Wurm vernichtet etliche Dateien

Nyxem.E überschreibt Dokumente an jedem 3. eines Monats

Auch wenn täglich eine Vielzahl neuer Würmer im Internet entdeckt werden, sind Schädlinge mit direkten Schadroutinen die Ausnahme. Mit dem neu entdeckten Windows-Wurm Nyxem.E wütet eine solche Variante nun im Internet. Der Schädling überschreibt an jedem 3. eines Monats eine Vielzahl verschiedener Dateien und kann somit erheblichen Schaden auf befallenen Systemen anrichten.

Artikel veröffentlicht am 23. Januar 2006, 11:17 Uhr, Ingo Pakalski

Die Löschfunktion von Nyxem.E hat vor allem Anwenderdaten im Visier. So sucht der Schädling am 3. eines jeden Monats auf allen angeschlossenen Laufwerken nach Dateien mit den Endungen .doc, .xls, .mdb, .mde, .ppt, .pps, .zip, .rar, .pdf, .psd und .dmp, um diese Dokumente mit der Textzeile "DATA Error [47 0F 94 93 F4 K5]" zu überschreiben. Damit werden die Daten wertlos und man läuft Gefahr, wichtige Dokumente zu verlieren. Die nächste Löschattacke von Nyxem.E findet am 3. Februar 2006 statt und wird am 3. März 2006 wiederholt, falls der Schädling nicht zuvor eliminiert wurde.

Der Windows-Wurm verbreitet sich per E-Mail mit englischsprachigen Betreff- und Nachrichtentexten, die aus einer Auswahl an Vorlagen entnommen werden. Der eigentliche Wurm-Code befindet sich wie üblich im Dateianhang, der ebenfalls eine englische Bezeichnung trägt. Die Nachrichtentexte versuchen Opfer dazu zu bewegen, den Wurm-Code zu öffnen, indem der Einblick auf kostenloses, pornografisches Material versprochen wird. Auf einem infizierten Rechner durchsucht der Wurm eine Reihe von Dateien nach E-Mail-Adressen und versendet sich an diese. Außerdem legt sich der Wurm in Netzwerkverzeichnisse ab, um sich auch darüber etwa in einem Firmennetzwerk zu verbreiten.

Jedes infizierte System ruft außerdem eine bestimmte Webseite auf, was den Zähler der betreffenden Seite erhöht. Nach F-Secure-Angabe lag der Zähler vor zwei Tagen bei 510.000, was wohl die Menge befallener Systeme umreißt. Aktuellere Zahlen liegen derzeit nicht vor. Außerdem trägt sich der Schädling so in der Registry ein, dass der Wurm bei jedem Neustart des Rechners geladen wird. Nyxem.E versucht ferner laufende Virenscanner zu beenden und vom System zu entfernen.

Anbieter von Antivirenlösungen stellen aktuelle Virensignaturen bereit, um den Wurm Nyxem.E zu erkennen.