Vorsicht bei emails mit Absenderangabe "Microsoft": Wurm

Eine Nachricht gibt sich als Security-Benachrichtigung von Microsoft aus. Die angehängte Datei ist infiziert.

Name: W32.Swen.A@mm
Alias: Worm.Automat.AHB [Symantec vorläufiger Name]
Swen [F-Secure]
W32/Swen@mm [McAfee]
W32/Gibe-F [Sophos]
WORM_SWEN.A [Trend]

Art: Wurm
Größe des Anhangs: 106496
Betriebssystem: Microsoft Windows
Art der Verbreitung: Massenmailing, Netzwerk
Verbreitung: mittel
Risiko: mittel
Schadensfunktion: Massenmailing
Spezielle Entfernung: -
bekannt seit: 18.September 2003

Beschreibung: W32.Swen.A@mm ist ein Massenmail-Wurm, der sich mit seiner eigenen SMTP-Maschine versendet. Er sucht in Dateien mit der Endung .html, .asp, .eml, .dbx, .wab und .mbx nach E-Mail-Adressen.
Eine Verbreitung findet auch über das lokale Netzwerk, IRC und Kazaa statt.

Bei der Verbreitung über E-Mail nutzt er eine Sicherheitslücke in Microsoft Outlook und Outlook Express. Mit dieser Sicherheitslücke wird der Wurm sofort aktiviert, wenn die E-Mail gelesen wird, oder wenn die AutoVorschau aktiviert ist. Informationen zu dieser Sicherheitslücke finden Sie unter:

Das Aussehen der infizierte E-Mail ist sehr unterschiedlich. Von:, Betreff: und Nachrichtentext variieren stark.

Zum Vergrößern anklicken....

Die email ist sehr hübsch gemacht, sieht sehr "echt" aus - mit Microsoftlogo usw.

So sieht die HTML-mail aus:


Q.:

Endlich mal ein Wurm, der auch bei mir angekommen is Kurze Zeit später kam übrigens nochmal eine mail, in der mir mitgeteilt wurde, daß meine Antwort an den Absender obiger Mail nicht zugestellt werden konnte. Sinnigerweise hatte ich gar nicht versucht eine solche Antwort zu verschicken, scheint also irgendwie dazu zu gehören.


wauzi

Klar, Wauzi, wenn der sich selber weiterverbreitet...

Wie gut, daß ich Eudora nutze...

Nee, Marion, eigentlich nicht klar. Ich hab weder Outlook noch Outlook Express und ganz gewiß den Anhang nicht selber geöffnet.


wauzi

Hi Marion,

nur is Eudora leider kein Schutz dagegen
Eudora nutzt z.B. zum Anzeigen von HTML-Mails wenn ich mich recht entsinne auch noch in der aktuellsten version den Internetexplorer und ist somit genauso anfällig wie Outlook.

Das beste ist, kein Outlook, keine HTML-Mails annehmen, keine HTML-Darstellung von Mails erlauben, IE auf dem alleraktuellsten Standhalten, nen wirklich guten Virenscanner, den man am besten _täglich_, mindestens aber wöchentlich aktualisiert (die meisten bieten nen Auto-Update an).
Ebenso sollte man echt immer, wenn sowas bekannt wird umgehenst auf der Microsftwebsite sich die notwendigen Updates ziehen.

Wenns jeder machen würde, hätte ich nicht letzte Woche 37000 Email löschen müssen, die mir mein Emailserver bzw der Virenscanner zugestellt hat, das irgend wer an unseren bzw über unseren Email-Server nen Virusverschicken wollte, da fallen schon alle Mails nicht mit rein, die Sobig-F enthalten, die werden vorher schon abgefangen. und das ganze ist nur das was innerhalb von 4Wochen zusammen kam.
In den lketzten 10 Tagen warens rund 5500 Mails.
Nur um mal die Ausmaße dieser Flut zu beschreiben ....
10 Minuten Aufwand und der eigene Rechner ist halbswegs geschützt, wenn man eben die Automatischen und manuellen Updates macht, und ne Firewall nutzt, auch wenns "nur" ne Personal Firewall is.

Am besten man nimmt kein M$ sondern nen gutes und echtes BS nehmen

Gruß
Dirk

Hi

nochmals nen link dazu mit genaueren Einzelheiten:




Gruß
Dirk

Hallo Dirk,

die Beschreibung des Bundesamtes kam mir auch etwas komisch vor. Die Erklärung bei Microsoft (aber wer will das Blabla schon lesen) schien eher auf eine Lücke in IE 5.01 kleiner SP2 und IE5.5 kleiner SP2 hinzuweisen.

Na ja.. ich nutze Mozilla für mails und habe selbstverständliche keine HTML-Ansicht angeschaltet.

Auf der Firma muß ich gerade Outlook2002 installieren (ich war nicht dafür) und dies Programm hat tatsächlich als Default-Einstellung HTML eingestellt.

Zusammen mit dem Internet Explorer 5.5 (ohne SP oder nur mit SP1) ist das schon wieder ein gefundenes Fressen für alle Schadviecher..

Übrigens: was hast du für einen Zeichsatz eingestellt?
Dein "ß" (esszett) kommt bei mir als "AY" an, jeweils mit Tüdeln oben auf dem Buchstaben

Hallo Andreas,

mhh weis ich nich aus wendig welchen zeichensatz ich inner Firma hab, entweder UTF-8 oder den Western.

Aber wenn die Site keien Zeichensatz zurückliefert im Header gibts immer mal Probs.

Ansonten bin ich froh das bei uns inner Firma der Windoskrempel fliegt

gruß
Dirk

Neuer Worm?
Hatte heute morgen Meldung von Norton
W32.Spybot.Worm hatte eine mir nicht bekannte E-mail erhalten und nu isser weg oder?
Bis Denne

...nach oben schieb ...

Heute früh scheint der Wurm ganz schnell zu kriechen, er kommt bei mir in verschiedenen Verkleidungen immer wieder mal an.

Hier ein Bildschirmausdruck, woran man ihn erkennt:

- Absender irgendwas mit "Microsoft"
- in der Betreffzeile englischer Text mit Begriffen wie "security/ crirtical / pack / patch"
- Größe der gesamten mail ca. 155-156 kB (abhängig von der Länge des Textes, der variert)
- Größe des Anhangs genau 106.496 Bytes.
- Icon des Anhangs ist eine Packung und eine CDROM.

Antivir erkannt den Wurm beim Lösen als "Worm/Gibe.C.1!

Youp, Ihr habt recht *asche auf mein Haupt*

Habe den Virus heute morgen auch bereits 2 x erhalten - Antivir hat ihn allerdings rausgefiltert.