Mail-Wurm Sorbig.F birgt weitere Gefahren

Sophos warnt davor, dass der Massmailing-Wurm W32/Sobig-F, der in dieser Woche zahlreiche Computeranwender befallen hat, versuchen könnte, heute zwischen 20.00 und 23.00 Uhr BST ein Trojanisches Pferd herunterzuladen.

Der Wurm wurde so programmiert, dass er freitags und sonntags zwischen 19.00 und 22.00 Uhr GMT infizierte PCs direkt zu einem Server umleitet, der von dem Virenautor kontrolliert wird und von dem der Wurm ein Schadprogramm herunterladen könnte. Derzeit ist nicht bekannt, was das heruntergeladene Material tun wird, aber es wäre möglich, dass eine weitere Viren- oder Spam-Attacke gestartet wird, sensible Daten gesammelt werden oder Dateien von dem infizierten Computer oder Netzwerk gelöscht werden.

"Bisher war der wesentliche Effekt von Sobig-F, dass er das Internet durch die schiere Flut an E-Mails, die er erzeugt hat, verlangsamt hat", sagt Gernot Hacker, Senior Technical Consultant bei Sophos. "Um 20.00 Uhr heute Abend werden sich die meisten Mitarbeiter von Unternehmen bereits im Wochenende befinden, aber alle infizierten Computer, die dann noch eingeschaltet sind, können zu regelrechten Zombies werden, wenn der Virenautor bestimmen kann, was sie tun. Wenn der Autor von Sobig den Trojaner erfolgreich auf infizierten PCs installieren kann, können sich die Anwender auf einen Schock Anfang nächster Woche gefasst machen. Unsere Empfehlungen sind ganz einfach folgende: Stellen Sie sicher, dass Ihre Antiviren-Software aktuell ist, führen Sie eine Virenüberprüfung durch, um festzustellen, ob der Computer infiziert ist, desinfizieren Sie ihn, wenn notwendig und vergewissern Sie sich, dass die Firewall des Computers korrekt konfiguriert ist."

"Was genau der Wurm herunterlädt, bleibt bis heute abend unbekannt - es könnte eine beleidigende aber weitestgehend harmlose Meldung anzeigen oder eine bösartige Attacke starten. Die Zeit des Downloads trifft mit den Nachmittagsstunden für US-Unternehmen zusammen. Anwender sollten also vorsichtig sein und keinen unerlaubten Code auf ihren Computer ausführen. Am Montag beginnt im Fernen Osten und in Australien gerade der Arbeitstag, wenn der Wurm zum zweiten Mal zum Download des unbekannten Codes ansetzt," fährt Gernot Hacker fort.

Sophos weist darauf hin, dass der Download verhindert werden kann, wenn Firewalls so konfiguriert werden, dass ausgehende Verbindungen mit UDP-Port 8998 abgeblockt werden. Zusätzlich sollte die Antiviren-Software aktualisiert werden und infizierte PCs desinfiziert werden.

Sophos hat Informationen über die Desinfektion von Computern herausgegeben und darüber, wie ein Download des Trojaners verhindert werden kann.

Quelle: Sophos.de