Listiger Wurm MyDoom verbreitet sich rasend

Seit gestern Montag treibt der Wurm W32.Novarg.A@mm (Symantec), auch bekannt unter den Namen W32/Mydoom@MM (McAfee), WORM_MIMAIL.R (Trend Micro) oder Win32/Shimg sein Unwesen. Der Massenmailing-Wurm, dessen Gefährlichkeit von den Antiviren-Herstellern von mittel bis hoch eingeschätzt wird, generiert zufällige E-Mail-Betreffzeilen, Nachrichtentexte und auch Dateianhangs-Namen. Bekannte Betreffzeilen sind zum Beispiel: Error, Status, Server Report, Hello oder Hi. Die Anhang-Datei hat entweder die Endung .pif, .scr, .exe, .cmd, .bat, oder .zip, wobei das Anhangs-Icon eine Text-Datei vortäuscht und die Grösse von 22,258 Bytes besitzt. Wird der Anhang angeklickt nimmt der Wurm mehre Registry-Einträge vor um beim nächsten System-Start wieder geladen zu werden, installiert einen Proxy-Server und öffnet die Ports 3127 bis 3198. Der installierte Proxy-Server erlaubt es einem Hacker, die Kontrolle über das lokale Netzwerk zu erlangen und willkürlichen Code auf dem befallenen Rechner auszuführen. Vom 1. bis zum 12. Februar wird der befallene Rechner über Port 80 eine Denial-of-Service-Attacke gegen www.sco.com ausführen. Der Wurm verschickt sich über die eigene SMTP-Engine an alle auf dem Rechner gefundenen E-Mail-Adressen. Daneben nutzt er zur Verbreitung die P2P-Börse Kazaa, indem er sich unter den Namen activation_crack, icq2004-final, nuke2004, office_crack, rootkitXP, strip-girl-2.0bdcom_patches oder winamp in das für die Tauschbörse freigegebene Verzeichnis kopiert. Die Antivirenspezialisten von Messagelabs haben gestern Nacht 120'000 E-Mails mit dem Mydoom-Wurm abgefangen. Heute Morgen um 10:00 Uhr lag diese Zahl bereits über 140'000. In den USA, wo sich der Wurm am schnellsten verbreitet, nimmt er in den Trend-Micro-Virencharts für die vergangenen 24 Stunden bereits den zweiten Platz ein.