E-Mail-Wurm «Bagle.A» tarnt sich als Taschenrechner

Mehrere Antiviren-Hersteller warnen derzeit vor einem neuen Computerschädling, der für Nutzer der Betriebssysteme Windows 9x, NT, 2000 und XP gefährlich sein kann. «Bagle.A» treibt seit gestern sein Unwesen und verbreitet sich relativ rasch über Massen-Email Versand.

Die Aktivierung des Wurms geschieht beim Klick auf die in der E-Mail angehängte EXE-Datei, die meistens das Symbol des bekannten Windows-Taschenrechners hat. Das unmittelbare Starten des Windows Taschenrechners belegt die Infizierung des Rechners. Worm/Bagle.A kopiert sich nach seiner Aktivierung selbstständig in das Windows Systemverzeichnis, durchsucht die lokalen Festplatten nach E-Mail-Adressen und verschickt sich danach automatisch an die gefundenen Adressen. Außerdem erzeugt der Virus folgende Einträge in der Windows-Registry:

• HKCUSoftwareMicrosoftWindowsCurrentVersionRund3dupdate.exe
• HKCUSoftwareWindows98uid
• HKCUSoftwareWindows98frun

Außerdem verfügt W32/Bagle-A über eine Backdoor-Komponente, die am TCP Port 6777 wartet. Dadurch kann ein Angreifer beliebig Programme auf dem infizieren Computer ausführen. Zu beachten ist auch, dass sich W32/Bagle-A nicht aktiviert, wenn das Systemdatum der 28. Januar 2004 oder später ist.

Manuelle Entfernung (nur für erfahrene Windows-Nutzer):
Wenn er aktiv ist, erscheint W32/Bagle-A mit dem Namen «bbeagle» in der Windows-Taskliste. Sie müssen diesen Task beenden (zum Beispiel mit dem Task-Manager), bevor Sie die infizierte Datei aus Ihrem Systemordner löschen können. Um den Task-Manager zu öffnen, drücken Sie Strg-Alt-Entf auf Windows 98/Me oder Strg-Umschalttaste-Esc auf Windows 2000/XP. Suchen Sie nach einem Prozess namens «bbeagle». Wenn Sie einen Prozess mit diesem Namen finden, stoppen Sie ihn (mit «Task beenden» auf Windows 98/Me oder «Prozess beenden» auf Windows 2000/XP). Außerdem müssen noch genannte Registry-Einräge gelöscht werden.
Alternativ sollte ein aktuelles Virenscanner eingesetzt werden. So gut wie alle Antiviren-Hersteller bieten bereits entsprechende Aktualisierung ihrer Software an. Auch ein Stand-Alone-Tool, wie etwa Stinger von NAI/McAfee kann W32/Bagle-A bzw. W32/Bagle@MM entfernen.