Neuer Virus Newlove: The bug is back

Aus dem Windows\Recent-Verzeichnis heraus verwendet der Wurm-Code nun eine der zuletzt geöffneten Dateien, um sie mit dem Dateinamenanhang .vbs zu versehen.

Das Aufbauen der Mails, die Newlove an die Einträge im Outlook-Adressbuch schicken, haben einen ähnlichen Aufbau, jedoch nicht denselben Inhalt.

Nach Angaben der Antivirenhersteller sieht eine Mail so aus:

Subject:FW:

<Dateiname ohne die Endung .vbs>

Ein leerer Haupttext (body)

Attachment:

<Dateiname><Dateityp>

<Dateiname1>

ist entweder der Name einer existierenden Datei im Windows\Recent-Verzeichnis oder ein zufällig erzeugter Dateiname bis zu 31 Zeichen.

<Dateityp>

ist eine der Erweiterungen .Doc.vbs, .Xls.vbs, .Mdb.vbs, .Bmp.vbs, .Mp3.vbs, .Txt.vbs, .Jpg.vbs, .Gif.vbs, .Mov.vbs, .Url.vbs, .Htm.vbs.

In einigen Fällen sind nur die Dateien im Windows- und Windows\System-Verzeichnis betroffen; in diesen Fällen überschreibt der Virus die Dateien mit 0 Bytes. Die Dateien tragen ihren früheren Namen mit der Erweiterung .vbs. (zum Beispiel wird die win.ini in win.ini.vbs umgewandelt). Manchmal führt sich dieser Teil des Wurms öfter aus, damit ergeben sich Dateien wie zum Beispiel bildname.jpg.vbs.vbs.vbs.vbs.

Die Antivirenhersteller arbeiten alle an Lösungen und dürften diese im Laufe des Tages in ihre Virensignaturen integriert haben.