W32.Bropia - Messenger-Wurm im Umlauf

Auf dem infizierten Rechner deaktiviert W32.Bropia die Anwendungen CMD.EXE und TASKMGR.EXE sowie die Tastenkombination CTRL-ALT-ENTF und die rechte Maustaste. Nach Erkenntnissen der Antivirenspezialisten sucht der Schädling dann nach den Dateien adaware.exe, VB6.EXE, lexplore.exe und Win32.exe und versucht den Trojaner C:\osm.exe, eine Variante des W32.Spybot.Worm, nachzuladen und auszuführen. Dieser kopiert sich als lexplore.exe in die Registry-Einträge "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" und "...RunServices", womit er für einen automatischen Start sorgt. Laut Symantec öffnet W32.Spybot.Worm bei erfolgreichem Angriff Backdoors und nimmt Verbindung zu einem präparierten IRC-Server auf.

Zur Verbreitung verschickt sich W32.Bropia als "Drunk_lol.pif" oder "love_me.pif" an die auf dem Rechner gespeicherten IM-Adressen, die gerade aktiv sind. Gefährdet sind Systeme mit Windows 98/2000/Me/NT/XP und Server 2003. Informationen zum Entfernen von W32.Bropia finden Sie unter anderem bei Symantec. (bsc)

Das tecCHANNEL-Praxis "Sicher ins Internet, Mail, Fax & VPN" zeigt Ihnen, wie Sie einen Kommunikations- und Security-Server einrichten und konfigurieren. Das Praxis-Heft können Sie online zum Vorzugspreis von 8,90 Euro bestellen.