Normalerweise beginnen Virenwarnungen mit der gebetsmühlenartigen Wiederholung des Satzes "Wenn Sie eine E-Mail bekommen, die folgende Betreffzeile aufweist...". Im Fall von "Hybris", einem bereits seit dem Februar 2001 bekannten Virus, entfällt dieser pauschale Satz. Denn die E-Mail, mit der das Virus ins Haus schneit, besitzt keine regelmäßig wiederholten Merkmale.

Das ist ziemlich fies, das Virus darum ähnlich leicht zu bekämpfen wie die Grippe. Weil es auch ähnlich schnell mutiert, dürfte "Hybris" in den nächsten Tagen einige Schlagzeilen machen: Seit rund 48 Stunden häufen sich die Sichtungen von Viren der "Hybris"-Familie. Im aktuellen Viren-Chart von Trend Micro belegt der alte Bekannte derzeit Platz zehn der meistverbreiteten Viren weltweit.

Das dürfte sich ändern, und nicht zum Positiven. Aus bisher nicht geklärten Gründen erlebt "Hybris" derzeit ein Revival.

Denn eigentlich müsste das Virus von allen aktuellen Virenscannern schon beim Einlaufen in den Posteingang abgefangen werden. Das geschieht jedoch nicht: Es ist darum nicht unmöglich, dass es sich um eine bisher nicht aufgetretene Variante handelt. Als Virenträger-E-Mails laufen Nachrichten mit folgenden Merkmalen ein:

• entweder kein Absender und keine Betreffzeile, keine Botschaft und nur eine Exe-Datei im Anhang ("Blind Mail"-Variante). Deren Name ist zufällig vergeben und besteht in der Regel einfach aus einer willkürlichen Abfolge von Buchstaben. Einige Attachments scheinen aber auch "sinnvolle" Dateinamen zu besitzen.
• abweichend davon gibt es Viren-Attachments mit einer Vielzahl variierender Namen und Dateierweiterungen des Typs "src".
• es gibt E-Mails mit Absenderangaben: "hahaha@sexyfun.net" und "Snow White and the Seven dwarves". Andere Adressen und Betreffzeilen sind leider ebenfalls möglich.

"Hybris" setzt darauf, sich immer wieder neu zu verkleiden. Auch in den Schadensroutinen zeigt "Hybris" eine ungewöhnliche Vielfalt. Erste Effekte können sofort, aber auch erst nach Stunden auftreten.

• Diagnose:Virencheck online oder per Download 
• Symantec 
• Virenschutz:Sophos 
• Aktuelle Virenwarnungen von Trend Micro 
• Aktuelle Virenwarnungen von McAffee 
• Hoax-Viren-Info 

Was genau passiert, ist ebenfalls hochvariabel: Das Virus initiiert verschiedene Schadensroutinen (je nach Virus-Version), und zudem gelingen ihm nicht alle. Während ein betroffener User unter Umständen plötzlich eine rotierende Spirale als "Bildschirmschoner" zu sehen bekommt (ein Worst-Case-Szenario, da in diesem Fall das System sehr stark betroffen ist), erleben andere unter Umständen nur kleinere Fehlfunktionen oder Versuche, den Rechner mit der Newsgroup alt.comp.virus zu verbinden. Im Extremfall gibt der Rechner schlicht auf, weil das Virus zu viele "exe"-Dateien "abschießt": Es kommt zu erheblichen System-Instabilitäten.

Das Virus kommt als Trägerdatei mit einem Plug-in daher, das die jeweils eingesetzte Schadensroutine enthält. Im Umlauf ist eine Vielzahl von Plug-ins, die anscheinend fortlaufend weiterentwickelt werden. Das gehörte offenbar zum Grundkonzept des Virus-Autors: Was "Hybris" als Allererstes versucht, ist, im Web die jeweils neuesten "Hybris"-Plug-ins zu finden.

"Hybris" versucht immer, die Winsock32.dll, die ein Windows-Rechner für Netzwerkverbindungen inklusive der Internetanbindung braucht, zu befallen. Das gelingt dem Schädling in den meisten Fällen, die Reparatur der Datei dagegen längst nicht immer: In diesem Fall ist eine Neuinstallation der Winsock-Datei von der Windows-CD fällig.