Rubrik: Virenwarnung/Aktuelle Meldungen

Kaspersky Labs: Ausbruch der ersten Epidemie eines ICQ-Wurms

Der Wurm "Bizex" attackiert ICQ-Anwender

(01.03.04) - Kaspersky Labs warnt Anwender des Internet-Pagers ICQ vor dem neuen Netzwurm "Bizex". Daten über Infektionen mit dem Wurm gibt es bereits aus allen Ländern der Welt. Nach vorläufigen Schätzungen beträgt die Infektionsrate bereits mehr 50.000 Infektionen.

Auf dem Computer der Opfer erscheint eine ICQ-Meldung mit dem Hinweis eine Hacker-Site zu besuchen. Die Infektion geschieht beim Öffnen der Hacker-Website. Zur Maskierung beim Betrachten der Website wird dem Anwender der Inhalt der Website "Joe Cartoon" (Autor der bekannten amerikanischen Zeichentrickfilme) vorgeführt. Unterdessen attackiert die Malware den Computer auf zwei Arten. Zunächst benutzt sie eine Schwachstelle im Browser Internet Explorer (http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-047.asp). Zweitens benutzt sie eine Schwachstelle im Betriebssystem Windows:

(http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/ms03-011.asp). Im Ergebnis wird für den Anwender unbemerkt eine spezielle Datei auf den Computer geladen, die von einer entfernten Netz-Schnittstelle die Trägerdatei "Bizex" (APTGETUPD.EXE) herunterlädt und sie ausführt.

Danach beginnt "Bizex" mit der Prozedur zur Infektion des Computers. Hierzu erstellt er das Verzeichnis SYSMON im System Katalog von Windows und kopiert sich unter dem Namen SYSMON.EXE in ihn hinein und registriert die Datei im "autoexe" System-Verzeichnis. Somit wird der Wurm bei jedem Starten des Betriebssystems in den Speicher des Computers geladen.

Nach diesem Prozess beginnt "Bizex" seine weitere Verbreitung über ICQ. Der Wurm zieht aus sich einige System-Bibliotheken zur Funktion mit dem Internet-Pager heraus und installiert sie im System-Verzeichnis von Windows. Hierdurch erhält "Bizex" Zugang zu Liste von ICQ-Kontaktadressen, stellt den aktiven ICQ ab und erstellt eine alternative Verbindung mit dem Server unter der Adresse des infizierten Computers, um an alle gefundenen Adressen Links auf die Hacker WebSite zu versenden.

Dabei ist zu beachten, dass der Wurm nur originäre ICQ-Clients attackiert (ausgenommen Web ICQ), wohingegen alternative Pager wie Miranda oder Trillian gegen den Wurm immun sind.

"Bizex" enthält darüber hinaus eine reihe gefährlicher Nebeneffekte, die zum Entweichen vertraulicher Information führen können. Dabei scannt der Wurm den infizierten Computer, sammelt Daten über installierte Zahlungssysteme und versendet sie unbemerkt an einen anonymen Server.

Zu den betroffenen Systemen gehören:

·         Wells Fargo

·         American Express UK

·         Barclaycard

·         Credit Lyonnais

·         Bred.fr

·         Lloyds

·         E-gold

Der Wurm fängt auch Informationen ab, die vom Computer über HTTPS (geschütztes Protokoll, das u.a. für Finanztransaktionen verwendet wird) übertragen werden sowie Codes zum Zugang zu verschiedenen E-Mail-Systemen (z.B. Yahoo Mail). Hier gesammelte Daten werden ebenfalls an einen anonymen Server verschickt.

"In diesem Falle haben wir es mit einer originellen Penetrations-Methode, einer Attacke auf ein ansonsten stabiles System und den Einsatz einer Reihe von Spy-Funktionen gleichzeitig zu tun. Dies hat dem Wurm-Schreiber gewiss Nutzen eingebracht, obwohl die Schadens-Site bereits vier Stunden nach ihrem Erscheinen geschlossen wurde", sagte Eugene Kaspersky, Leiter der Anti-Virenforschung bei Kaspersky Labs. "Gleichzeit warnen wir Internet-Surfer vor einem Öffnen verdächtiger Sites und empfehlen ein sofortiges Herunterladen der Upadates für Internet Explorer und Windows."

Ein Schutz gegen die Schadens-Komponenten von "Bizex" ist bereits Bestandteil der Antiviren-Dateien von Kaspersky Labs. Genauere Informationen zu "Bizex" finden Sie in der Virus Encyclopedia von Kaspersky Labs (http://www.viruslist.com/eng/viruslist.html?id=1029528). (ma)

Kaspersky Labs

Ansprechpartner: Denis Zenkin

Tel. (007-095) 9485650, Fax (007-095) 9484331

E-Mail: denis.zenkin@kaspersky.com

Ansprechpartner: Andreas Lamm

Spretistraße 7, D 85057 Ingolstadt

Tel. (0700) 55010000, Fax (0700) 55010001

E-Mail: andreas.lamm@kaspersky.de

Web: www.kaspersky.com