Original-URL des Artikels: https://www.golem.de/0305/25463.html    Veröffentlicht: 13.05.2003 10:56    Kurz-URL: https://glm.io/25463

Fizzer-Wurm verbreitet sich rasant im Internet

Verbreitung über E-Mail und das KaZaA-Netzwerk

Nach einem eher harmlosen Start verbreitet sich der E-Mail- und P2P-Wurm Fizzer besonders rasant im Internet. Aufgetaucht ist der Wurm bereits am 8. Mai 2003, allerdings wies nichts auf die nun eingetretene explosionsartige Verbreitung hin, die auch erst mehrere Tage später auftrat. Zahlreiche Hersteller von Antiviren-Software warnen übereinstimmend vor diesem Unhold und empfehlen eine möglichst zügige Aktualisierung der entsprechenden Virenscanner.

Der Fizzer-Wurm verbreitet sich per E-Mail sowie über das KaZaA-Netzwerk, horcht Kennwörter ab, enthält einen IRC- und AIM-Bot, worüber ein Angreifer Aktionen ausführen kann, und schmeißt Antiviren-Software aus dem Speicher. Für die Verbreitung über E-Mail nutzt der Schädling eine eigene SMTP-Engine, deren Daten aus den Zugangsdaten des befallenen Systems stammen. Entsprechende E-Mail-Adressen sucht Fizzer im Outlook-Adressbuch sowie in zahlreichen lokalen Dateien und erstellt Mail-Adressen zufällig aus Textbausteinen. Hierbei stehen besonders Mail-Dienste und große Provider im Visier des Wurms, da unter anderem die Domains aol.com, yahoo.com, msn.com, hotmail.com, juno.com sowie earthlink.com auf seiner Liste stehen. Außerdem legt sich der Unhold unter zufällig ausgewählten Dateinamen im KaZaA-Verzeichnis ab, um sich über das P2P-Netzwerk zu verteilen.

Sowohl Betreffzeile als auch der Nachrichtentext der E-Mails wechseln ständig und werden aus englischen und deutschen Wortbausteinen zusammengesetzt. Auch der Dateiname des Anhangs wird zufällig gewählt und trägt entweder die Dateiendung .com, .exe, .pif oder .scr. Erst wenn der Anhang manuell vom Anwender geöffnet wird, aktiviert sich der Unhold und nistet sich im System ein. Da der Wurm sich auch über das KaZaA-Netzwerk verbreitet, genügt natürlich auch ein Doppelklick auf eine derartig infizierte Datei. Nach der Aktivierung legt der Schädling vier Dateien im Windows-Verzeichnis ab und erstellt einen Registry-Eintrag, damit der Wurm bei jedem Rechnerstart ausgeführt wird. Ein weiterer Registry-Eintrag sorgt dafür, dass Fizzer beim Öffnen einer txt-Datei unbemerkt geladen wird.

Als IRC-Bot pingt der Wurm zahlreiche IRC-Server an und meldet sich unter verschiedenen Kennungen in zahlreichen Channels an, so dass ein Angreifer darüber entsprechende Aktionen starten kann. Unter einem zufällig gewählten Namen meldet sich Fizzer beim AOL Instant Messenger (AIM) an und wartet auch hier auf weitere Aktionen eines möglichen Angreifers. Über eine Keylogger-Komponente werden zudem alle Kennwörter am vom Wurm befallenen System abgefangen und in einer verschlüsselten Datei abgelegt, worüber ein Angreifer die entsprechenden Zugangsdaten erhält. Zudem durchsucht der Schädling das System nach laufenden Antiviren-Applikationen und schmeißt diese bei Bedarf aus dem Speicher. Schließlich installiert Fizzer auf Port 81 einen HTTP-Server, worüber ein Angreifer etliche Informationen abfragen kann und horcht an den Ports 2018, 2019, 2020 und 2021, worüber aus der Ferne das System gesteuert werden kann.

Alle Hersteller von Antiviren-Software bieten bereits aktuelle Virensignaturen an, die den Fizzer-Wurm erkennen und unschädlich machen. Außerdem bieten Symantec, BitDefender und McAfee kostenlose Tools als direkten Download an, um den Unhold nach einem Befall vom System zu entfernen.  (ip)


© 1997–2019 Golem.de, https://www.golem.de/