Neuer Mail-Wurm: Vertrauliche Infos vom Winde verweht - DER SPIEGEL
Zum Inhalt springen

Neuer Mail-Wurm Vertrauliche Infos vom Winde verweht

Ein neuer Mail-Wurm treibt seit einigen Tagen sein Unwesen: W32.Sircam. Er ist zwar nicht unbedingt gefährlicher als frühere Varianten, kann aber durch ein pikantes Detail viel Schaden anrichten: Er verschickt möglicherweise vertrauliche Dokumente ins Netz.
SPIEGEL bei Google bevorzugen
Dieser Beitrag stammt aus dem SPIEGEL-Archiv. Warum ist das wichtig?

Hamburg - Beim Öffnen von E-Mail-Attachments ist Vorsicht besser als Nachsicht - besagt die Theorie. In der Praxis erlangen immer wieder Mail-Viren wie "Kournikova" oder "Naked Wife" dadurch Verbreitung, dass ahnungslose Empfänger den infizierten Anhang einer Mail öffnen und so den zerstörerischen Programmcode ausführen.

So auch beim W32.Sircam-Wurm, der seit Dienstag bekannt ist. Auch er wird durch Öffnen des Attachments aktiviert. In der Betreffzeile der infizierten Mails ist der Name der angehängten und verseuchten Datei zu finden. Auffällig ist dabei, dass die Dateinamen immer doppelte Endungen tragen, als etwa ".doc.exe", ".zip.com" oder ".jpg.pif". Für den Text der Mail gibt es mehrere Varianten. Immer gleich ist der Eingangssatz, der entweder auf Englisch oder auf Spanisch vorkommt: "Hi! How are you?" beziehungsweise "Hola como estas?"

Nachdem der Wurm ausgeführt wurde kopiert er eine Datei mit dem Namen "sirc32.exe" in das Verzeichnis "C:recycled" und ein File mit dem Namen "scam32.exe" ins Windows-Systemverzeichnis. Durch Veränderungen in der Systemregistrierung wird anschließend je eine der Wurm-Dateien immer dann aufgerufen, wenn der Nutzer versucht ein Programm zu starten oder das System neu hochzufahren. Das macht die Bekämpfung von W32.Sircam mit Antivirenprogrammen zunächst schwierig. Ohnehin erkennen nur die neuesten Programm-Updates der gängigen Hersteller wie Symantech  oder F-Secure  den Wurm.

In einigen Fällen löscht W32.Sircam Dateien von der Festplatte oder füllt diese mit Datenmüll auf. Für die Weiterverbreitung bringt der Wurm eine eigene SMTP-Engine mit, um nicht auf herkömmliche Mailprogramme angewiesen zu sein. Das heißt, W32.Sircam verschickt sich ohne fremde Hilfe weiter an seine nächsten Opfer. Als Anhang mit dabei hat der Wurm jeweils eine Datei von der lokalen Festplatte, ähnlich wie sein Vorgänger "Magistr". Auf diese Weise könnten etwa Geschäftspartner oder auch Konkurrenten an vertrauliche Unterlagen gelangen. Auch wenn sie diese angesichts der Virenverseuchung kaum bemerken dürften. Tatsache ist aber, dass alle ursprünglichen Informationen nach wie vor in den verschickten Dateien enthalten sind.

Die Antivirenfachleute von Symantec schreiben dem W32.Sircam-Wurm eine potenziell hohe Verbreitung zu, auch wenn bislang keinesfalls von einer Epidemie gesprochen werden kann. Zur Beseitigung von W32.Sircam bietet F-Secure einen Patch an , der die infizierte Systemregistrierung von Windows wieder in Ordnung bringt. Anschließend kann der Wurm den Angaben zufolge mit der neuesten Antivirensoftware beseitigt werden.