Rubrik: Virenwarnung/Aktuelle Meldungen

Panda Software: Alarmstatus: Orange - Bagle.BC verbreitet sich schnell

Wurm ist in der Lage, Prozesse von Antivirus- und anderen Sicherheitslösungen zu beenden

(30.10.04) - Die neue BC-Variante des Bagle-Wurms verbreitet sich rasend schnell via E-Mail mit unterschiedlichen Eigenschaften. Die Betreffzeile der E-Mail kann wie folgt lauten: Re: Re:Hello, Re: Hi, Re: Thank you! or Re: Thanks. In nur wenigen Minuten sind zahlreiche Berichte über die Bagle.BC-Variante eingegangen, die Zahl der Vorfälle wird in den nächsten Stunden ansteigen.

Aufgrund der schnellen Verbreitung und der zahlreichen Vorfälle auf der ganzen Welt hat Panda Software entschieden, Orange-Alarm auszurufen. Das nötige Update wurde allen Kunden zur Verfügung gestellt, Kunden mit TruPrevent-Technologie waren bereits proaktiv vor dieser neuen Bedrohung geschützt.

Eigenschaften des Wurms:

Bagle.BC fälscht die Adresse des Absenders, der die Infektion verursacht.Beim Ausführen des Dateianhangs sucht Bagle.BC nach E-Mail-Adressen in verschiedenen Dateien auf dem infizierten Rechnern. Um eine noch weitere Verbreitung zu erreichen kopiert er sich selbst in alle Verzeichnisse, die den Textstring "shar" enthalten. Diese Ordner sind meist freigegebene Ordner, die gemeinsam genutzt werden können. Auf diese Weise kann er sich leicht mit z.B. den nachfolgenden Dateinamen über P2P-File Sharing-Systeme verbreiten: ACDSee 9.exe, Adobe Photoshop 9 full.exe oder Ahead Nero 7.exe.

Zusätzlich ist er in der Lage, Prozesse von Antivirus- und anderen Sicherheitslösungen zu beenden und so den PC für Angriffe von anderer Malware empfänglich machen. TruPrevent lässt sich durch Bagle.BC nicht deaktivieren, so dass es sicheren Schutz vor dieser Bedrohung bietet.

Eine weitere Eigenschaft von Bagle.BC ist das Öffnen des TCP-Kommunikationsports 81, der Hackern Zugriff auf das System erlaubt. Außerdem wird versucht die Datei G.JPG von verschie-denen Internet-Seiten herunter zu laden.

Um auf dem infizierten Rechner immer präsent zu sein, erstellt Bagle.BC drei Kopien von sich selbst in der Windows Registry (wingo.exe, wingo.exeopen und wingo.exeopenopen)

Luis Corrons, Chef von Panda Labs, sagte: "Bagle.BC setzt die Auseinandersetzung der Virenautoren weiter fort, indem er Social Engineering-Technik nutzt. Seine Eigenschaften machen ihn zu einem gefährlichen Wurm. Es besteht eine hohen Wahrscheinlichkeit eine E-mail mit Bagle.BC zu erhalten."

(ma)