-Kamera für Samsungs Gear VR

F-Secure: Bios-Trojaner aufzuspüren, ist "fast aussichtslos"
F-Secure
Bios-Trojaner aufzuspüren, ist "fast aussichtslos"

    •  / 
    Zum Artikel