Neuer Bagle-Virus setzt auf Social Engineering

Antivirensoftware-Hersteller Trend Micro hat nach dem Auftauchen des Wurms Bagle.X global gelben Alarm ausgelöst. Auch andere Sicherheitsspezialisten haben den neuen Wurm als gefährlich eingestuft. Dieser wird auch als W32/Bagle.z@MM (McAfee), W32/Bagle-W (Sophos), I-Worm.Bagle.y (Kaspersky), Bagle.Y (F-Secure) oder als W32.Beagle.W@mm (Symantec) bezeichnet. Gemäss Trend Micro hätten Bagle-Varianten bisher versucht, Sicherheitsschwachstellen im Internet Explorer auszunutzen, um den Wurm-Code automatisch ausführen zu lassen. Die neue Version, die sich als Bildschirmschoner tarne, setze im Gegensatz dazu auf Social Engineering. Zu diesem Zweck wird die Mail-Domain des Empfängers in die Absender-Adresse aufgenommen, um so allenfalls den Eindruck zu erwecken, die Nachricht stamme von einem Kollegen. Für den Namen vor der Domain verwendet der polymorphe Wurm unter anderem Annie, Christina, Jessie, Ann, Christy, Lizie oder SecretGurl. Die Betreffzeile kann unterschiedlichen Text enthalten, darunter "Let's socialize, my friend!" oder "I'm bored with this life". Infizierte Dateianhänge weisen Endungen wie .com, .exe, .scr und .zip auf. Nach dem Start legt der Speicher-residente Wurm eine Kopie von sich unter dem Namen "Drvsys.exe" im Windows System-Ordner ab. Darüber hinaus fügt Bagle.X der Registry verschiedene Einträge hinzu, um bei jedem Neustart des Systems automatisch ausgeführt zu werden. Zudem kopiert sich Bagle.X zur Verbreitung in öffentliche Ordner ("shared Folders") und erweckt den Anschein, dass es sich dabei um illegale Software oder Dateien handelt. Zu den verwendeten Namen gehören gemäss Trend Micro unter anderem "Matrix 3 Revolution", "Microsoft Office 2003 Crack" und "Porno Screensaver". Um eine Entdeckung zu verhindern, versucht der UPX-komprimierte Wurm zudem, laufende Antiviren-Prozesse zu beenden. Gefährdet sind Computer mit den Betriebsystemen Windows 95, 98, ME, NT, 2000 und XP.