Wurm gibt sich mit deutschem Text als Microsoft-Patch aus

Wurm Sober.D besitzt gefälschte Microsoft-Adresse als Absender

Wie Antivirenhersteller berichten, verbreitet sich seit der Nacht auf Montag, den 8. März 2004, ein weiterer Ableger des Sober-Wurms im Internet, der einen deutschsprachigen Mail-Text enthält. Sowohl mit dem Mail-Text als auch einer gefälschten E-Mail-Adresse will der Unhold vortäuschen, es handele sich um einen von Microsoft versendeten Sicherheits-Patch gegen dem MyDoom-Wurm.

Artikel veröffentlicht am ,

Der Wurm Sober.D alias Roca.A versendet sich unter anderem mit deutschsprachigem Nachrichtentext samt passender Betreffzeile, kann jedoch auch mit entsprechendem englischem Text daherkommen. Die deutschsprachige E-Mail enthält die Betreffzeile "Microsoft Alarm: Bitte Lesen!" und folgenden Nachrichtentext:

Neue Virus-Variante W32.Mydoom verbreitet sich schnell.

Eine neue Mydoom-Variante verbreitet sich derzeit rasend schnell
im Internet.
Wie seine Vorgänger verschickt sich der Wurm von infizierten 
Windows-Rechnern per E-Mail an weitere Adressen.
Zudem installiert er auf infizierten Systemen einen gefährlichen
#Trojaner!
Führende Virenspezialisten melden bereis ein vermehrtes
Aufkommen des W32.Mydoom alias W32.Novarg.

Bitte daten Sie Ihr System mit dem Patch ab, um sich vor
diesem Schädling zu schützen!

 +++ ©2004 Microsoft Corporation. Alle Rechte vorbehalten.
 +++ Microsoft Deutschland GmbH, Konrad-Zuse-Strasse 1
 +++ 85716 Unterschleissheim, HRB 70438, DE 129 415 943
Die Absenderadresse ist in jedem Fall gefälscht und wird aus verschiedenen Bausteinen zusammengesetzt. So lauten die Adressen bei einer deutschsprachigen Wurm-Mail Info@microsoft.de, UpDate@microsoft.de, Help@microsoft.de, Patch@microsoft.de, Alert@microsoft.de, News@microsoft.de, Center@microsoft.de oder Studio@microsoft.de. Der Wurm-Code steckt in einer an die E-Mail angehängten Datei, die auf ZIP oder EXE endet und im Dateinamen Patch, MS-Security, MS-UD, UpDate oder sys-patch trägt. Der Dateiname kann zudem mit einer beliebigen Zahlenkombination versehen sein.

Der Wurm-Anhang nutzt keinerlei Sicherheitslücken, um sich automatisch zu installieren, so dass auch dieser Bösewicht auf die Unwissenheit der Nutzer setzt. Wird der Dateianhang leichtsinnigerweise manuell gestartet, kopiert sich Sober.D in das Windows-System-Verzeichnis und trägt sich so in die Registry ein, dass der Schädling bei jedem Windows-Neustart automatisch geladen wird. Nach einer Installation gibt der Wurm eine gefälschte Dialogbox aus, wonach der Patch erfolgreich installiert sei oder nicht benötigt werde. Zur Verbreitung durchsucht der Unhold zahlreiche lokale Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese. Die gefundenen E-Mail-Adressen sammelt Sober.D in einer Textdatei mit dem Namen MSLOGS32.DLL, welche im Windows-System-Verzeichnis abgelegt wird.

Microsoft sowie viele andere Software-Hersteller versenden niemals Patches per E-Mail, so dass derartige E-Mails im Grunde leicht als Fälschungen erkannt werden können. Dennoch fallen offenbar viele unbedarfte Anwender immer noch auf diesen alten Trick herein.

Die meisten Antivirenhersteller bieten bereits aktualisierte Signaturdateien für ihre Virenscanner an, die Sober.D alias Roca.A erkennen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


no_name 09. Mär 2004

Naja viel bekommt man davon ja nicht mit, aber es werden Woechentlich Hacker, Cracker und...

Ronni_WahnSinnObi 08. Mär 2004

Deswegen halt ich mich an´s Motto "Never change a running system". Gut, es gibt updates...

:-) 08. Mär 2004

Da man bis heute noch keinen Virenschreiber gefunden hat, frage ich mich gaaaanz...

:-) 08. Mär 2004

...kommt es dir etwa bekannt vor??? :-)



Aktuell auf der Startseite von Golem.de
Verkaufsverbot
Huawei will 50-Cent-Lizenzgebühr pro AVM-Fritzbox

Huawei hat gerichtlich ein gültiges Verkaufsverbot von Fritzboxen mit Wi-Fi 6 und Wi-Fi 7 durchgesetzt. Es geht um Huaweis Patente für den Standard.

Verkaufsverbot: Huawei will 50-Cent-Lizenzgebühr pro AVM-Fritzbox
Artikel
  1. Elektro-SUV: Porsche macht den Macan deutlich aerodynamischer
    Elektro-SUV
    Porsche macht den Macan deutlich aerodynamischer

    Der vollelektrische Porsche Macan soll "in Kürze" in die Produktion gehen. Dazu hat der Sportwagenhersteller neue Details zu dem SUV genannt.

  2. Samsung-Tablet bei Media Markt mit 180 Euro Rabatt sichern
     
    Samsung-Tablet bei Media Markt mit 180 Euro Rabatt sichern

    Media Markt bietet zum Jahresanfang interessante Deals an. Ein beliebtes Samsung-Tablet ist mit einem Rabatt von 180 Euro besonders spannend.
    Ausgewählte Angebote des E-Commerce-Teams

  3. The Lost Crown im Test: Prince of Persia als super spaßiger Sidescroller
    The Lost Crown im Test
    Prince of Persia als super spaßiger Sidescroller

    Kein Prinz als Held, aber sonst königlich: Prince of Persia - The Lost Crown entpuppt sich im Test als rundherum gut gemachtes Abenteuer.
    Von Peter Steinlechner

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • PS5 + Spider-Man 2 569€ • AMD Ryzen 9 5950X 379€ • Switch-Controller 17,84€ • AOC 27" QHD 165Hz 229€ • MindStar: Gigabyte RTX 4070 Ti 819€ • Google -47% • Steelseries -64% • Corsair -39% • Bose -36% • 3 Spiele für 49€ • Gigabyte 27" QHD 240 Hz 399€ • EA-Spiele -66% [Werbung]
    •  /