Rubrik: Virenwarnung/Aktuelle Meldungen

KELVIR.B und FATSO.A greifen MSN Messenger an

Die speicherresidenten Würmer versuchen, sich an MSN Messenger-Kontakte zu verbreiten

(17.03.05) - Zwei neue Würmer verbreiten sich derzeit über die populäre MSN Messenger-Plattform. Ihr Auftreten wurde bislang in Europa, den USA und im asiatisch-pazifischen Raum gemeldet. Die beiden Würmer stehen wahrscheinlich nicht in Verbindung miteinander, verwenden aber dieselbe Verbreitungsmethode: An MSN Messenger-Kontakte werden Nachrichten mit Links zu bestimmten Websites versendet. Sobald ein argloser Anwender den Link aufruft, beginnt der Download des Wurms. Im Fall von WORM_KELVIR.B wird nach dem Start des Wurms unter Umständen ein zusätzliches Bot-Programm heruntergeladen, das Hintertüren auf dem infizierten System öffnet.

Die speicherresidenten Würmer KELVIR.B und FATSO.A versuchen, sich an alle MSN Messenger-Kontakte zu verbreiten, die auf dem infizierten System zu finden sind. Dazu werden Instant Messages verschickt, die Links zu einer oder mehreren Websites enthalten. Sobald der Empfänger auf den Link klickt, beginnt der Download einer Wurmkopie auf sein System. WORM_FATSO.A verbreitet sich zudem auch über eMule, einer Peer-to-Peer-Applikation für den Dateiaustausch.

Die Ähnlichkeiten zwischen den Würmern könnten darauf beruhen, dass in beiden Fällen MSN-Verbreitungscode verwendet wurde, der aus Internet-Foren der Malware-Szene stammt.

WORM_FATSO.A hinterlässt darüber hinaus verschiedene Dateien auf den befallenen Systemen. Zu den verwendeten Dateinamen gehören "Fat Elvis! Lol.pif", "Jennifer Lopez.scr", "How a Blonde Eats a Banana.pif" und "Topless in Miniskirt!lol.pif".

Bei einer der abgelegten Dateien handelt es sich um einen Text mit einer persönlichen Botschaft an "Larissa", den Programmierer bzw. die Programmiererin des Mitte Februar entdeckten WORM_ASSIRAL.A. Der Malicious Code wurde konzipiert, um Varianten des BROPIA-Wurms zu deaktivieren, die sich seit Anfang diesen Jahres über MSN Messenger verbreiten. WORM_ASSIRAL.A verbreitete sich als Email-Dateianhang und zeigte auf infizierten System folgenden Text an: "Larissa - Anti-Bropia - Freeing the world of Bropia".

Darauf antwortet der Programmierer des FATSO-Wurms jetzt mit der Nachricht: "Hey LARISSA f**k off, you f**king n00b!.. Bla bla to your f**king Saving the world from Bropia, the world n33ds saving from you! '-S-K-Y-'-D-E-V-I-L-'"

Die mit WORM_KELVIR.B infizierte Datei hat eine Größe von 46KB. WORM_FATSO.A hat eine Dateigröße von 17 KB und ist unter Umständen im MEW-Format komprimiert. Beide Malicious Codes gefährden Systeme mit Windows 95, 98, ME, NT, 2000 und XP. (Trend Micro: ma)