Ein neues, gefährliches Wurmprogramm
namens I-Worm.BadAss, das sich mittels Manipulation von MS-Outlook über das
Internet verbreitet, ist entdeckt worden. Der Wurm ist eine 25Kb große
EXE-Datei, geschrieben in VisualBasic und scheint auf dem bekannten
Melissa-Virus http://www.pressetext.at/show.pl.cgi?pta=990402003 zu
basieren. Die Funktionen und die Befehlsfolge im Programm-Codes des neuen
Wurmes ähneln stark jenen im Quellcode von Melissa.
Er verbreitet sich via Internet durch an E-Mails angehängte, infizierte
Attachements. Das ursprüngliche Attachment trägt zwar den Namen BADASS.EXE,
jedoch ist es möglich, dass die EXE-Datei auch manuell umbenannt und mit
einer neuen Bezeichnung weiterverbreitet wurde. Wird die infizierte E-Mail
empfangen und die EXE-Datei gestartet, übernimmt der Wurm die Steuerung und
führt sein eigentliches Hauptprogramm aus.
So sucht der Virus nach MS-Outlook Datenbanken, holt sich die gespeicherten
E-Mail-Adressen aus dem Adressbuch und sendet sich selbst an alle
eingetragenen Empfänger. Dabei tarnt er sich als unscheinbare E-Mail mit dem
Subject: "Moguh" und der Nachricht selbst: "Dit is wel grappig!" Der Wurm
sendet diese Meldungen nur einmal von einem Rechner zu jedem gefundenen
möglichen Empfänger im Outlook-Adressbuch. Um die Verbreitung eines
Duplikats zu vermeiden, erstellt der Wurm einen Eintrag in die
System-Registry und prüft diese bei jedem Start.
Die erste Meldungsausgabe des Wurms lautet:
Kernel32 An error has occured probably because your cunt smells bad. Is this
really so?
Bewegt man nun den Mauszeiger zur Schaltfläche "No", verschiebt der Wurm
diesen in Richtung "Yes" und bei Näherung des Mauszeigers wieder zurück. Das
wiederholt sich solange, bis die Schaltfläche "Yes" angeklickt wird. Der
Wurm erlaubt also kein Anklicken der Schaltfläche "No" wie bereits vom
Scherzprogramm "Win.Stupid" bekannt. Wird "Yes" betätigt, gibt der Wurm eine
weitere Meldung aus und startet die Infektions-Routine: "WIN32 Contact your
local supermarket for toiletpaper and soap to solve this problem." Nun muss
der User "OK" anklicken, das System ist identifiziert. Einen entsprechenden
Patch bietet die Firma AVP http://www.avp.at an.
