[betrieb-aktuell] Achtung Virus: Vote-Wurm

[Berthold Cogel]

Laut Heise-Newsticker
(http://www.heise.de/newsticker/data/cp-25.09.01-000/") und Telepolis
(http://www.heise.de/tp/deutsch/special/info/9641/1.html) geht ein neuer
Wurm um, der den Namen W32.Vote.A at mm erhalten hat. 
Der Wurm kommt als Anhang in einer Email mit der Betreffzeile: 

"Fwd:Peace BeTweeN AmeriCa and IsLaM!" 
Der Inhalt der Mail soll den Empfänger zum Öffnen des Anhangs wtc.exe
verleiten:

"Hi
 iS iT A waR Against AmeriCa Or IsLaM !?
 Let's Vote To Live in Peace!

Wird dieser Anhang unter Windows geöffnet, werden zunächst Dateien von
Antivirus-Programmen gelöscht, überdies werden alle html-Dateien mit
diesem hämischen und warnenden Text überschrieben:

"AmeRiCa ...Few Days WiLL Show You What We Can Do !!! It's Our Turn >>>
                      ZaCkEr is So Sorry For You"

Der Wurm versucht gleichzeitig, einen Trojaner mit dem Namen
timeupdate.exe aus dem Netz zu laden und auf dem Rechner zu
installieren. Mit dem Adressbuch des Outlook Express versucht er sich an
alle dort eingetragenen Adressen zu verbreiten.

Außerdem modifiziert der Virus die autoexec.bat, so daß beim nächsten
Booten die Partition c: reformatiert wird.ä 

Gegenmaßnahmen:

Wer also die Datei WTC.exe versehentlich ausgeführt hat, sollte
unbedingt bevor er den Rechner ausschaltet, folgende Anweisungen aus der
Datei C:\autoexec.bat entfernen:

echo Y | format C

Ist der Rechner bereits ausgeschaltet, sollte man von einer sauberen
Diskette oder CD-ROM booten, um diese Zeile zu löschen und das
Formatieren der Festplatte zu verhindern.

Ausfühliche Informationen zur Entfernung des Wurms findet man beim
Symantec Antiviren Center 
http://www.sarc.com/avcenter/venc/data/w32.vote.a@mm.html

Es gibt von Microsoft einen Patch, der eine automatische Infektion mit
dem Wurm verhindert.
http://www.microsoft.com/windows/ie/downloads/critical/patch9/default.asp
Gegen freiwilliges Öffnen des Attachments schützt dieser allerdings
nicht.

MfG Berthold Cogel


-- 
Dr. rer. nat. Berthold Cogel                   University of Cologne
E-Mail: cogel at rrz.Uni-Koeln.DE                 ZAIK-US (RRZK)
Tel.:   +49(0)221/478-7020                     Robert-Koch-Str. 10
FAX:    +49(0)221/478-5568                     D-50931 Cologne - Germany