"Netsky.Q" soll Tauschboersen attackieren

[WatchTower]

Win32/Netsky.Q ist unterwegs



Die inzwischen siebzehnte Variante des E-Mail-Wurms Netsky treibt seit gestern ihr Unwesen. Von befallenen Rechnern aus startet der Wurm eine DoS-Attacke gegen einige Peer-to-Peer-Anbieter. 

W32/Netsky-Q alias Win32/Netsky.P kommt als Attachment in Dateien mit den Endungen .pif (Program Information File) und .zip. In der Betreffzeile sind Eintraege wie "Delivery Error", "Error" oder "Server Error" zu lesen. 

Der Wurm kopiert sich als SysMonXP.exe in den Windows-Ordner und legt eine DLL-Datei als firewalllogger.txt im Windows-Ordner ab. Nach Angaben von Sophos erstellt der Wurm dann den Registrierungseintrag „HKLMSoftwareMicrosoftWindowsCurrentVersionRunSysMonXP“, so dass er beim Systemstart aktiviert wird. Wenn er von einer anderen Datei als SysMonXP im Windows-Ordner gestartet wird, versucht Netsky.Q, die Datei TEMP.EML zusaetzlich zu seinem normalen Start in Notepad zu oeffnen, so der Antivirenspezialist. 


Auf dem infizierten Rechner verschickt sich der Wurm an Mail-Adressen, die er in Dateien mit Erweiterungen wie "txt", "php", "htm" und "html" aufspuert. 

Nach Erkenntnissen von F-Secure ist der Wurm programmiert, um sich am 31. Maerz 2004 sowie am 5., 12., 19., und 26. April 2004 zu vermehren. Zwischen dem 7. und dem 12. April 2004 plane der Wurm dann eine Denial-of-Service–Attacke gegen Tauschboersen wie Kazaa und E-Mule. 

Die Experten von F-Secure haben zudem versteckte Textpassagen im Code der Malware entdeckt. Der Netsky-Autor beziehungsweise die Autoren geben an, dem russischen "SkyNet Antivirus Team" anzugehoeren. Im Code sei zudem zu lesen: "We don't have any criminal inspirations [sic]. Due to many reports, we do not have any backdoors included for spam relaying”. 

Vor wenigen Wochen entdeckten Virenexperten versteckte Botschaften in Netsky.F, B(e)agle.K und Mydoom.H, die auf einen Krieg zwischen den Viren-Programmierern schliessen liessen. Hinweise zum Entfernen des Wurms finden Sie hier bei Sophos. (bsc) 

<a href='http://www.tecchannel.de/news/internet/15009/' target='_blank'>http://www.tecchannel.de/news/internet/15009/</a>