Abingdon - Das britische
Sicherheitsunternehmen Sophos berichtet von einem Wurm, der sich als ein
Security-Update von Microsoft tarnt. Win32.Invalid ist nach Berichten des
Unternehmens allerdings noch nicht in "freier Wildbahn" aufgetreten. Die
Schadensroutine des Wurms ist umfassend, Win32.Invalid verschlüsselt nach
Angaben von Sophos die .exe-Dateien des Computers.
http://www.sophos.com/virusinfo/analyses/w32invalidssl.html
Der Wurm führt die Betreffzeile "Invalid SSL Certificate" und kommt
vorgeblich vom Microsoft-Support-Center. Die Nachricht fordert den
Empfänger auf den mitgelieferten Patch im Attachment "sslpatch.exe" zu
installieren, um eine vermeintliche Sicherheitslücke im Microsoft
Explorer zu schließen. Wenn der Benutzer allerdings das Patch ausführt,
durchsucht der Wurm den Ordner "Eigene Dokumente" nach .ht-Dateien. Der
Wurm versendet sich an alle E-Mail-Adressen, die in diesen Dateien
enthalten sind, so Sophos. Dabei benutzt Invalid eine 64-bit
Verschlüsselung. Danach werden alle exe-Dateien in dem Directory, aus dem
der Wurm gestartet wurde, verschlüsselt und damit unbrauchbar.
Die Nachricht im Textteil beginnt mit "Hello, Microsoft Corporation
announced that an invalid SSL certificate that web sites use is required
to be installed on the user computer to use the https protocol. During
the installation, the certificate causes a buffer overrun in Microsoft
Internet Explorer and by that allows attackers to get access to your
computer. The SSL protocol is used by many companies that require credit
card or personal information so, there is a high possibility that you
have this certificate installed. To avoid of being attacked by hackers,
please download and install the attached patch. It is strongly
recommended to install it because almost all users have this certificate
installed without their knowledge.
Have a nice day, Microsoft Corportation".
