Aktuelle Viren-Info: Wurm "Sasser" *05. Mai 2004*

[cosmic girl]

edit: Update 05.05.2004: Wurm Sasser mit aggressiver B-Variante
Mehr dazu hier: http://www.emule-web.de/board/viewto...=106164#106164


Nachdem wir hier schon einige bis viele aufgeregte posts wegen dieser Dinge hatten, will ich mit dieser aktuellen Information aus der GMX Infomail vom 16. Januar 2004 mal etwas Aufklärung bringen:

[CyberCop]

Hallo! (Will auch mal was dazu sagen)

Ich dachte mir, da es ja immer mehr Viren werden und sie immer dreister werden, möchte ich euch ein wenig unter die arme greifen um euch bei eurem alltäglichen "Internet-en" etwas zu helfen.

Fangen wir mal mit den netten Viren an die zur Zeit tausendfach überall auf der Welt herumschwirren.

Vor 2 Monaten ca trudelte bei mir eine nette Mail ein
Absender "Microsoft"
ui dachte ich mir, da ist was im Bush (also nich weil Bush in Amerika jetz Präsident ist sondern weil da was faul an der sache ist)
Auf der Microsoft Homepage steht AUSRDÜCKLICH das sie NIEMALS einen Patch oder Update per Mail verschicken. Ok dachte ich mir das is sicher ein Virus, schaun wir mal welcher das ist.
Habe die datei heruntergeladen und siehe da! Mein Virenscanner ( http://www.antivir.de ein gratistool für privatanwender, und zudem noch sehr gut) schlug sofort an und nannte mir den Virus: Gibe.c
Na prima, der Virus hat ne größe von ca 100 KB. Naja mal löschen. In der nächsten Zeit wurden es immer mehr und mehr von den Microsoft E-Mails. An guten tagen wurde die "ernte" so auf ca 25 bis 40 Mails gehoben. Naja wenn man nun denkt, 40 emails, zu je 100 KB das sind 4 MB!
(ein programm wie ihr die Mails direkt am Server ausmisten und die viren gleich am server (ohne runterladen) löschen könnt findet am ende dieses threads.)
Naja, nun kommen immer lustigere E-Mails.
Da ich nicht jede virus-mail hier völlig reinkopieren will könnt ihr sie euch unten dann über einen link als textdatei betrachten um zu wissen wie diese viren nun aussehen.
Wie dem auch sei, es kommen immer wieder mails herein die so ca 100 KB haben. bei solchen E-mails werde ich hellhörig und betrachte sie mir über das unten genannte Programm genauer.
wie zum beispiel eine E-Mail von jemanden der mir zugriff auf ÜBER 84.000 anime/mangas geben will, brauche nur die angehängte .com, .exe, .bat, .pif, .cmd (!!!) datei ausführen (wohlgemerkt sind das dateien die in der Eingabeaufforderung von Windows anfangen zu arbeiten... tja dann hatte man mal nen PC.
oder eine andere Mail wonach sie mir "meine" mail schicken da sie sich vorher mit dem absender geirrt hatten und mir zugriff auf eine ***** site geben (angeblich ham sie 340 US Dollar von meinem Konto abgebucht) brauche nur die anghängte .com, .exe, .bat, .pif, .cmd Datei ausführen.
Ich könnte diese Liste noch ewig lang fortsetzen, aber ich möchte euch lieber einen kurzen auszug der Mails zeigen:

Die von mir geposteten Links sind alles REINE TEXTDATEIEN also könnt ihr sie ruhig öffnen, sie beinhalten den Virus nicht!

Virusmails:

von: Microsoft
Größe: ca. 100 KB

IMMER LÖSCHEN! Microsoft versendet NIEMALS E-Mails! Außer wenn man eine anfrage an den Support stellt. Wenn man selbst microsoft nicht kontaktiert hat, bekommt man niemals mails, und schon gar keine "updates oder patches"!

von: RTL (Fernsehsender)
Betreff: Deutschland sucht den Superstar!
Größe: ca. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/dsds.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: ups, i`ve got your mail
Größe: ca. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/gotyourmail.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: Sorry, that's your mail
Größe: c. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/thatsyourmail.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: Anime, Pokemon, Manga, ...
Größe: c. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/animemanga.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: registration confirmation
Größe: c. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/registration.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: a trojan is on your computer!
Größe: c. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/trojan.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

von: irgendeiner Person
Betreff: Ihre IP wurde geloggt
Größe: c. 100 KB
Hier der Link zum Inhalt der Mail:
http://support.s2.cybton.com/viren/logip.txt
Besagte angehängte Datei ist ein Virus der beim Öffnen Aktiviert wird!

Wenn ihr solche Dateien oder ähnliche bekommt, SOFORT LÖSCHEN! das sind VIREN!

Hier habe ich das versprochene Programm für euch hochgeladen (nennt sich "Magic Mail): es ist zwar auf englisch aber nicht schwerer zu bedienen als Outlook oder outlook express:
http://support.s2.cybton.com/viren/mail.zip (ca. 73 KB groß)

Einfach herunterladen, und in einen ordner entpacken (muss nicht installiert werden)
Die datei Magic.exe starten und dann im pull down menü unter "NEW MAILBOX" ein Postfach eintragen das ihr überwachen wollt.
(einfach den abfrage server eintragen)
für gmx zumbeispiel:
pop3.gmx.at
Username: dein username von gmx
passwort: dein passwort bei gmx

danach könnt ihr noch einstellen ob er das fach alle 3 oder 5 oder 10 minuten (sucht euchs aus) auf neue mails überprüfen soll.
Er läd nur reinen text herunter, und zwar:
an wen die mail ist,
von wem die mail ist,
welchen betreff sie hat,
datum, uhrzeit
und wie groß sie ist
(über rechte maustaste auf die mail und "quick view" könnt ihr sie dann ohne gefahr durchlesen!)
Ihr könnt natürlich auch eine verknüpfung in den autostart-ordner legen (start, programme, autostart) dann wird das programm immer gestartet wenn ihr den pc anmacht.

Es braucht wenig arbeitsspeicher, und lastet den pc nicht aus. Außerdem kann man sich damit das ewige bei gmx anmelden und nachschaun ob mails da sind ersparen, was ich sehr nützlich finde!
Sehr zu empfehlen ist es auch Leuten die eine geringe Downloadgeschwindigkeit haben (modem, isdn, etc...)

Ich hoffe ich konnte euch etwas helfen. Wenn ihr hilfe mit dem Programm braucht, dann sprecht mich einfach per ICQ an oder ihr könnt mich auch in meinem Support-Channel im IRC erreichen, und zwar liegt er auf dem
Quakenet Random German Server, raumname #cybtonDOTcom
mein name ist Support`on


mfg

CyberCop

[CyberCop]

Sodele, wieder mal n neuer Virus der sich denkt er kann die gut ausgebildeten Emule-User (jene mit etwas Verstand = diejenigen die nicht jeden Mailanhang den sie von unbekannten bekommen öffnen [an dieser Stelle ein echt großes lob an die Emule-User da die meisten wirklich gewappnet sind], und jene mit einem Virenscanner [oder gar beidem]) austricksen kann.

Wie sagt man so schön: Vorsicht ist die Mutter der Porzellankiste!

http://securityresponse.symantec.com...xpro.13.c.html

mfg

CyberCop

[cosmic girl]

Interessant, wie unglaublich "schnell" Symantec da reagiert hat!

Bin bereits im Mai 2003 über Infos zu diesem Megatrojaner gestolpert.. (weil ein Freund von mir die Ehre hatte diesen sehr fiesen Widerling von dem Rechner eines Kumpels zu entfernen - stundenlange Recherchen und Arbeiten unter höchster Vorsicht und Umsicht waren nötig - und wie gesagt, letztes Frühjahr war das schon! )

Zitat von der website:

Written in Delphi

Released in may 2003

[CyberCop]

Ja da sind wir wieder einmal mit einer etwas aktuelleren VI (Virus Information)
Habe letzte woche ca 7500 mails (rundschreiben über unsere Server) rausgejagt, war ja klar das da einige zurückkommen (waren ca 500 als returned) da postfach nicht gefunden. naja aber was sehe ich heute als ich meine mails kontrolliere? 2 mails mit anhang und dem
betreff "FW: Returned Mail"
nanu dachte ich mir, mal schaun was da los ist, markiere die mail in Outlook, und siehe da Antivir brüllt mir ins ohr das da der gute alte "Torvil.D" Wurm dahintersteckt. als angehängte datei powerpnt.pif. dachte mir nichts dabei, aber eines verdutzte mich doch sehr, mein NAV findet den in der mail nicht. Ok des rätsels Lösung:
Habe auf der symantec seite nachgeschaut, in der online-virus-database, ergebnis: der virus ist garnicht in der VDF (Virus-Definition-File) von NAV aufgeführt = kein schutz gegen ihn.

inhalt der virenmail ist jener:

The following mail can´t be sent to bassman85

From: deine mailadresse
To: mailadresse eines users der deine mailadresse hat
Subject: Do not release, its the internal rls!
The file is the original mail

also wie gesagt bitte nicht öffnen sondern sofort löschen.

mfg

CyberCop

[cosmic girl]

Warnung vor neuer besonders aggressiver B-Variante des Wurms "Sasser"

Den Namen dürfte er wohl bekommen haben, weil er die lsass.exe beendet. Dieser Dienst gehört zu der LSA Shell, welche bei Befall mit "Sasser" eine Fehlermeldung bringt, nach der man sicher sein kann, dass das eigene System mit dem Wurm infiziert ist.
Oder aber daher: sass [Amer.] [sl.] die Frechheit


Bei T-Online gibt es einen ausführlichen Bericht samt Hilfestellung zum Aufspüren, Downloadlinks für Tools zum Entfernen und auch Tips für Präventivmassnahmen.


Eine Firewall ist hier wie immer von grosser Bedeutung zur Vermeidung ungebetener Gäste oder Unterbindung unerwünschter Aktivitäten.

[CyberCop]

Hoi!

Wie ihr ja wisst, wütet Sasser mit seinen Komparsen im Internet. Da ich ja ein netter Mensch bin, möchte ich euch den (wirklich dumm angelegten) Weg zum Hotfix etwas erleichtern und euch einen direktlink geben (Habe den link nur durch zufall gefunden da ich etwas von der dotnetnuke-hp gebraucht habe). Auf m$.com findet man ja netterweise nichts.

Hier der Link:
http://www.microsoft.com/technet/sec.../MS04-011.mspx

Im unteren teil der Site findet ihr für fast jedes Windoof den passenden Hotfix.

mfg

CyberCop