Wurm gibt sich mit deutschem Text als Microsoft-Patch aus

Wurm Sober.D besitzt gefälschte Microsoft-Adresse als Absender

Wie Antivirenhersteller berichten, verbreitet sich seit der Nacht auf Montag, den 8. März 2004, ein weiterer Ableger des Sober-Wurms im Internet, der einen deutschsprachigen Mail-Text enthält. Sowohl mit dem Mail-Text als auch einer gefälschten E-Mail-Adresse will der Unhold vortäuschen, es handele sich um einen von Microsoft versendeten Sicherheits-Patch gegen dem MyDoom-Wurm.

Artikel veröffentlicht am ,

Der Wurm Sober.D alias Roca.A versendet sich unter anderem mit deutschsprachigem Nachrichtentext samt passender Betreffzeile, kann jedoch auch mit entsprechendem englischem Text daherkommen. Die deutschsprachige E-Mail enthält die Betreffzeile "Microsoft Alarm: Bitte Lesen!" und folgenden Nachrichtentext:

Neue Virus-Variante W32.Mydoom verbreitet sich schnell.

Eine neue Mydoom-Variante verbreitet sich derzeit rasend schnell
im Internet.
Wie seine Vorgänger verschickt sich der Wurm von infizierten 
Windows-Rechnern per E-Mail an weitere Adressen.
Zudem installiert er auf infizierten Systemen einen gefährlichen
#Trojaner!
Führende Virenspezialisten melden bereis ein vermehrtes
Aufkommen des W32.Mydoom alias W32.Novarg.

Bitte daten Sie Ihr System mit dem Patch ab, um sich vor
diesem Schädling zu schützen!

 +++ ©2004 Microsoft Corporation. Alle Rechte vorbehalten.
 +++ Microsoft Deutschland GmbH, Konrad-Zuse-Strasse 1
 +++ 85716 Unterschleissheim, HRB 70438, DE 129 415 943
Die Absenderadresse ist in jedem Fall gefälscht und wird aus verschiedenen Bausteinen zusammengesetzt. So lauten die Adressen bei einer deutschsprachigen Wurm-Mail Info@microsoft.de, UpDate@microsoft.de, Help@microsoft.de, Patch@microsoft.de, Alert@microsoft.de, News@microsoft.de, Center@microsoft.de oder Studio@microsoft.de. Der Wurm-Code steckt in einer an die E-Mail angehängten Datei, die auf ZIP oder EXE endet und im Dateinamen Patch, MS-Security, MS-UD, UpDate oder sys-patch trägt. Der Dateiname kann zudem mit einer beliebigen Zahlenkombination versehen sein.

Stellenmarkt
  1. Discover Trainee (m/w/d) eCommerce
    Vodafone GmbH, Düsseldorf
  2. Graduate Research Assistant (m/f/d) in the Research Group CAROLL
    Universität Passau, Passau
Detailsuche

Der Wurm-Anhang nutzt keinerlei Sicherheitslücken, um sich automatisch zu installieren, so dass auch dieser Bösewicht auf die Unwissenheit der Nutzer setzt. Wird der Dateianhang leichtsinnigerweise manuell gestartet, kopiert sich Sober.D in das Windows-System-Verzeichnis und trägt sich so in die Registry ein, dass der Schädling bei jedem Windows-Neustart automatisch geladen wird. Nach einer Installation gibt der Wurm eine gefälschte Dialogbox aus, wonach der Patch erfolgreich installiert sei oder nicht benötigt werde. Zur Verbreitung durchsucht der Unhold zahlreiche lokale Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese. Die gefundenen E-Mail-Adressen sammelt Sober.D in einer Textdatei mit dem Namen MSLOGS32.DLL, welche im Windows-System-Verzeichnis abgelegt wird.

Microsoft sowie viele andere Software-Hersteller versenden niemals Patches per E-Mail, so dass derartige E-Mails im Grunde leicht als Fälschungen erkannt werden können. Dennoch fallen offenbar viele unbedarfte Anwender immer noch auf diesen alten Trick herein.

Die meisten Antivirenhersteller bieten bereits aktualisierte Signaturdateien für ihre Virenscanner an, die Sober.D alias Roca.A erkennen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


no_name 09. Mär 2004

Naja viel bekommt man davon ja nicht mit, aber es werden Woechentlich Hacker, Cracker und...

Ronni_WahnSinnObi 08. Mär 2004

Deswegen halt ich mich an´s Motto "Never change a running system". Gut, es gibt updates...

:-) 08. Mär 2004

Da man bis heute noch keinen Virenschreiber gefunden hat, frage ich mich gaaaanz...

:-) 08. Mär 2004

...kommt es dir etwa bekannt vor??? :-)

Sven 08. Mär 2004

Ich würde eher sagen, daß das Einblick in den IQ des typischen Virenschreibers gibt...



Aktuell auf der Startseite von Golem.de
Powertoys
Microsofts kostenlose Tools, die Windows besser machen

Dateien benennen und Programme von überall starten: Mit den richtigen Tools lässt sich Windows besser bedienen. Wir zeigen die Powertoys.
Von Oliver Nickel

Powertoys: Microsofts kostenlose Tools, die Windows besser machen
Artikel
  1. Landsat-9: Erdbeobachtung startet heute Abend
    Landsat-9
    Erdbeobachtung startet heute Abend

    Die NASA schickt am Abend des 27. September den Landsat-9 Satelliten ins All. Seit 49 Jahren beobachtet die Reihe die Erdoberfläche.

  2. Artemis: NASA zeigt neue Bilder ihrer SLS-Mondrakete
    Artemis
    NASA zeigt neue Bilder ihrer SLS-Mondrakete

    Mit der Artemis-Mission sollen bis 2024 wieder Menschen auf dem Mond landen. Nun zeigt die NASA aktuelle Bilder ihrer Mondträgerrakete.

  3. Samsung Galaxy Tab S7+ bei Amazon um 230 Euro reduziert
     
    Samsung Galaxy Tab S7+ bei Amazon um 230 Euro reduziert

    Samsung-Produkte zum Spitzenpreis gibt es jetzt eine Woche lang bei Amazon, darunter Tablets, Smartphones, Haushaltsgeräte und vieles mehr.
    Ausgewählte Angebote des E-Commerce-Teams

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • 7 Tage Samsung-Angebote bei Amazon (u. a. SSDs, Monitore, TVs) • Samsung G5 32" Curved WQHD 144Hz 265€ • Räumungsverkauf bei MediaMarkt • Nur noch heute: Black Week bei NBB • Acer Nitro 23,8" FHD 165Hz 184,90€ • Alternate (u. a. Cooler Master Gaming-Headset 59,90€) [Werbung]
    •  /