Kaspersky Lab präsentiert Viren-Statistik für Oktober 2005

Monat Oktoberreich an neuen Schadprogrammen

(13.11.05) - Kaspersky Lab präsentiert die Viren-Top-20 für Oktober. Insgesamt war der Oktober 2005 reich an neuen Schadprogrammen. Die Anti-Virus-Experten stellten einen neuen Rekord auf: Innerhalb nur einer Woche ergänzten sie die Anti-Virus-Datenbanken um mehr als 1400 neue Signaturen.

Kaspersky Lab hat bereits von den Verhaftungen zweier junger Virenschreiber in Marokko und der Türkei berichtet, denen die Verbreitung von Mytob-Würmern zur Last gelegt wird. Ob sie schuldig sind oder nicht werden die Ermittlungen zeigen. Offensichtlich ist jedoch, dass sich die Zahl der neuen Mytob-Modifikationen im September erheblich verringerte. Diese Situation nutzten andere Cyber-Verbrecher aus und schickten mehrere neue gefährliche Wurmfamilien in die freie Wildbahn.

In der Viren-Top-20 kam es erneut zu einem Führungswechsel: Sieger wurde wiederum ein Mytob - diesmal Mytob.c. Aller Wahrscheinlichkeit nach wird dieser Wurm zum meist verbreiteten des gesamten Jahres 2005 "gekürt" werden.

Den zweiten Platz belegt ein Neueinsteiger: Doombot.b ist ein Vertreter der "neuen" Generation von Internet-Würmern und ist Mytob in seinen Funktionen sehr ähnlich. Er kombiniert ebenfalls Mail-Wurm- und IRC-Bot-Funktionen und basiert, genau wie Mytob, auf dem Mydoom-Quellcode. Aufgrund einiger Unterschiede bei der Umsetzung diverser Wurmkomponenten wird er jedoch einer eigenständigen Familie zugeordnet. Die Modifikation .b wurde am 16. Oktober entdeckt und erklomm innerhalb von nur zwei Wochen den zweiten Platz. Es besteht die Möglichkeit, dass dieser Wurm im November Spitzenreiter der Viren-Hitparade wird.

Eine weitere beeindruckende Entwicklung nahm Mytob.bi. Obwohl er im September nur Platz 19 belegte und eigentlich schon aus dem Blickfeld der Virus-Analytiker verschwunden war, stieg er im Oktober um 15 Plätze auf und okkupierte damit Platz 4. Auch in der Gesamtwertung schneidet er prozentual recht gut ab.

Als einer der ersten 10 des Ratings verdient Doombot.d, der ursprünglich Mytob.dc genannt wurde, gesonderte Erwähnung. Aufgrund der Zeile "H-E-L-L-B-O-T-P-O-L-Y-M-O-R-P-H", die ausschließlich den Doombot-Würmern zueigen ist, wurde er schließlich der passenden Familie zugeordnet. Dieser Wurm ist ein Beispiel dafür, wie schwierig die Einstufung dieser Art von Würmern sein kann, denn oft handelt es sich um Grenzfälle, da die allgemeinen Funktionen und die Programmstruktur einander sehr ähneln. Im Großen und Ganzen sind sie allesamt Klone des Mydoom-Wurms, der schon bald seinen zweiten Geburtstag feiert.

Der Wurm ist außerdem ein gutes Beispiel dafür, dass die Veröffentlichung von Viren-Quellcode oft einen größeren Schaden anrichtet, als das Erscheinen eines neuen Wurms. Ist der Quellcode eines Virus' bekannt, kann jedes "Skript-Kiddie" durch einfache Modifikation des Codes schnell eine eigene Abwandlung des Wurms erstellen, ohne über tiefgründige Programmierkenntnisse verfügen zu müssen.

Platz 16-18 verdienen besondere Aufmerksamkeit. Sie alle sind sehr unterschiedlich und dadurch umso interessanter. Wurm Fanbot.f auf Platz 16 ist ein Vertreter der neuen Generation, der auf der Grundlage von Mydoom und Backdoor SdBot erstellt wurde und versucht, einen Cyber-Krieg mit dem Doombot-Autor zu führen. Davon zeugen die folgenden Textzeilen im Viren-Body:

"HellBot3 have BackDoor in 'HellMsn.h'. The HellBot3 author is an idiot!!! [Phantom] 2005 Made By Evil[xiaou]. Greetz to good friend x140d4n. Based On sdbot&&mydoom."

Kostenlose Testversionen von Kaspersky Anti-Virus downloaden

Der Fanbot-Autor äußert außerdem seine Unzufriedenheit gegenüber Anti-Viren-Unternehmen, die seinen Virus anders benannten, als er es sich vorgestellt hatte:

"MSG to Kaspersky&Norton: can u make it difficulty next time!!! stupid. dont call me Fanbot,i am [Phantom]!!! SHIT!!! Play with The best, Die like the rest."

Fanbot wurde bereits zu einer recht großen Familie. Gegenwärtig sind Kaspersky Lab 11 Modifikationen dieses Wurms bekannt, und aller Wahrscheinlichkeit nach werden sie gemeinsam mit Doombot die aktivsten Viren der kommenden Monate sein.

Im September hat Kaspersky Lab über die Entdeckung von mehr als zwei Dutzend neuer Bagle-Modifikationen berichtet. Im Oktober war die Aktivität niedriger, was der Wurm-"Qualität" zugute kam. Wie immer ist das Hauptziel der Bagle-Würmer nicht das Klonen des Wurms, sondern das Platzieren von Trojanern zur Spam-Verbreitung sowie Programmen zum Sammeln von E-Mail-Adressen auf den infizierten Rechnern. Kaspersky Lab geht davon aus, dass der weltweit rapid gestiegene Spam-Versand der vergangenen Wochen durch lokale Bagle-Epidemien ausgelöst wurde.

Neben der Spam-Verbreitung werden über infizierte Computer Phishing-Mails verschickt. Eine der größten Phishing-Attacken im Oktober ging mit der Verbreitung von Trojan-Spy.HTML.Bayfraud.hn einher und zielte auf ebay-Nutzer ab. Der durch diese E-Mails verbreitete Trojaner nimmt den 18. Platz der Kaspersky Lab-Statistik ein und macht zum wiederholten Mal auf die Gefahr durch Phishing aufmerksam.

Die Kategorie "sonstige Schadprogramme" verbucht mit 20,01 einen beträchtlichen Prozentsatz an der Malware-Gesamtzahl. (Kaspersky: ma)