WebStyleBoard

Hi,
hab heute und auch gestern sehr oft den Wurm/Virus
"W32.Badtrans.B@mm" bekommen.
Bin nur drauf aufmerksam geworden weil der Rechner von einem Kumpel plötzlich gaaaanz langsam wurde....

Heute bisher zwei invizierte Mails, aber Norten passt zum Glück auf mich auf

Die Mails haben als Topic "Re:" und sind auf den ersten Blick leer...

Würd gern mal wissen ob ihr's auch in letzter Zeit bekommen habt?

[Edit]
Hier die Erklärungen von Symantec:
http://securityresponse.symantec.com/avc…trans.b@mm.html
[/Edit]

Jo hier:

Dieser Massenemail Wurm versucht sich selbst an alle Absender ungelesener Emails im Programm Microsoft Outlook zu versenden. Er hinterläßt außerdem einen Fernsteuerungs-Trojaner.

Wird der Wurm ausgeführt wird folgendes Fenster angezeigt:

"ie Datei die der Wurm erstellt und in das Windows Verzeichnis kopiert heisst "Inetd.exe". Damit diese Datei bei jedem Start von Windows ausgeführt wird, wurde die Datei "Win.ini" modifiziert. Außerdem werden die Dateien "Kern32.exe" (ein Hintertür Trojaner) und "Hksdll.dll" (eine gültige Keylogger-DLL) in das Windows System Verzeichnis kopiert. Um auch den Trojaner bei jedem Windows-Start auszuführen wurde eine Registrierungs-Schlüssel erstellt:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\kernel32=kern32.exe

Anmerkung: Unter Windows NT und Windows 2000 wird anstelle der modifizierten Datei "Win.ini" ein weiterer Registrierungs-Schlüssel erstellt:

HKEY_USERS\Software\Microsoft\Windows NT\CurrentVersion\Windows\RUN=%WinDir%\INETD.EXE

Ist der Trojaner aktiviert worden, wird die TCP/IP-Adresse des infizierten PCs an den Autor gesendet. Liegt diese Information vor, kann der Urheber des Virus den betroffenen PC über das Internet ausspionieren und persönliche Information, wie z.B. Benutzernamen und Passwörter auslesen. Die Keylogger-Komponente des Virus ist zusätzlich in der Lage Kreditkarten-Daten und Kontonummern zu übertragen.

Wird Windows das nächste Mal gestartet sendet sich der Wurm an alle noch nicht gelesenen Emails im entsprechendnen Microsoft Outlook Ordner. Der Wurm hängt sich an diese Nachrichten mit den folgenden Dateinamen an (die teilweise auch von dem Virus W95/MTX.gen@M benutzt werden):

Card.pif
docs.scr
fun.pif
hamster.ZIP.scr
Humor.TXT.pif
images.pif
New_Napster_Site.DOC.scr
news_doc.scr
Me_nude.AVI.pif
Pics.ZIP.scr
README.TXT.pif
s3msong.MP3.pif
searchURL.scr
SETUP.pif
Sorry_about_yesterday.DOC.pif
YOU_are_FAT!.TXT.pif

Der Betreff der Nachrichten kann folgenden Text enthalten:

Take a look to the attachment.

Manuelle Desinfektion

Sarten Sie den Computer im MS-DOS Modus
Löschen Sie angegebenen Dateien
Starten Sie Windows neu
Löschen Sie die angegebenen Registrierungs-Schlüssel

mich nervt er langsam....bisher 6 Stück bekommen.

Ich glaub er verschickt automatisch Rückantworten auf noch nicht gelesene Emails....owohl ich ihn teilweise auch von Leuten bekommen hab die ich nicht kannte...

normalerweise wird bei outlook sofert du die autovorschau aktivert hast, der anhang sofort ausgeführt

Schau wie oben erklärt in der Registrirung nach oder mach einen kompletten Viruscheck um sicher zu gehen....

sry TNS, aber auch wenn du das auf Hoch eingestellt hast bringt dir das wenig, da die Mails standartmäßig im HTML-Format angezeigt werden und da liegt das Problem. Es befindet sich ein Script in dem eigentlich leeren HTML-Dokument das den Anhang öffnet ohne das Outlook davon etwas mitbekommt

Zwar hilft die von dir genannte Einstellung vor unüberlegtem manuellen öffnen von Anhängen aber nicht gegen den Wurm (vorausgesetzt HTML Format ist on)....

@TNS
hmmm hab die EMailsicherheit auf Hoch....naja egal

@all
wenn ihr nicht wisst ob ihr den Wurm habt schaut in eurer Registrirung nach, ob dieser Eintrag vorhanden ist:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\kernel32=kern32.exe

Des weiteren wurde das System eines Freundes nachdem er sich mit dem Wurm invitziert hatte sehr langsam, merkt man z.B. wenn es länger als 30sek brauch Notepad zu öffnen

@Investorman

ne eigentlich nicht *g*
Klick auf "Start" dann auf "Ausführen" anschließend gibst du "regedit" ein und dort suchst du den Eintrag.

Vorsichtig solltest du aber sein, da man in der Registrierung auch eine Menge Schaden anrichten kann