Gefälschter Trojaner-Scanner ist gefährlicher Wurm

Yarner-Wurm löscht Betriebssystem-Partition; kostenloses Lösch-Tool erhältlich

Ein bösartiger Zeitgenosse verschickt seit kurzem einen gefälschten E-Mail-Newsletter von trojaner-info.de unter einem ebenfalls gefälschten Absender. An den vermeintlichen Newsletter ist eine Datei angehängt, in der ein gefährlicher Wurm namens Yarner steckt, der sich wiederum als Software-Update ausgibt. Die Öffnung des Dateianhangs löscht etliche Daten von der Festplatte. BitDefender bietet bereits ein kostenloses Tool zum Löschen des Yarner-Wurms per Download an.

Artikel veröffentlicht am 19. Februar 2002, 15:43 Uhr, Ingo Pakalski

Der Yarner-Wurm versteckt sich in einem präparierten E-Mail-Newsletter von trojaner-info.de, wobei der eigentliche Virus im Mailanhang (yawsetup.exe) steckt. Wird dieser Anhang leichtsinnigerweise geöffnet, beginnt der darin enthaltene Virus, die Festplatte mit sinnlosem Datenmüll zu überschreiben und löscht nach dem Zufallsprinzip die komplette Betriebssystem-Partition.

Den Yarner-Wurm erkennt man sehr leicht, weil sich weder Mail-Text noch Absender oder Betreffzeile verändern. Auch der Dateiname des Mailanhangs bleibt gleich. So trägt die E-Mail den Betreff "Trojaner-Info Newsletter 18.02.02" mit der gefälschten Absender-Adresse "[e-mail]" und enthält die rund 440 KByte große Datei "yawsetup.exe".

"Hallo !

Willkomen zur neuesten Newsletter-Ausgabe der Webseite 
Trojaner-Info.de.
Hier die Themen im Ueberblick:

1. YAW 2.0 - Unser Dialerwarner in neuer Version


************************************

1. YAW 2.0 - Unser Dialerwarner in neuer Version
Viele haben ihn und viele moegen ihn - unseren Dialerwarner YAW.
YAW ist nun in einer brandneuen und stark erweiterten Version 
verfuegbar. Alle unsere Newsletterleser bekommen ihn kostenlos
zusammen mit diesem Newsletter. Also einfach die angehaengte
Datei starten und YAW 2.0 installieren. Bei Fragen steht Ihnen der
Programmierer des bislang einzigartigen Programmes Andreas
Haak unter [e-mail] zur Verfügung.
Viel Spaß mit YAW!



************************************

Das war die heutige Ausgabe mit den aktuellsten Trojaner-Info News.
Wir bedanken uns fuer eure Aufmerksamkeit und wuenschen allen 
Lesern noch eine angenehme Woche.

Mit freundlichem Gruss

Thomas Tietz & Andreas Ebert



************************************
Anzahl der Subscriber: 5.966
Durchschnittliche Besuchzahl/Tag: 4.488
Diese Mail ist kein Spam ! Diesen Newsletter hast du erhalten, da
du in unserer Verteilerliste aufgenommen wurdest. Solltest du
unseren Newsletter nicht selber abonniert haben, sondern eine
andere Person ohne dein Wissen, kannst du diesen auf unseren
Seiten wieder abbestellen. Oder sende uns einfach eine
entsprechende E-Mail.
************************************"

Wird der Wurm gestartet, legt er sich unter einem zufälligen Dateinamen im Windows-Verzeichnis ab und startet diese Datei durch einen passenden Eintrag in die Windows-Registry bei jedem Rechner-Neustart. Außerdem überschreibt der Wurm das Windows-Notepad, damit er darüber zusätzlich gestartet wird.

Für die Verbreitung durchsucht der Wurm alle Dateien mit den Endungen PHP, HTM, SHTM, CGI und PL nach gültigen E-Mail-Adressen und versendet sich an diese. Aber auch das Outlook-Adressbuch verwendet der Wurm für seine Verbreitung, indem er sich an alle Einträge im Adressbuch schickt. Die gesammelten Adressen speichert der Wurm in den Dateien KERNEI32.DAA und KERNEI32.DAS, die beide im Windows-Verzeichnis abgelegt werden.

Zahlreiche Hersteller von Virenscannern bieten bereits Updates ihrer Virensignaturen an, die den Yarner-Wurm erkennen und löschen können. Das Bukarester Unternehmen BitDefender bietet ein kostenloses Tool (AntiYarner.exe) zum Download an, um den Yarner-Wurm zu entfernen. Die Betreiber von trojaner-info.de bedauern den Vorfall, auch wenn es nicht ihr Verschulden ist, und weisen ausdrücklich darauf hin, dass sie niemals Software-Updates per E-Mail angeboten haben.