Alle Jahre wieder versucht es einer: Pünktlich zum Fest der Liebe kursiert auch in diesem Jahr wieder ein Weihnachts-Virus. "W32/Maldal.C@mm" versucht, was "Navidad" im letzten Jahr ansatzweise gelang: Möglichst viel Schaden zu verursachen und das eine oder andere Firmennetzwerk zum Zusammenbruch zu bringen.

Die Mail, über die das Virus verbreitet wird, hat folgende Gestalt:

Betreffzeile: Happy New Year
Text-Body: Hi!
I can't describe my feelings
But all I can say is
Happy New Year:)
bye"

Auch wir können unsere Gefühle kaum beschreiben: Die Lock-Mail folgt in ihrer dümmlich-einfallslosen Wortwahl den letzten 4572 Vorgängern gleicher Bauart (mindestens), und wie diese zielt auch das Attachment "Christmas.exe" auf - das Adressverzeichnis von Outlook Express.

Wer dieses mittlerweile als weltweit bekanntester Virenverteiler berüchtigte Mail-Programm immer noch ohne das seit geraumer Zeit von Microsoft zur Verfügung stehende Sicherheits-Update betreibt, beglückt seine Freunde, Bekannte und Geschäftspartner stante pede mit einer Flut virenverseuchter Weihnachtsgrüße.

Doch da hört es nicht auf: Nutzer des Microsoft Internet Explorer dürfen erleben, wie das Virus die Startseite des Browsers verändert. Diese Seite hat es in sich und trägt selbst wieder schädlichen Code, sagt das Virenschutz-Unternehmen Symantec.

Die schlechte Nachricht:

Das Virus löscht im Erfolgsfall Virenschutz-Daten (und öffnet damit den Rechner für kommende Attacken).

Dabei geht es folgendermaßen vor: "Maldal" versucht, die Explorer-Homepage auf eine ebenfalls Virencode enthaltene Seite zu lenken. Dort "fängt" sich der Rechner ein VBS-Skript namens "Rol.vbs". Dieses verewigt sich auf der Festplatte als "zacker.vbs" - ein Skript, das eine ganze Reihe von Schadensroutinen einleitet. Betroffen sind html-, htm- und asp-Dokumente, die das Virus wiederum mit viral verseuchtem Code verändert. Darüber hinaus überschreibt das Virus - ähnlich wie weiland "I Love You" - Dateien mit den Endungen .lnk, .zip, .jpg, .jpeg, .mpg, .mpeg, .doc, .xls, .mdb, .txt, .ppt, .pps, .ram, .rm, .mp3, .mdb und .swf.

Zu schlechter Letzt deaktiviert das Virus die Tastatur des Rechners.

"Maldal" darf also als kräftiger Quälgeist gelten.

Die gute Nachricht:

Viele aktuelle Virenprogramme filtern das Virus aus, bevor es zuschlagen kann. Zwar erkennt die Software das Virus "falsch" - aber immerhin erkennt es "Maldal" als Virus. Des Rätsels Lösung: "Maldal" ist wahrscheinlich wieder einmal ein "Virus aus der Box", ein per Viren-Bausatz zusammengefrickelter digitaler Sprengsatz.

Das ist gut, weil "Maldal" so letztlich leichter unter Kontrolle zu bringen sein wird. Schlecht ist es, weil es wieder einmal zeigt, dass prinzipiell jeder Neunjährige die Welt mit schädlichem Code belästigen könnte: Im Falle der Viren-Bausätze versagen die so oft beschworenen Selbstkontroll-Mechanismen des Web völlig.

Immerhin bieten so gut wie alle Hersteller von Virenschutz-Software inzwischen Patches an.

Nummer zwei: "Coolsite", perfide Porno-Werbung

Auch nicht ganz ohne ist "Coolsite", ein ebenfalls via Outlook-Adressbuch verbreitetes Virus.

• Symantec 
• Aktuelle Virenwarnungen von Trend Micro 
• Aktuelle Virenwarnungen von McAffee 
• Hoax-Viren-Info 

"Coolsite" setzt auf Javascript - und wieder einmal auf bekannte Sicherheitslücken. Ansonsten fällt "Coolsite" aber in die Kategorie "lästig, aber letztlich harmlos". Ein Risiko geht von dem Virus nur insofern aus, als dass es über eine Massenverteilung des Wurms zu einer Be- oder Überlastung von Mailservern kommen könnte. Wahrscheinlich ist das nicht: Scriptviren, die nur auf Outlook-Sicherheitslücken setzen, sind immer weniger erfolgreich.

Im Erfolgsfall jedoch zeigt "Coolsite", wofür es geschrieben wurde: Es lenkt User, die mit Microsofts Internet Explorer im Web unterwegs sind, zu einer Pornoseite. Das gibt dem Begriff "Viral marketing" eine ganz neue Bedeutung, ist ein Ärgernis - aber auch schnell repariert. Das geht sogar "per Hand", indem man alle Dateien mit den Namen "JS.Exception.Exploit" oder "JS.Coolsite@mm" sucht und löscht und sodann die Default-Startseite wieder zurücksetzt (auf SPIEGEL ONLINE?).

Noch einfacher geht es per Virenscanner, denn auch "Coolsite" wird inzwischen von den diversen Sicherheitsprodukten erkannt und außer Gefecht gesetzt.