"Tausende von besorgten Bürgern rufen an"
Ihre Meinung zum Thema...
Wie dem Bundeskriminalamt heute bekannt wurde, ist derzeit eine E-Mail in Umlauf, die als Absender das BKA vorgibt. Der Betreff dieser E-Mail lautet, dass der Empfänger Raubkopien besitzt. 2Das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir möchten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP 67.64.230.105 erfasst wurde. Der Inhalt Ihres Rechners wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingeleitet", versucht die gefälschte Nachricht ihre Empfänger zu schocken. Nicht ohne Wirkung: "Tausende von besorgten Bürgern rufen bei uns an", so ein BKA-Sprecher heute in Wiesbaden. Das Amt warnt dringend davor, den Dateianhang der E-Mails zu öffnen.
Auch die USA sind derzeit von einer ähnlichen Viren-Attacke betroffen. Unterschied: Hier weisen die Mails die US-Bundesbehörde FBI als Absender auf und werfen ihren Empfängern den Besuch illegaler Websites vor. Auch eine Betreff-Zeilen-Variante mit der Ansprache "RTL: Wer wird Millionär, Ihr Passwort, Account Information" existiert.
Das neueste Mitglied der Sober-Wurm-Familie, Sober-Z, verbirgt sich in den gefälschten E-Mails. Die ZIP-Daten "reg_pass.zip" enthalten eine EXE-Datei mit der Bezeichnung: "File-packed_dataInfo.exe". Öffnet man die Datei im Anhang zeigt Sober-Z ein Nachrichten-Fenster mit dem Titel "WinZip Self-Extractor" und dem Text "Error in packed Header" an. Außerdem verschickt der Schädling Kopien der E-Mail-Nachricht mit deutschem Text an alle E-Mail-Adressen, die er auf dem PC findet. Er durchsucht dabei nahezu alle Dateiformate, wie beispielsweise TXT, DOC oder PPT.
Anschließend erstellt Sober-Z den Ordner WindowsWinSecurity und legt dort die Dateien crss.exe, services.exe, smss.exe, socket1.ifo, socket2.ifo und socket3.ifo ab. Die EXE-Dateien sind Kopien des Wurms. Bei den Files mit der IFO-Endung handelt es sich um MIME-kodierte Kopien, die für die Erstellung der E-Mail-Attachments notwendig sind. Sober-Z erstellt auch einige nicht-maligne Dateien, beispielsweise mssock1.dli, starter.run, nexttroj.tro oder nonrunso.ber. Außerdem checkt der Wurm die Netz-Verbindung und die aktuelle System-Zeit des infizierten Computers. (as)