TREND MICRO hat einen globalen Yellow Alert ausgelöst, um die Ausbreitung von WORM_BAGLE.Z zu verhindern. Bislang wurde TREND MICRO das Auftreten dieses Malicious Code aus Europa und den USA gemeldet. Wie frühere Varianten verwendet auch BAGLE.Z Social Engineering, um Anwender zu täuschen und zum Ausführen des Dateianhangs zu bewegen. Zudem kombiniert der Malicious Code neue Funktionen mit der Variation eines älteren Tricks und tarnt sich als Passwort-geschütztes Dokument oder Benachrichtigung des Email-Systems (Reply Notification). Der Massen-Mailing-Wurm verbreitet sich über eine eigene SMTP-Engine (Simple Mail Transfer Protocol), durchsucht infizierte Computer nach Email-Adressen und kopiert sich selbst in öffentliche Netzwerk-Ordner. Darüber hinaus greift BAGLE.Z verschiedene bekannte deutsche Web-Sites an, darunter www.spiegel.de, www.heise.de, www.deutsches-museum.de und www.deutschland.de. Dabei ist zu beachten, dass einige dieser deutschen Web-Sites auf russische Inhalte und Texte weiterleiten, so zum Beispiel www.tekeli.de. Eine Liste der fraglichen Web-Sites findet sich unter http://de.trendmicro-europe.com/...
"Die Motive für diese Aktion sind nicht ganz klar. Möglicherweise versuchen die Programmierer dieses Wurms, eine Denial-of-Service-Attacke gegen bestimmte Web-Sites zu starten", so Raimund Genes, President of European Operations bei TREND MICRO. "Unter Umständen handelt es sich auch bei einer der fraglichen URLs um einen Zähler realer Infektionen. Die anderen Web-Sites auf der Liste könnten dann dazu dienen, den Infektionsherd zu tarnen. Alternativ wäre es auch möglich, dass diese Methode dazu genutzt wird, um den Virenprogrammierer mittels spezieller Skripte über die infizierten Systeme zu informieren."
WORM BAGLE.Z versendet Emails mit Betreffzeilen wie "Protected Message" oder "RE: Msg reply". In den Nachrichtentext ist eine JPEG-Datei eingebettet, die ein vermeintliches Passwort für die Darstellung des Dateianhangs enthält. Für den Dateianhang, in dem der Speicher-residente Wurm verborgen ist, werden Namen wie "Alive-condom", "Loves_money" oder "MoreInfo" verwendet. Nach dem Ausführen kopiert sich BAGLE.Z in den Windows System-Ordner (als DRVDDLL.exe) und fügt der Registry verschiedene Einträge hinzu, um bei jedem Systemstart erneut ausgeführt zu werden.
BAGLE.Z leitet infizierte Computer nicht nur zu den oben erwähnten Web-Sites um, sondern löscht auch Registry-Einträge, die einen automatischen Start der NETSKY-Virusvarianten ermöglichen. Dies ist ein weiteres Indiz für die Rivalität zwischen den Programmierern der BAGLE- und NETSKY-Familien. Wie frühere Varianten versucht zudem auch BAGLE.Z, laufende AntiViren- sowie andere Sicherheitsprozesse zu deaktivieren, um die Erkennung zu erschweren.
Von WORM_BAGLE.Z sind Rechner mit Windows 95, 98, ME, NT, 2000 und XP bedroht. Der Wurm ist auch unter den Synonymen W32.Bagle.X@MM oder W32/Bagle,aa@MM bekannt.
TREND MICRO stellt Pattern-Files zum Download bereit
Kunden von TREND MICRO sind ab dem Pattern-File 877 vor BAGLE.Z geschützt. Anwender der TREND MICRO Outbreak Prevention Services sollten zudem die OPP 109 herunterladen, um der Verbreitung von BAGLE.Z entgegenzuwirken. Im Rahmen der TREND MICRO Damage Cleanup Services wird zudem ab sofort das Damage Cleanup Template 329 bereitgestellt, mit dem BAGLE.X zuverlässig von befallenen Systemen entfernt werden kann. Darüber hinaus bietet TREND MICRO unter http://de.trendmicro.europe.com/... einen kostenlosen Online-Scanner für alle Computernutzer.
Weitere Informationen finden sich unter http://de.trendmicro-europe.com/...
"Die Motive für diese Aktion sind nicht ganz klar. Möglicherweise versuchen die Programmierer dieses Wurms, eine Denial-of-Service-Attacke gegen bestimmte Web-Sites zu starten", so Raimund Genes, President of European Operations bei TREND MICRO. "Unter Umständen handelt es sich auch bei einer der fraglichen URLs um einen Zähler realer Infektionen. Die anderen Web-Sites auf der Liste könnten dann dazu dienen, den Infektionsherd zu tarnen. Alternativ wäre es auch möglich, dass diese Methode dazu genutzt wird, um den Virenprogrammierer mittels spezieller Skripte über die infizierten Systeme zu informieren."
WORM BAGLE.Z versendet Emails mit Betreffzeilen wie "Protected Message" oder "RE: Msg reply". In den Nachrichtentext ist eine JPEG-Datei eingebettet, die ein vermeintliches Passwort für die Darstellung des Dateianhangs enthält. Für den Dateianhang, in dem der Speicher-residente Wurm verborgen ist, werden Namen wie "Alive-condom", "Loves_money" oder "MoreInfo" verwendet. Nach dem Ausführen kopiert sich BAGLE.Z in den Windows System-Ordner (als DRVDDLL.exe) und fügt der Registry verschiedene Einträge hinzu, um bei jedem Systemstart erneut ausgeführt zu werden.
BAGLE.Z leitet infizierte Computer nicht nur zu den oben erwähnten Web-Sites um, sondern löscht auch Registry-Einträge, die einen automatischen Start der NETSKY-Virusvarianten ermöglichen. Dies ist ein weiteres Indiz für die Rivalität zwischen den Programmierern der BAGLE- und NETSKY-Familien. Wie frühere Varianten versucht zudem auch BAGLE.Z, laufende AntiViren- sowie andere Sicherheitsprozesse zu deaktivieren, um die Erkennung zu erschweren.
Von WORM_BAGLE.Z sind Rechner mit Windows 95, 98, ME, NT, 2000 und XP bedroht. Der Wurm ist auch unter den Synonymen W32.Bagle.X@MM oder W32/Bagle,aa@MM bekannt.
TREND MICRO stellt Pattern-Files zum Download bereit
Kunden von TREND MICRO sind ab dem Pattern-File 877 vor BAGLE.Z geschützt. Anwender der TREND MICRO Outbreak Prevention Services sollten zudem die OPP 109 herunterladen, um der Verbreitung von BAGLE.Z entgegenzuwirken. Im Rahmen der TREND MICRO Damage Cleanup Services wird zudem ab sofort das Damage Cleanup Template 329 bereitgestellt, mit dem BAGLE.X zuverlässig von befallenen Systemen entfernt werden kann. Darüber hinaus bietet TREND MICRO unter http://de.trendmicro.europe.com/... einen kostenlosen Online-Scanner für alle Computernutzer.
Weitere Informationen finden sich unter http://de.trendmicro-europe.com/...
