Original-URL des Artikels: https://www.golem.de/0510/40872.html    Veröffentlicht: 07.10.2005 10:34    Kurz-URL: https://glm.io/40872

Sober-Wurm-Welle reißt nicht ab

Dritter Sober-Wurm-Ableger innerhalb eines Tages

Nachdem am 6. Oktober 2005 bereits zwei verschiedene Sober-Würmer durch das Internet gegeistert sind, gesellt sich seit den Abendstunden des gleichen Tages ein weiterer Sober-Ableger dazu, der sich ebenfalls sehr rasch verbreitet hat. Auch dieser Wurm versucht durch entsprechende E-Mail-Texte, seine Opfer dazu zu bringen, den angehängten Schadcode zu aktivieren.

Der jüngst entdeckte Wurm trägt den Schadcode in dem mit der E-Mail versendeten Anhang, der in den Golem.de vorliegenden Mustern Brief.zip heißt. Der deutsche Nachrichtentext gibt vor, dass der Absender fragwürdige Inhalte erhalten habe und mit einer Anzeige drohe. Mit diesem Trick will der Schädling Opfer dazu bringen, die angehängte Datei zu öffnen. In der ZIP-Datei steckt dann eine als Word-Datei getarnte Exe-Datei mit dem Namen "packedX_Word_Text-Document.exe", die den Wurm-Code enthält.

Die Wurm-E-Mail weist die Betreffzeile "Haben Sie diese Mail verschickt?" auf und wird so an alle deutschsprachigen Domains versendet. Sofern es stimmt, dass es sich hierbei um einen weiteren Sober-Ableger handelt, verschickt sich der Wurm in einer weiteren Variante mit englischsprachigem Betreff. Derzeit liegen aber noch keine Informationen aus den Labors der Anbieter von Antivirenlösungen vor, so dass genauere Angaben nicht gemacht werden können.

Der deutsche Nachrichtentext lautet Höchstwahrscheinlich trägt sich der Wurm auf infizierten Systemen so in die Registry ein, dass er bei jedem Windows-Neustart automatisch geladen wird. Außerdem durchsucht der Unhold vermutlich eine Vielzahl lokaler Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese, um sich so zu verbreiten. Für den Versand werden zudem sicherlich die Absenderadressen gefälscht, so dass der eigentliche Versender der Wurm-E-Mail nicht ohne weiteres ermittelt werden kann.

Noch liegen keine Details zu dem neuen Wurm von den Herstellern von Antiviren-Applikationen vor, so dass sich die gemachten Beobachtungen bislang nicht bestätigen lassen.  (ip)


Verwandte Artikel:
Starke Verbreitung eines weiteren Wurms mit deutschem Text   
(06.10.2005, https://glm.io/40848 )
Smartphones: Broadpwn-Lücke könnte drahtlosen Wurm ermöglichen   
(28.07.2017, https://glm.io/129169 )
Pyeongchang: Olympic Destroyer ist eine lernende Malware   
(14.02.2018, https://glm.io/132772 )
Incident Response: Social Engineering funktioniert als Angriffsvektor weiterhin   
(25.02.2018, https://glm.io/132972 )
Flightsim Labs: Flugsimulator-Addon klaut bei illegalen Kopien Passwörter   
(20.02.2018, https://glm.io/132882 )

© 1997–2019 Golem.de, https://www.golem.de/