Varianten des Mimail-Wurms verbreiten sich stark
Insgesamt sind derzeit drei Varianten des Mimail-Wurms unterwegs, die allesamt Denial-of-Service-Attacken von einem befallenen System ausführen. Alle drei Varianten des Schädlings sind leicht bereits an Absender sowie Betreffzeile oder Nachrichtentext zu erkennen, da diese nicht vom Wurm verändert werden. Die drei Schädlinge durchsuchen lokale Dateien nach entsprechenden E-Mail-Adressen und versenden sich über eine eigene SMTP-Engine an diese.
Der Wurm Mimail.C trägt die Betreffzeile "Re[2]: our private photos", gefolgt von zufällig generierten Buchstaben, was auch ein Kennzeichen von Mimail.D sowie Mimail.E ist, welche allerdings die Betreffzeile "don't be late!" aufweisen. Während Mimail.D und Mimail.E als Absender den Namen "john" vor die Domain-Adresse des Empfängers hängen, fügt Mimail.C ein "james" vor den Domainnamen des Empfängers. Erreicht ein Wurm die Redaktion von Golem.de, würde der Absender also john@golem.de oder james@golem.de lauten. Damit will der Wurm besonders Nutzer in größeren Unternehmen zum Öffnen der E-Mail bringen, da es scheint, die E-Mail stamme aus dem Firmennetzwerk.
Auch den Nachrichtentext verändern beide Unholde nicht, so dass diese leicht anhand des Textes zu erkennen sind. Während Mimail.C vorgibt, Fotos von einem Strandbesuch zu enthalten, behaupten Mimail.D und Mimail.E, eine Wegbeschreibung für eine Verabredung am Abend zu enthalten. Der eigentliche Wurm-Code befindet sich – wie beim ersten Mimail-Wurm – in einem komprimierten Anhang, der bei Mimail.C photos.zip und bei Mimail.D sowie Mimail.E readnow.zip heißt. Der Anwender muss zur Infizierung mit dem Schädling ein ZIP-Archiv manuell öffnen und die darin befindliche Datei starten, womit auch dieser Wurm sich erneut die Neugier der Anwender zu Nutze macht.
Neben der Verbreitung via E-Mail liefern beide Unholde weitere Schadroutinen. So sammelt zumindest Mimail.C alle Texteingaben der im Vordergrund befindlichen Windows-Fenster und versendet diese Informationen an im Wurm festgelegte E-Mail-Adressen, womit wichtige Daten in fremde Hände gelangen können. Als Weiteres führen alle Varianten Denial-of-Service-Attacken auf im Wurm-Code enthaltene Webseiten aus, um diese so lahm zu legen. Unter anderem werden damit gezielt Seiten von Anti-Spam-Anbietern torpediert.
Die Hersteller von Antiviren-Software haben ihre Signaturen aktualisiert, so dass damit die betreffenden Schädlinge erkannt werden sollten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.