Neuer Wurm Gokar geht auf Webserver los

Hersteller von Antivirus-Software warnen vor einem neuen Internet-Wurm namens Gokar. Die EXE-Datei ist etwa 15 Kbyte gross und verbreitet sich über E-Mail und IRC-Kanäle. Ausserdem soll der Wurm die Startseiten von infizierten Web-Servern verändern, die Microsofts Internet Information Server (IIS) nutzen. Das Erkennen des Wurmes wird dadurch kompliziert, dass er sowohl Betreffzeile und Text des E-Mails zufällig aus einer Reihe verschiedener Varianten auswählt. Auch der Namen der angehägten EXE-Datei ist variabel. Folgende Attachment-Namen sind bereits aufgetaucht: 3tgf3tgf3tgf373774285313tgf.scr; ffdasfffdasfffdasf145361008658ffdasf.com; rewfdrewfdrewfd30741913208rewfd.scr. Die Dateien können die Endungen .SCR, .COM, .EXE, .BAT oder .PIF tragen. Nach dem Starten der Datei soll sich der Wurm als KAREN.EXE ins Windows-Verzeichnis kopieren und sich im Autostart-Bereich der Registry eintragen. So startet sich Gokar automatisch bei jedem Neustart selbst. Falls Gokar einen Windows-Webserver mit installiertem IIS verseucht, ändert der Wurm unautorisiert dessen Startseite. Besucher der Website erhalten daraufhin nicht mehr die ursprüngliche Webseite, sondern bekommen die WEB.EXE-Datei zum Download angeboten, die eine Gokarkopie darstellt.