Wurm Badtrans gefährdet E-Mail-Kommunikation
Die Wurm-Komponente von Badtrans befällt nach Aussage von Kaspersky Labs alle Mail-Clients mit Standard-MAPI-Funktionen, indem dieser alle ungelesenen E-Mails beantwortet. Diese enorme Belastung kann die betreffenden Mail-Server schnell zum Zusammenbruch führen, denn der Wurm achtet nicht darauf, ob ein Rechner bereits infiziert ist. Dadurch kann es leicht passieren, dass sich der Wurm zwischen zwei bereits infizierten Rechnern immer wieder versendet und immer auf seine eigenen "Infektions-Mails" reagiert.
Ferner enthält Badtrans einen Trojaner, der Informationen sammelt und diese an eine bestimmte E-Mail-Adresse versendet. Wurde der Wurm durch Aktivierung des Dateianhangs gestartet, nistet sich dieser im Windows-Verzeichnis ein und legt sich dort unter dem Dateinamen INETD.EXE ab. Auch die (noch nicht installierte) Trojaner-Komponente findet sich hier zunächst und trägt zunächst den Namen HKK32.EXE. Nach der Installation kann man den Trojaner anhand der Dateien KERN32.EXE, HKSDLL.DLL und CP_23421.NLS identifizieren, die sich im Windows-Systemverzeichnis finden.
Den E-Mail-Wurm erkennt man nur recht schwer, da er auf eingegangene E-Mails reagiert und so wie eine normale E-Mail-Antwort aussieht. So behält der Wurm den Betreff bei und fügt lediglich das typische "Re:" dazu. Außerdem zitiert er die Original-Mail und setzt den recht unverfänglichen Text "Take a look to the attachment." als Antwort unter das Zitat. Auch am Dateianhang selbst lässt sich der Wurm nicht ausmachen, denn er pickt sich hier zufällig einen Dateinamen von über zehn möglichen Namen heraus, die entweder auf SCR oder PIF enden.