BubbleBoy-Wurm startet ohne Attachment

Virenverseuchte E-Mail-Anhänge mussten bislang explizit gestartet werden, damit der Schadenscode zuschlagen konnte. Nun ist Umdenken angesagt: BubbleBoy legt los, sobald der Anwender die Nachricht öffnet.

Damit dies funktioniert, muss auf dem betreffenden PC der Internet Explorer 5 (IE 5) und der Windows Scripting Host laufen. Ferner benötigt BubbleBoy das Mailprogramm Outlook oder Outlook Express. Über ein bekanntes Sicherheitsloch in Microsofts Webbrowser gelingt es ihm, beim öffnen der E-Mail die Skriptdatei "update.hta" im Autostartordner unterzubringen. Beim nächsten Windows-Start führt die Wurm-Routine folgendes durch:

Die von BubbleBoy versendeten Mails enthalten als Absender den Namen des Anwenders, dessen Rechner infiziert wurde. Als Betreffzeile erscheint "BubbleBoy is back!". Der Mailtext selbst enthält den Verweis auf eine nicht existierende Website.

Anwender können sich schützen, indem sie den entsprechenden Microsoft-Patch installieren. Vorsorglich sollten Sie beim IE5 die höchste Sicherheitsstufe für die Internetzone wählen. Unterdessen arbeiten alle bekannten Hersteller von Antivirensoftware an einem Update, das BubbleBoy eliminiert.(tri)