Dedies-Board | Sicherheitsnews-Archiv | "WM-Ticket-Wurm" Sober.O schaltet Virenschutz ab

Jetzt wirds interessant:

Zitat:

Der derzeit grassierende Wurm Sober.O hat nach Auskunft des Bundesamtes für Sicherheit in der Informationstechnik (BSI) doch Schadfunktionen. Das BSI hat seine Wurmbeschreibung dazu aktualisiert. So schaltet er einige Virenschutz-Programme ab und löscht insbesondere Dateien der Anti-Viren-Produkte von Symantec. In der Folge ist die Aktualisierung des Programms und der Signaturen nicht mehr möglich. Zudem verhindert der Wurm den Start verschiedener Entfernungs-Tools, indem er nach dem Namen solche Programme in der Prozessliste sucht.

Einige Hersteller haben darauf bereits reagiert und den Namen ihrer Tools geändert. So hat etwa McAfee den Dateinamen seines Werkzeugs Stinger kurzfristig auf ST1NGER.EXE umgestellt, in dem das "i" durch eine "1" ersetzt ist. Die Idee fand das Internet Storm Center allerdings nicht so gut und wies McAfee darauf hin, dass auch Angreifer solche Tricks etwa für Servernamen (paypa1.com) nutzten, um Anwender zu verwirren. McAfee bietet Stinger nun als s-t-i-n-g-e-r.exe zum Download an.

Zudem schaltet Sober die Windows XP-Firewall und das automatische Update von Windows ab. Diese Schadensfunktion soll allerdings erst nach einem Neustart des infizierten Computers zu bemerken sein. Ohne funktionierende Firewall bieten PCs, die nicht über einen Router oder ähnliches ans Internet angebunden sind, unter Umständen ein leichtes Ziel für weitere Angriffe.

Dass Sober.O zu einem recht massiven Wurm-Ausbruch führte, belegen auch die Zahlen des BSI. So fing man im Bereich der Bundesbehörden seit dem gestrigen Dienstag rund 400.000 infizierte Mails ab.

QUELLE

Beschreibung: W32.Sober.O@mm(BSI)