Wurm versucht Kreditkartendaten zu stehlen

Fingiertes PayPal-Fenster bringt Opfer zur Eingabe von Kreditkartendaten

Mehrere Anbieter von Anti-Viren-Produkten berichten, dass sich im Internet zunehmend ein neuer Wurm verbreitet, der versucht, auf ziemlich perfide Weise Kreditkartendaten zu sammeln. Dazu öffnet sich nach Öffnen des Wurmanhangs ein vermeintliches PayPal-Fenster und fordert zur Eingabe der Kreditkartendaten auf. Der Wurm wird je nach Hersteller als Paylap oder Mimail.I bezeichnet.

Artikel veröffentlicht am 14. November 2003, 15:08 Uhr, Ingo Pakalski

PayPal-Dialog Über das PayPal-Dialogfenster will Paylap Opfer dazu bringen, darin ihre Kreditkartendaten einzutragen. Die gesammelten Daten legt der Wurm in der Datei C:\ppinfo.sys ab und versucht diese anschließend an folgende E-Mail-Adressen zu versenden: [e-mail], [e-mail], [e-mail] sowie [e-mail].

Die Betreffzeile der Wurm-E-Mail trägt den Titel "YOUR PAYPAL.COM ACCOUNT EXPIRES", der Absender lautet [e-mail] und auch der Nachrichtentext ist immer identisch und fordert den Empfänger mit englischem Text auf, seine Kreditkartendaten anzugeben. Der eigentliche Wurm-Code steckt wie üblich im Dateianhang, der entweder "paypal.asp.scr" oder "www.paypal.com.scr" heißt und manuell gestartet werden muss, um sich damit zu infizieren. Viele E-Mail-Clients blenden allerdings die zweite scr-Endung aus, so dass die Anhänge als asp- respektive com-Dateien erscheinen.

Zur Verbreitung durchsucht Paylap den Browser-Cache vom Internet Explorer nach gültigen E-Mail-Adressen und versendet sich an diese. Nach Aktivierung trägt sich der Schädling zudem so in die Registry ein, dass der Wurm bei jedem Rechnerstart geladen wird.