[nokostolany]

GMX Viren-Report

Während in Teilen der Republik noch immer schläfrige Urlaubsstimmung vorherrscht, hat einer in diesen Tagen richtig viel zu tun: Mehr als 420.000 mit dem Sobig.F-Wurm infizierte e-mails hat der GMX Virenschutz innerhalb von drei Tagen gefiltert. Und Besserung ist keineswegs in Sicht, wie die GMX interne Virenschutz-Statistik verrät. Seit Dienstag ist die Rate infizierter e-mails vom vorherigen Durchschnittswert von einem Prozent auf mittlerweile 16% angestiegen!

In seiner rasanten Verbreitung übertrifft "Sobig.F" nach Einschätzung von Experten bislang bekannte Schädlinge um das Zehnfache. Der Wurm, der sich per e-mail verbreitet, soll bereits Hunderttausende Windows-Rechner befallen haben. Das Moskauer IT- Sicherheitsunternehmen Kaspersky Lab sprach sogar von der "größten Epidemie" in den vergangenen eineinhalb Jahren.

"Hunderttausende Sobig-F-Kopien geistern nun durch das Internet, so dass bei einigen Unternehmen das E-Mail-System bereits kollabiert ist", sagte Gernot Hacker, Technik-Experte beim Münchner Anti-Virensoftware-Hersteller Sophos. Wegen der hohen Verbreitungsgeschwindigkeit vermutet das Unternehmen, dass der Wurm so genannte Spam-Technologie zum Massenversand eingesetzt hat. Sein "Erfolg" beruht nach Angaben des Karlsruher IT-Experten Christoph Fischer auf zwei neuartigen Eigenschaften: Zum einen durchsucht "Sobig.F" nicht nur das Adressbuch des Empfängers, sondern gleich auch dessen gesamte Festplatte - und zwar "gründlichst", wie Fischer betont. Zum anderen kann sich der Wurm Dank einer "multi-threading"-Technik hundertfach gleichzeitig statt hintereinander versenden. Fischer spricht von Hinweisen, dass "Sobig.F" ein Test aus der Spammer-Ecke ist. Denn die Versender von Werbemails im Internet arbeiteten an Techniken, um ihre unerwünschten Botschaften mittels Würmer zu verbreiten. Dann sind die Täter nicht mehr ermittelbar, erklärte Fischer.

Sobig.F Kurzprofil (Quelle: Sophos)

W32/Sobig-F ist ein Wurm, der sich via E-Mail und über Netzwerkfreigaben verbreitet. Der Wurm versendet sich unter Verwendung seiner eigenen SMTP-Engine als Attachment an e-mail-Adressen, die er in verschiedenen Dateien auf dem Computer des Opfers findet. Wenn er sich per e-mail versendet, fälscht er die Adresse des Senders, so dass nur schwer ermittelt werden kann, wessen Computer tatsächlich infiziert ist.

Die e-mail hat folgendes Format:

Betreffzeile: Ausgewählt aus:
Re: That movie / Re: Wicked screensaver / Re: Your application / Re: Approved / Re: Re: My details / Re: Details / Your details / Thank you!

Text: Ausgewählt aus:
Please see the attached file for details. / See the attached file for details

Attachment: Ausgewählt aus:
movie0045.pif / wicked_scr.scr / application.pif / document_9446.pif / details.pif / your_details.pif / thank_you.pif / document_all.pif / your_document.pif

W32/Sobig-F versucht außerdem, sich zu verbreiten, indem er sich auf Windows-Netzwerkfreigaben kopiert und verwendet das Network Time Protocol eines von verschiedenen Servern, um das aktuelle Datum und die Uhrzeit festzustellen. Wenn das Datum der 10. September 2003 oder später ist, deaktiviert sich der Wurm.

Ob man darauf hoffen darf, dass der GMX Virenschutz dann wieder weniger zu tun haben wird, ist allerdings fraglich. Denn Sobig.F wird sicherlich nicht der letzte seiner Art sein. Wenn auch Sie Ihr Postfach mit dem GMX Virenschutz gegen die aktuellen und kommenden Viren-Attacken schützen möchten, sollten Sie den nachfolgenden Artikel nicht überspringen.