TweakPC



Der Internet-Wurm 'Leave' tarnt sich als Ergnzung des populren Betriebssystems

Trojaner versteckt sich in Windows-Patch

Moskau, 11. Juli 2001

Kaspersky Lab, die internationale Software-Schmiede im Bereich Datensicherheit, warnt die Benutzer vor dem Aufkommen einer neuen Version des Internet-Wurms I-Worm.Leave, die sich im Netz als Microsoft-Meldung verbreitet. Die Meldung enthlt Informationen ber ein Sicherheits-Update fr Windows, aber die angefhrte Internet-Adresse des 'Patches ist verflscht. Die verflschte URL ist der von Microsoft hnlich, so dass nur aufmerksame User den Unterschied bemerken. Bei seiner Aktivierung versucht der Virus die Datei cvr58-ms.exe herunterzuladen, die ein Trojaner-Programm enthlt. Kaspersky Lab erhielt bereits einige Meldungen ber Infektionen durch diese Variante von 'Leave'.

Eine Besonderheit des Trojaners ist die Mglichkeit, sich via Internet automatisch zu aktualisieren, d.h. fr den Anwender unmerklich zustzliche Komponenten herunterzuladen und zu aktivieren (EXE-Dateien). Das ermglicht die Fernsteuerung der infizierten Computer. Der Virus besitzt unter anderem folgende Mglichkeiten: Automatische Aktivierung, Verbreitung durch IRC-Kanle (Internet Relay Chat), sowie Erzeugen, Bearbeiten und Lschen von Dateien auf dem infizierten Computer.

Der Internet-Wurm 'Leave' kann Computer nicht nur unter Windows 95/98/ME, sondern auch unter Windows NT/2000 befallen. Beim Starten der Hauptkomponente kopiert sich der Wurm ins Windows-Verzeichnis unter dem Namen REGSV.EXE, und trgt diese Datei in den Autostart-Bereich der Windows-Registry ein. Code und Zusatzmodule des Virus sind mit einem 64-Bit Algorithmus verschlsselt.

Wichtig ist hierbei allerdings, dass dieser Internet-Wurm nur Rechner angreift, die bereits mit dem Trojaner 'Subseven' infiziert sind. Der Hauptbestandteil des Wurms enthlt einen Text-String mit einem Master-Passwort fr das Hintertr-Programm SubSeven. Auf diese Weise kann der Wurm auch weitere Rechner infizieren, auf denen SubSeven bereits installiert ist, und sich selbst auf den entsprechenden Systemen installieren. Um die Adressen der Ziel-Rechner zu finden, benutzt der Wurm eine Sniffer- (Scanner-) Routine, mit deren Hilfe er das Internet nach IP-Adressen entfernter Rechner durchsucht.

Ein Update zum Schutz gegen den Wurm "Leave" wurde der Datenbank von Kaspersky-Antivirus bereits hinzugefgt.

 

ueber TweakPC: Impressum, Datenschutz Copyright 1999-2023 TweakPC, Alle Rechte vorbehalten, all rights reserved. Mit * gekennzeichnete Links sind Affiliates.