Zitat:
Ein als Strafanzeige der Kripo getarnter E-Mail-Virus verbreitet sich wieder mal im Internet. Die gleiche E-Mail war schon vor genau 4 Wochen unterwegs und hat bei vielen ahnungslosen Anwendern das System verseucht. Der Empfänger sei angeblich beim Herunterladen von Filmen, Software und MP3 erwischt und der Inhalt seines PCs als Beweismittel sichergestellt worden – eine entsprechende Strafanzeige, so der Mail-Text weiter, „wird Ihnen in den nächsten Tagen schriftlich zugestellt“. Details zu den gesammelten Beweisen sollen sich im Anhang befinden – doch lauert dort nicht der Staatsanwalt, sondern ein Wurm.
Die E-Mail hat folgendes Aussehen
Betreff: „Ermittlungsverfahren wurde eingeleitet“
Dateianhang: „text.pdf.exe“
E-Mail-Text: „ Sehr geehrte Damen und Herren, das Herunterladen von Filmen, Software und MP3s ist illegal und somit Strafbar. Wir möchten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP 62.36.148.*** erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittelsichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingeleitet. Die Strafanzeige und die Möglichkeit zur Stellungnahme wird Ihnen in den nächsten Tagen schriftlich zugestellt.”
Virus: Mytob.BW5
Virustyp: Wurm
Dateigröße: 53.248 Bytes
Betroffene Betriebssysteme: Alle Windows-Versionen.
Installation auf dem System
Wird der Wurm ausgeführt, erstellt er folgende Datei:
• %SYSDIR%w32NTupdt.exe
Folgende Einträge werden in der Registry angelegt:
– HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
• "A New Windows Updater"="w32NTupdt.exe"
– HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServi ces
• "A New Windows Updater"="w32NTupdt.exe"
– HKCUSoftwareMicrosoftWindowsCurrentVersionRun
• "A New Windows Updater"="w32NTupdt.exe"
– HKCUSoftwareMicrosoftOLE
• "A New Windows Updater"="w32NTupdt.exe"
– HKLMSOFTWAREMicrosoftOle
• "A New Windows Updater"="w32NTupdt.exe"
– HKCUSYSTEMCurrentControlSetControlLsa
• "A New Windows Updater"="w32NTupdt.exe"
– HKLMSYSTEMCurrentControlSetControlLsa
• "A New Windows Updater"="w32NTupdt.exe"
Quelle.Virenticker.