Neuer Virus Newlove: The bug is back

Neue Liebesgrüße mit integriertem Windowskiller

Kaum hat sich die Aufregung um den "I love you"-Virus wieder gelegt, bekommen PR-Agenturen, Antivirenhersteller und Systemadministratoren wieder feuchte Hände. Teils aus Aufregung, teils aus Freude, dass das lukrative Geschäft mit einer neuen und heimtückischen Variante des Virus noch lange nicht zu Ende ist.

Artikel veröffentlicht am 19. Mai 2000, 9:47 Uhr, Andreas Donath

Newlove basiert genau wie "I love you" auf VisualBasic Script und greift deshalb auch nur Windowsrechner an. Nach der Ausführung versucht der Virus, sich an alle Einträge im Outlook-Adressverzeichnis zu verschicken.

Der von den Virusforschern mit dem Namen VBS_NEWLOVE bedachte Fiesling ist aber wesentlich intelligenter gemacht als sein Vorgänger. Er verändert sich ständig, die Branche nennt dieses Verhalten polymorph. Neue Zeilen mit zufällig erzeugten Codes werden bei jeder Replikation hinzugefügt. Dadurch wird der Wurm nicht nur immer größer, was seiner Verbreitung im Wege steht, sondern, und das ist das Unangenehme: Er hinterlässt kein eindeutig identifizierbares Subjekt in den Wirts-E-Mails.

Die Attachments haben auch unterschiedlich benannte Dateianhänge.

Als ob dies nicht genug wäre, verhält sich der Wurm recht destruktiv, da er in allen Verzeichnissen die Dateigröße von Dateien auf 0 Bytes setzt. Damit lässt sich neben dem Datenverlust das Betriebssystem mit Bordmitteln nicht mehr starten.

Beim Start des Virus legt er unter einem per Zufall generierten Namen selbstständig eine Kopie seiner selbst im Windows- und Windows\System-Verzeichnis an.

Nun schreibt der Wurm in die Registry die Einträge:

• HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run\
• HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunServices\<Wurmname>

Die Variable

<Wurmname>

ist der jeweilige Name des Wurms.