MyDoom-Wurm: Neue Variante mit Trojaner-Komponente

Mehrere Antiviren-Hersteller warnen derzeit alle Anwender der Betriebssysteme Windows 9x, ME, NT, 2000 und XP sowie Windows Server 2003 vor der neuen Variante des Internet-Wurm/MyDoom.BB. Wie seine Vorgänger verbreitet sich der Schädling mit sehr hoher Geschwindigkeit über den massenhaften E-Mail-Versand.

Worm/MyDoom.BB, auch W32.Mydoom.AX@mm oder W32/MyDoom-O genannt, versendet sich als E-Mail mit Hilfe seiner eigenen SMTP Engine und versucht sich mittels geteilter (shared) Verzeichnisse auf andere Rechnersysteme zu verbreiten. Worm/MyDoom.BB durchsucht die lokalen Festplatten nach E-Mail-Adressen und verschickt sich umgehend an die gefundenen E-Mail-Adressen. Außerdem werden einige Suchmaschinen gezielt nach E-Mail-Adressen durchsucht.

Die vom Worm/MyDoom verschickten E-Mails variieren immer mit verschiedenen englischen Betreff-Zeilen und Texten. Als Anhang wird eine Datei mit den Dateierweiterungen bat, .cmd, .com, exe, .pif, .scr, .zip an die E-Mail angehängt. Es wird empfohlen, solche E-Mails nicht zu öffnen, sondern sofort zu löschen.

Worm/MyDoom lädt nach dem Start eine Backdoor-Komponente von der Webseite www.aoprojecteden.org nach und führt diese aus. Der Backdoor wird etwa von AntiVir als BDS/Nemog.D erkannt. Symantec nennt auch Backdoor.Zincite.A als Trojaner-Komponente. Der Wurm erstellt im windows-Verzeichnis zwei Dateien - java.exe und services.exe (Trojaner) - und fügt einige Werte in die Windows-Registry ein, um diese Dateien bei jedem System-Start mit zu laden.

Die meisten Antiviren-Hersteller haben bereits Updates ihrer Software bereitgestellt, die diesen Wurm löschen. Außerdem kann dieser Wurm auch vom kostenlosen Tool Stinger (McAfee) gelöscht werden.