Anzeige
So sehen die gefälschten MMS-Mails aus.
So sehen die gefälschten MMS-Mails aus. (Bild: Screenshot Golem.de)

Malware Neuer E-Mail-Wurm tarnt sich als MMS von T-Mobile

Seit Dezember 2012 verbreiten sich vermeintliche MMS-Nachrichten, die von Vodafone-Anschlüssen kommen sollen. Jetzt sind die mit Malware verseuchten Mails auch mit T-Mobile-Logo versehen. Der angehängte Wurm wird nun von den meisten Virenscannern erkannt.

Anzeige

Diesmal helfen gegen die neue Malware nur die üblichen Regeln: Mails mit einem Anhang von einem unbekannten Absender sollten mit größter Vorsicht behandelt werden. Wie Golem.de anhand von Mustern des neuen Wurms ausprobieren konnte, wird er von den Scannern Eset Smart Security 5 und Norton Antivirus 2013 mit aktuellen Signaturen vom Nachmittag des 30. Januar 2013 nicht erkannt.

Der Wurm verbreitet sich über E-Mails, die eine MMS von einem T-Mobile-Handy vortäuschen. Allein die Tatsache, dass der Anhang eine ZIP-Datei ist, die in dem uns vorliegenden Fall " foto_{SYBOL}.zip" heißt, ist ungewöhnlich. Per Handy auf Mailaccounts verschickte MMS enthalten in der Regel ein nicht in ein Archiv verpacktes JPEG-Foto. In dem ZIP steckt, wie nicht anders zu erwarten, auch ein Programm. Unser Exemplar heißt "foto96905.jpg.exe"

  • Nur wenige Scanner entdeckten den Wurm am 30. Januar ...
  • ... am Morgen des 31. Januar sind es alle großen AV-Hersteller. (Scan: Virustotal, Screenshot: Golem.de)
Nur wenige Scanner entdeckten den Wurm am 30. Januar ...

Auch in dem Dateinamen verbirgt sich ein recht alter Trick von Malware-Verbreitern, denn in den Standardeinstellungen von Windows wird die Namenserweiterung ausgeblendet, der unbedarfte Anwender sieht also nur "foto96905.jpg" und denkt leicht, er hätte ein Bild vor sich, das nur noch angeklickt werden muss. Dass das Icon auf ein Programm hinweist oder die Namenserweiterung .jpg auf solchen Systemen gar nicht sichtbar sein sollte, fällt manchen Nutzern nicht sofort auf. Spätestens beim Doppelklick auf das vermeintliche Bild sollten aber die Warnfenster von Windows zum Ausführen eines unbekannten Programms stutzig machen.

Viele namhafte Virenscanner erkennen den Wurm noch nicht

Wer auch das ignoriert, kann sich nur noch auf seinen Virenscanner verlassen - aber bisher nur auf sehr wenige der verbreiteten Programme. Unser Muster, das wir bei Virustotal hochgeladen haben, wird nach einer Analyse des Dienstes nur von 8 von 46 Scannern erkannt. Neben Eset und Norton erkennen die Engines von Avast, AVG, Bitdefender, F-Secure und Kaspersky den Schädling bisher nicht. Antivir (Avira) und F-Prot sollen den Wurm laut der Analyse von Virustotal finden. Der folgende Link bezieht sich auf die Untersuchung unseres Musters, die Einträge dort können sich ändern, wenn mehr Scanner den Schädling erkennen.

Die Verfolgung der Namen des Wurms, der beispielsweise von AhnLab als "Worm/Win32.Stekct" bezeichnet wird, führt immerhin zu einem Malware-Eintrag von Microsoft, der den Schädling beschreibt - ob es sich wirklich um eine neue Variante des Schädlings handelt, der auch als "Skype Worm" bekannt ist, ist damit nicht sicher. Als wahrscheinlich kann das aber gelten, denn schon die seit Dezember 2012 als vermeintliche MMS von Vodafone verbreitete Malware basierte auf diesem seit Anfang 2012 bekannten Programm.

Der Wurm verteilt sich über Schwachstellen in alten Versionen von Instant-Messengern wie AIM, ICQ, Skype, Windows Live Messenger und Yahoo Messenger, sowie zusätzlich über Facebook. Dazu schickt er Nachrichten über die betroffenen Dienste an Einträge aus dem Adressbuch des Anwenders, die einen Link zu einem Download der Malware enthalten. Verbreitung und Tarnung durch Beenden von manchen Sicherheitsprozessen sind die einzigen Funktionen dieser bisherigen Version, dass inzwischen auch mehr Schaden angerichtet wird, ist nicht auszuschließen.

Ebenso ist gut möglich, dass sich hinter den in den Mails angegebenen deutschen Handynummern nichts Positives verbirgt. Wer eine solche Mail erhält, sollte also der Versuchung eines Anrufs widerstehen. Zumindest Werbeanrufe oder die Verwendung der eigenen Nummer für weitere Wurmmails sind recht wahrscheinlich, falls die in den Mails angegebenen Anschlüsse den Malware-Autoren gehören.

Nachtrag vom 31. Januar 2013, 9:35 Uhr

Inzwischen erkennen die am häufigsten eingesetzten Scanner den Wurm. Es handelt sich nicht, wie zuerst gemeldet, um den Skype-Wurm, sondern um eine meist als "Bebloh" bezeichnete Malware. Im deutschen Trojaner-Board wird der Wurm "Backdoor.Andromeda" genannt. Laut einer Analyse von Symantec verbreitet sich das Schadprogramm nicht selbst weiter, ändert aber Einstellungen des Internet Explorers und öffnet eine Backdoor, über die weitere Programme nachgeladen werden können.


Ben Dover 06. Feb 2013

Und hier werden auch von Profis die Artikel verfasst, die nicht merken das der wurm auf...

Kommentieren



Anzeige

  1. IT-Projektmanager (m/w)
    EWE TEL GmbH, Oldenburg
  2. Fachinformatiker/in für Systemintegration
    GDS mbH | Gesellschaft für Datenverarbeitungssysteme und -support mbH, Landshut / Altdorf
  3. Fachinformatikerin / Fachinformatiker Second Level Support / First Level Support
    Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V., München
  4. Network Test Engineer (m/w)
    ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn

Detailsuche


Top-Angebote
  1. NEU: Nvidia Shield Android TV kaufen und Shield-Remote gratis dazu
    55€ sparen!
  2. NEU: Men in Black 3 (+ Blu-ray) [Blu-ray 3D]
    9,90€
  3. TIPP: Das Leben des Brian - The Immaculate Edition [Blu-ray]
    7,90€

Weitere Angebote


Folgen Sie uns
       


  1. The Pirate Bay

    Filmindustrie will Streaming mit Torrents Time unterbinden

  2. Astronomie

    Forscher entdecken 900 neue Galaxien

  3. Server-Prozessor

    Cern bestätigt Zen-Opteron mit 32 Kernen

  4. Blizzard

    Hearthstone-Cheat-Tools verteilen Malware

  5. Windows 10 Mobile

    Vaios Phone Biz kommt nicht nach Europa

  6. Sicherheitsbedenken

    Dropbox speichert Firmendaten künftig in Deutschland

  7. Microblogging

    Twitter sortiert die Timeline nur ein bisschen um

  8. Overwatch

    Stufenlos schöner - aber nicht stärker

  9. Opensuse

    Konfigurationstool Yast ist grundlegend überarbeitet worden

  10. Internet der Dinge

    Dein Kühlschrank beobachtet dich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Howto: Windows-Boot-Partitionen mit Veracrypt absichern
Howto
Windows-Boot-Partitionen mit Veracrypt absichern

Time Lab: Großes Kino
Time Lab
Großes Kino
  1. Forscher des IIS Sensoren am Körper bald ganz selbstverständlich
  2. Arbeitsschutz Deutscher Roboter schlägt absichtlich Menschen

Lockdown befürchtet: Die EU verbietet freie Router-Software - oder doch nicht?
Lockdown befürchtet
Die EU verbietet freie Router-Software - oder doch nicht?
  1. Captive Portals Ein Workaround, der bald nicht mehr funktionieren wird
  2. Die Woche im Video Mensch verliert gegen Maschine und iPhone verliert Wachstum
  3. WLAN-Störerhaftung Freifunker machen gegen Vorschaltseite mobil

  1. Re: myDealz

    DY | 04:36

  2. Re: Mehr Kerne sind der richtige Schritt

    Ach | 03:58

  3. Re: Bitcoin

    mxcd | 03:41

  4. Re: nicht so toll

    mxcd | 03:41

  5. Re: Was geht es PayPal an?

    mxcd | 03:37


  1. 19:04

  2. 18:43

  3. 18:19

  4. 18:07

  5. 17:33

  6. 17:02

  7. 16:54

  8. 16:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel