Mail-Wurm löscht Daten auf lokaler Festplatte

Wurm nutzt zwei Sicherheitslücken in Microsoft-Produkten

Anbieter von Antiviren-Software warnen vor dem neu entdeckten Mail-Wurm Winevar, der den eher harmlosen Virus Funlove in das befallene System einschleust, aber dennoch gehörigen Datenverlust beschert. Der Wurm deaktiviert zahlreiche Virenscanner und auch Firewall-Software auf dem System, um ungestört seiner Arbeit nachgehen zu können.

Artikel veröffentlicht am 25. November 2002, 16:51 Uhr, Ingo Pakalski

Für eine effektive Verbreitung durchsucht der Wurm Winevar alle Dateien auf der lokalen Festplatte mit den Endungen .html und .dbx nach gültigen E-Mail-Adressen und versendet sich selbstständig an alle gefundenen Adressaten über eine eigene SMTP-Engine. Erstaunlicherweise ignoriert der Wurm alle E-Mail-Adressen, die ein "@microsoft.com" enthalten, um eine Verbreitung über die Microsoft-Mail-Server zu verhindern. Der betreffende Wurm-Code verbirgt sich im Mail-Anhang, der zwei Dateien enthält, die mit den Buchstaben "WIN" beginnen und die tatsächlichen Dateiendungen (.htm, .ceo) durch Doppelung verschleiern.

Sobald der Wurm aktiv ist, trägt er sich so in die Registry ein, dass dieser bei jedem Rechnerstart automatisch geladen wird und beendet die Tasks von zahlreichen Virenscannern sowie Software-Firewalls. Dann durchforstet der Wurm alle Laufwerke nach den Begriffen antivirus, cillin, nlab sowie vacc und versucht, alle Dateien in den gefundenen Verzeichnissen zu löschen. Durch einen Programmfehler werden stattdessen aber alle Dateien auf der betreffenden Partition gelöscht. Außerdem ruft der Wurm bei bestehender Internet-Verbindung die Website www.symantec.com auf, um eine Denial-of-Service-Attacke auszuführen.

Auch beim Einsatz der Sicherheitslücken macht der Wurm einen Fehler, so dass nur das harmlosere Leck Verwendung findet. Durch ein über zwei Jahre altes Sicherheitsleck in der Java-Engine von Microsoft wird die Dateiendung .ceo als ausführbares Programm registriert, um einen der beiden Mail-Anhänge auszuführen. Wie schon zahlreiche Wurm-Varianten versucht auch der Winevar-Wurm, sich die Sicherheitslücke im Internet Explorer 5.0 und 5.5 zu Nutze zu machen, die Mail-Anhänge schon bei der Vorschau automatisch ausführt. Aber ein Programmfehler soll dafür sorgen, dass der Wurm hier versagt. Nichtsdestotrotz sollte man den Patch für den Internet Explorer 5.01 oder 5.5 installieren, falls noch nicht geschehen.

Die meisten Anbieter von Antiviren-Scannern bieten bereits aktualisiert Virensignaturen an, um den jüngst entdeckten Schädling bekämpfen zu können.