MÜNCHEN (COMPUTERWOCHE) - "Doomjuice" und "Deadhat" heißen zwei neue Würmer, die durch den Schädling "Mydoom" hinterlassene Sicherheitslücken ausnutzen. Da die Mydoom-Nachfolger nicht per E-Mail verbreitet werden, stufen Antivirenexperten das von ihnen ausgehende Schadenspotenzial als gering ein. Nach Ansicht von Vincent Gullotto, Vice President des Antivirus Emergency Response Teams von Network Associates, weisen weltweit nur noch 50.000 bis 100.000 Rechner durch Mydoom geöffnete Ports auf. Betroffen sind lediglich Windows-PCs und -Server.
Doomjuice ist darauf ausgelegt, DoS-Attacken (Denial of Service) auf die Website von Microsoft zu starten. Ob der Wurm dazu in der Lage ist, Microsoft.com in die Knie zu zwingen, gilt als unwahrscheinlich. Die Angriffe des Vorgängers Mydoom.B blieben ebenfalls erfolglos (Computerwoche.de berichtete).
Der über die Online-Tauschbörse Soulseek verbreitete Deadhat entfernt Mydoom aus befallenen Systemen und nistet sich an dessen Stelle ein. Dort wartet er als trojanisches Pferd auf weitere Befehle, die über den TCP-Port 2766 eintreffen. Eine unmittelbare Schadenswirkung ist nicht bekannt.
Auf von Doomjuice befallenen Rechnern finden sich im Systemverzeichnis die Datei "intrenat.exe" sowie der Eintrag "Gremlin" = "%System%\intrenat.exe" in den Registry-Schlüsseln "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" und " HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run". Dadurch wird die Schadroutine automatisch beim Windows-Start gestartet.
Deadhat nistet sich im Systemverzeichnis als "sms.exe" ein. Der dazu gehörende Registry-Eintrag heißt "KernelFaultChk"="%System%\sms.exe" und steht im Schlüssel "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run". Experten warnen vor dem Download folgender Dateien über Soulseek:
Windows2003Keygen.exe
mIRC.v6.12.Keygen.exe
Norton.All.Products.KeyMkr.exe
F-Secure.Antivirus.Keymkr.exe
FlashFXP.v2.1.FINAL.Crack.exe
SecureCRTPatch.exe
TweakXPProKeyGenerator.exe
FRUITYLOOPS.SPYWIRE.FIX.EXE
ALL.SERIALS.COLLECTION.2003-2004.EXE
WinRescue.XP.v1.08.14.exe
GoldenHawk.CDRWin.v3.9E.Incl.Keygen.exe
BlindWrite.Suite.v4.5.2.Serial.Generator.exe
Serv-U.allversions.keymaker.exe
WinZip.exe
WinRar.exe
WinAmp5.Crack.exe
Die gängigen Antiviren-Tools erkennen und beseitigen die Schädlinge, wenn die aktuellen Signaturen eingespielt sind. (lex)