Bagle-Wurm: Ohne Tricks und doppelten Boden

Starke Verbreitung, obwohl Wurm in einer als exe-Datei erkennbaren Datei steckt

Bereits am 18. Januar 2004 tauchte der Bagle-Wurm erstmals auf, verbreitete sich zunächst aber nur wenig. Nun schlagen die Labors der Antivirenhersteller Alarm, dass sich der Unhold mittlerweile stark verbreitet habe. Dabei wendet der Wurm keine besonderen Tricks oder Kniffe an. Mit dem Wurm infiziert sich nur, wer vorher eine als solche erkennbare, per E-Mail empfangene exe-Datei gestartet hat.

Artikel veröffentlicht am 20. Januar 2004, 10:06 Uhr, Ingo Pakalski

Der Bagle-Wurm verschickt sich in einer infizierten E-Mail, die den Betrefftext "Hi" trägt und wechselnde Nachrichtentexte aufweist, die mit "Test =)" beginnen und mit "Test, yep." enden. Der Wurm-Code steckt in einer an die E-Mail gehängten, knapp 16 KByte großen exe-Datei, die mit wechselndem Dateinamen von dem Schädling versendet wird. Erst nach manuellem Start der exe-Datei wird das betreffende System infiziert und der Unhold beginnt mit der Verbreitung.

Zur effizienten Vermehrung durchsucht Bagle alle Dateien mit den Endungen .wab, .htm, .html und .txt nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese. Dabei bleiben Empfänger mit den Adressteilen .r1, @hotmail.com, @msn.com, @microsoft.com sowie @avp unberücksichtigt, so dass sich der Bösewicht nicht an diese versendet. Nach der Ausführung des Wurms legt dieser sich in Form der Datei bbeagle.exe im Windows-System-Verzeichnis ab und trägt sich so in die Registry ein, dass der Schädling bei jedem Rechnerstart geladen wird.

Der Bagle-Wurm öffnet nach außen den Port 6777, worüber ein Angreifer Zugang zu dem betreffenden System erlangt, um etwa Programme mit den Rechten des angemeldeten Nutzers zu laden und auszuführen. Zudem versucht der Unhold, über im Wurm codierte Web-Server PHP-Scripte zu laden. Wie der Sobig-Wurm besitzt auch Bagle eine Art Selbstzerstörungsfunktion, denn nach dem 28. Januar 2004 stellt der Schädling seine Arbeit ein und verbreitet sich nicht mehr weiter.

Da sich der Bagle-Wurm ohne großen Tarnaufwand so wirksam verbreitet, zeigt dies, dass viele Anwender offenbar aus den vergangenen Wurm-Epidemien nur wenig gelernt haben und nach wie vor unbedarft Dateianhänge mit darin befindlichen exe-Dateien öffnen. Verschiedene Sicherheitsexperten dokumentieren auf entsprechenden Mailinglisten ihre Verwunderung darüber, dass sich ein Wurm ohne Tarneigenschaften so stark verbreiten kann.

Die Anbieter von Antiviren-Software bieten aktualisierte Signaturdateien zur Erkennung des Wurms sowie Tools zur Entfernung des Schädlings an.