Neuer Internet-Wurm verbreitet sich rasend schnell

Die Hersteller von Antiviren-Software und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen derzeit vor einem neuen Wurm, der sich in kürzester Zeit extrem stark verbreitet hat. Die meisten Antiviren-Hersteller bieten bereits entsprechende Aktualisierungen ihrer Software an.

Der Wurm ist unter den Namen «Novarg» oder «Mydoom» oder «MIMAIL.R» bekannt. Er verbreitet sich per E-Mail sowie über das P2P-Netzwerk KaZaA. Bei der Infektion des Systems installiert der Wurm ein Backdoor-Programm, das die TCP-Ports 3127 bis 3198 öffnet. Damit hat ein Angreifer die Möglichkeit, den infizierten Rechner fernzusteueren. Außerdem kann dieses Backdoor weitere (schädliche) Dateien aus dem Internet laden.
Für die Verbreitung per E-Mail durchsucht der Wurm die Dateien mit den Endungen .htm, .sht, .php, .asp, .dbx, .tbb, .adb, .pl, .wab und .txt nach E-Mail-Adressen und versendet sich an diese über eine eigene SMTP-Engine. Dabei werden keine E-Mail an die Adressen mit der Top-Level-Domain .edu versendet.
Am 01. Februar 2004 startet der Wurm eine Denial of Sevice (DoS) Attacke gegen eine bestimmte Internetseite. Ab dem 12. Februar 2004 verbreitet er sich nicht weiter.

Die infizierten E-Mails haben eine zufällig gewählte Absenderadresse, mehrere Varianten des Betreffs, des Textkörpers und des Dateinamens. Als Datei-Endungen im Anhang werden .bat, .cmd, .exe, pif, .scr und .zip benutzt. Die Größe des Anhangs ist 22.528 Bytes. Im KaZaA-Netzwerk treibt Novarg unter verschiedenen Namen (z.B. winamp5, icq2004-final) und gleichen Erweiterungen sein Unwesen. Gleich nach dem Starten öffnet Novarg die Anwendung Notepad und läßt eine Zufallsabfolge von Zeichen erscheinen. Außerdem werden Dateien «taskmon.exe» sowie «shimgapi.dll» im Windows-Systemverzeichnis erzeugt.

Zur Entfernung des Wurms wird empfohlen bei Betriebssystem Windows ME oder XP vorher die Systemwiederherstellung zu deaktivieren und den Computer im abgesicherten Modus zu starten. Die Entfernung kann zum Beispiel das kostenlose Tool Stinger von NAI/McAfee übernehmen.