Vote-Wurm löscht Daten und formatiert Festplatte

Gefährliche Schadroutine installiert zudem Trojaner auf befallenem System. Wie einige Hersteller von Antiviren-Software warnen, tauchte ein neuer E-Mail-Wurm auf. Der Vote-Wurm versucht, sich die schrecklichen Ereignisse vom 11. September in New York und Washington zu Nutze zu machen. Der im Mail-Anhang befindliche Wurm tarnt sich als Abstimmung gegen einen nahenden Kriegsausbruch, beginnt bei Aktivierung aber mit dem Löschen etlicher Dateien und der Formatierung der C-Partition.

25. September 2001 um 10:08 Uhr / Ingo Pakalski

Wie üblich nutzt der Wurm Microsoft Outlook zur Verbreitung und versendet sich an alle im Outlook-Adressbuch eingetragenen Empfänger. Man erkennt eine verseuchte E-Mail an dem Anhang "WTC.EXE" und der Betreffzeile "Fwd:Peace BeTweeN AmeriCa and IsLaM!" sowie dem Nachrichtentext
"Hi
iS iT A waR Against AmeriCa Or IsLaM !?
Let's Vote To Live in Peace!"
Aus dem Internet lädt er zudem den Trojaner "Backdoor.Trojan" auf den Rechner, was das Ausspionieren von Daten ermöglicht.

Wurde der Wurm aktiviert, kopiert er zwei Dateien auf das System, die dann die lokale Schadroutine ausführen. Im Windows-Verzeichnis legt er die Datei "ZaCker.vbs" ab, die einen Autostart-Eintrag in der Registry vornimmt. Das zweite Script "MixDaLaL.vbs" landet im System-Ordner von Windows und durchforstet die gesamte Festplatte sowie alle angeschlossenen Netzwerklaufwerke nach Dateien mit der Endung .htm oder .html, die mit dem Text "AmeRiCa ...Few Days WiLL Show You What We Can Do !!! It's Our Turn ZaCkEr is So Sorry For You" überschrieben werden.

Durch den Autostart-Eintrag in der Registry (HKEY_LOCAL_MACHINE\Microsoft\Windows\
CurrentVersion\Run) werden beim nächsten Bootvorgang alle Dateien im Windows-Verzeichnis gelöscht und die Datei "C:\Autoexec.bat" überschrieben. Darin postiert der Wurm zudem noch einen DOS-Befehl zur Formatierung von Laufwerk C.

Zahlreiche Anbieter von Antiviren-Software haben bereits aktualisierte Virensignaturen im Internet bereitgestellt.