Vorderste Verteidigungslinie
Der Sturm-Wurm sorgt für Wirbel
Am 9. Januar 2007 sorgte der von Trend Micro als TROJ_SMALL.EDW erkannte "Sturm"-Wurm für eine weltweite Infektion von Computern. Besonders schwer traf es den asiatisch-pazifischen Raum. Diese Web-Bedrohung aus mehreren Malware-Komponenten umgeht Erkennungssysteme mithilfe eines Rootkits und zielt auf die Einrichtung eines Peer-2-Peer gesteuerten Bot-Netzes.
Der Trojaner macht sich zwei Übertragungswege zunutze:
- Entweder gelangt er als Datei auf den Computer, die eine andere Malware – vorallem WORM_NUWAR.CQ, ein Massen-Mail-Wurm, der meistens Betreffzeilen mit Liebesthemen verwendet – hinterlegt. "The Miracle of Love," "My Perfect Love" und "A Bouquet of Love" sind nur einige Beispiele hierfür.
- Oder er schleicht sich als Dateianhang einer Spam-Mail ein. Diese Spam-Mail hat aktuelle Themen im Betreff, wie z.B. "230 Dead as Storm Batters Europe", die den Empfänger zum Öffnen verlocken sollen. Weitere Betreffzeilen können sein: "A Killer at 11, He's Free at 21 to Kill Again"; "British Muslims Genocide" und "U.S. Secretary of State Condoleeza Rice has Kicked German Chancellor Angela Merkel".
Für die Übertragung der E-Mail werden Social-Engineering-Techniken eingesetzt, wie z.B. Überschriften, die sich auf tagesaktuelle Geschehnisse beziehen oder Betreffzeilen mit Liebesthemen (z.B. zum Valentinstag). Damit sollen Benutzer dazu verleitet werden, den Anhang – ein Videoclip zum angekündigten Thema - zu öffnen. Die bösartigen Dateien verwenden Namen wie "full Clip.exe", "full Story.exe", "full Video.exe" oder "read More.exe".
Trotz der gebräuchlichen Verbreitungswege, die dieser Trojaner nutzt, handelt es sich laut Ivan Macalintal, Senior Threat Analyst bei Trend Micro, um einen einzigartigen Trojaner. "Das ist der erste Trojaner, der ein großes P2P- (Peer-to-Peer) Bot-Netzwerk erstellt. Üblicherweise verwenden Bot-Netze IRC (internet Relay Chat) als Befehls- und Steuermodul (C&C). Da diese IRC-basierten Bot-Netze aber immer leichter entdeckt werden können, scheinen die Malware-Programmierer nach neuen Techniken zu suchen."
Der Höchstand der Sturm-Wurm-Infektionen wurde am 22. Januar 2007 verzeichnet und nahm dann ab. Trend Micro empfiehlt Unternehmen und Privatanwendern Folgendes, um sich zu schützen:
- Sichern Sie Ihren Computer und/oder Netzwerk mit URL-Filtern, einer Rootkit-Suche und einer E-Mail-Suche.
- Als Systemadministrator können Sie Benutzer und Netzwerk schützen, indem Sie alle auf der SeiteTechnische Details zu TROJ_SMALL.EDW auf der Trend Micro Website unter Virenenzyklopädie aufgelisteten URLs sperren.
- Wenn Sie nicht über ausreichende URL-Filterfunktionen verfügen, sperren Sie säalle hier gelisteten URLs. Besuchen Sie nur Websites, die Sie kennen, und laden Sie keine Dateien von unbekannten Websites herunter.
- Öffnen Sie keine E-Mails oder Anhänge von unbekannten Absendern. Öffnen Sie keine ausführbaren Dateien (.exe) aus E-Mail-Anhängen.
- Um sicherzustellen, dass der Sturm-Wurm Ihren Computer nicht infiziert hat, führen Sie eine manuelle Suche mit Ihrem aktualisierten Trend Micro Produkt oder mit HouseCall, der kostenlosen Online-Suche von Trend Micro, durch. HouseCall finden Sie hier.
Weiter und aktualisierte Informationen zu der Bedrohung finden Sie in der Trend Micro Virenenzyklopädie.
Detaillierte Informationen zu Prävention und Säuberung finden Sie in den Trend Micro Lösungsinformationen.
