Wurm verbreitet sich über Messenger

Laut den Sicherheitsexperten von Symantec enthält die Nachricht nur eines der Wörter “foto”, “photo” oder “photos” zusammen mit einem Smily. Es folgt ein Link, der scheinbar auf eine Facebook-, Myspace– oder Bilderhosting-Seite verlinkt. Aber in Wirklichkeit verweist er auf eine ausführbare Windows-Datei.

Der Wurm tarnt sich mit einem Foto, welches angeblich von einem Freund geschickt wurde.
Screenshot: Symantec

“Führt man die Datei aus, kopiert sich der Wurm nach %WinDir%infocard.exe und trägt sich in die Liste der von der Windows-Firewall nicht blockierten Programme ein”, erklärt Symantec in der Mitteilung. Außerdem ändere er Registry-Einträge und stoppe den Windows-Update-Dienst. Das Unternehmen hat den Wurm als W32.Yimfoca registriert.

Für den Angriff sind die Microsoft Systeme Windows 95, Windows 98, Windows ME, Windows 2000, Windows XP, Windows Vista, Windows NT und Windows Server 2003 anfällig. “Der Wurm ist sehr gefährlich”, sagt Zulfikar Ramzan, technischer Direktor bei Symantec. “Da die Nachricht von einem Bekannten zu kommen scheint, ist die Gefahr größer, dass Anwender darauf klicken.” Die Schadsoftware erlaube es den Angreifern auch, aus den befallenen PCs später ein Botnetz zu schaffen.

Bitdefender stuft den Wurm in einem Blogbeitrag als Exemplar einer Familie ein, die Passwörter und andere kritische Daten ausschnüffeln könne. Dem Sicherheitsspezialisten ‘Bkis‘ zufolge läuft die Verbreitung des Wurms schon seit Wochenanfang. Yahoo hat laut einem Blogeintrag mit der Arbeit an dem Problem begonnen. “Wir haben kürzlich erfahren, dass manche Anwender Spam-Nachrichten von Kontakten erhalten. “Wir haben sofort begonnen, die Situation zu verbessern. Wie immer empfehlen wir, dass Nutzer von Yahoo Messenger, die verdächtige Nachrichten mit einem Link erhalten, sich bei ihrem Kontakt absichern, bevor sie auf den Link klicken. Über Yahoo Messenger verschickte ausführbare Dateien (.EXE) sollten sie nicht öffnen.”

Erscheint diese Nachricht, sollte man auf keinen Fall “Ausführen” anklicken.
Screenshot: Symantec