Die Panda Software Labs haben den ersten Wurm entdeckt, der die Microsoft Schwachstelle mit der Bezeichnung MS06-040 ausnutzt. Oscarbot.KD, so die Bezeichnung des neuen Schädlings, sucht nach Systemen welche die Sicherheitslücke noch nicht geschlossen haben und verursacht auf den entsprechenden Systemen einen Buffer Overflow, führt den Code auf der Maschine aus, lädt eine Kopie mit der Bezeichnung wgareg.exe herunter und startet diese. Ebenso kann sich Oscarbot.KD mit Hilfe des AOL Messengers verbreiten oder freigegebene Netzlaufwerke nutzen.
Sobald eine Infektion stattgefunden hat, öffnet der Wurm den Port 18067 und verbindet sich mit verschiedenen IRC Servern. Hierüber können Hacker mit dem Wurm kommunizieren und u.a. diverse Dateien auf das befallene System herunterladen sowie Angriffe gegen weitere Computer starten.
Oscarbot.KD erstellt Services mit den Namen „wgareg“ oder „wgavm“. Diese Services sollen den Benutzern vortäuschen, dass es sich hierbei um Windows Software Authentification Services handelt, welche die Echtheit des genutzten Betriebssystems überprüfen. Die Bezeichnung dieser Services kann unter anderem wie folgt lauten: „Windows Genuine Advantage Registration Service“ oder „Windows Genuine Advantage Validation Service Monitor“. Der erläuternde Text weist den Nutzer in englischer Schrift darauf hin, dass die Beendigung dieses Services eine Instabilität des Systems zur Folge haben kann.
Abschließend editiert der Wurm eine Reihe von Registry Einträgen um die Windows-interne Firewall abzuschalten.
„Es war nur eine Frage von Tagen bevor der erste schadhafte Code diese Schwachstelle (MS06-040) ausnutzen würde. Wie immer sollten die Nutzer darauf achten die, von Microsoft bereitgestellten, Patches zeitnah zu installieren und dass die eingesetzte Sicherheitslösung auf dem neuesten Stand ist. Soweit vorhanden sollten proaktive Technologien zur Abwehr unbekannter Bedrohungen eingesetzt werden, die Ihre Leistungsfähigkeit bereits mehrfach unter Beweis stellen konnten“ erläutert Louis Corrons, Leiter der Panda Software Labs.
Die proaktiven Technologien von Panda Software, die TruPrevent Technologies, entdeckten den Wurm anhand seines Verhaltens und meldeten Vorfälle auf der ganzen Welt ohne dass dieser Schädling bis dato in Erscheinung getreten wäre. „Dieses Netzwerk an weltweiten Systemen, ausgestattet mit den revolutionären Technologien zur verhaltensbasierten Erkennung von schadhaften Codes, zeigte uns, dass bereits zahlreiche Systeme attackiert werden und man davon ausgehen kann, dass die Summe der infizierten PCs in den nächsten Stunden oder Tagen ansteigt. Von einer Epidemie oder einem massiven Virenausbruch möchten wir jedoch aufgrund der gesammelten Informationen nicht sprechen“ erläutert Markus Mertes, Direktor Marketing bei Panda Software.
Die, von Microsoft als MS06-040 bezeichnete, Schwachstelle betrifft Windows 2003, XP und 2000 Systeme und kann durch die Installation des Patches auf der folgenden Webseite behoben werden:
http://www.microsoft.com/...
Panda Software Kunden mit dem integrierten Intrusion Prevention System „TruPrevent“ waren von der ersten Sekunde an gegen den neuen Schädling geschützt. Nutzer ohne diese Technologien können den kostenfreien Online-Virenscanner „Panda ActiveScan“ nutzen um Ihr System zu überprüfen und zu desinfizieren. Unter folgendem Link ist der kostenfreie Panda Software Service erreichbar: http://www.activescan.com
Für weitere Informationen:
Margarita Mitroussi
Presse@panda-software.de
Tel. +49 2065/961-320
Sobald eine Infektion stattgefunden hat, öffnet der Wurm den Port 18067 und verbindet sich mit verschiedenen IRC Servern. Hierüber können Hacker mit dem Wurm kommunizieren und u.a. diverse Dateien auf das befallene System herunterladen sowie Angriffe gegen weitere Computer starten.
Oscarbot.KD erstellt Services mit den Namen „wgareg“ oder „wgavm“. Diese Services sollen den Benutzern vortäuschen, dass es sich hierbei um Windows Software Authentification Services handelt, welche die Echtheit des genutzten Betriebssystems überprüfen. Die Bezeichnung dieser Services kann unter anderem wie folgt lauten: „Windows Genuine Advantage Registration Service“ oder „Windows Genuine Advantage Validation Service Monitor“. Der erläuternde Text weist den Nutzer in englischer Schrift darauf hin, dass die Beendigung dieses Services eine Instabilität des Systems zur Folge haben kann.
Abschließend editiert der Wurm eine Reihe von Registry Einträgen um die Windows-interne Firewall abzuschalten.
„Es war nur eine Frage von Tagen bevor der erste schadhafte Code diese Schwachstelle (MS06-040) ausnutzen würde. Wie immer sollten die Nutzer darauf achten die, von Microsoft bereitgestellten, Patches zeitnah zu installieren und dass die eingesetzte Sicherheitslösung auf dem neuesten Stand ist. Soweit vorhanden sollten proaktive Technologien zur Abwehr unbekannter Bedrohungen eingesetzt werden, die Ihre Leistungsfähigkeit bereits mehrfach unter Beweis stellen konnten“ erläutert Louis Corrons, Leiter der Panda Software Labs.
Die proaktiven Technologien von Panda Software, die TruPrevent Technologies, entdeckten den Wurm anhand seines Verhaltens und meldeten Vorfälle auf der ganzen Welt ohne dass dieser Schädling bis dato in Erscheinung getreten wäre. „Dieses Netzwerk an weltweiten Systemen, ausgestattet mit den revolutionären Technologien zur verhaltensbasierten Erkennung von schadhaften Codes, zeigte uns, dass bereits zahlreiche Systeme attackiert werden und man davon ausgehen kann, dass die Summe der infizierten PCs in den nächsten Stunden oder Tagen ansteigt. Von einer Epidemie oder einem massiven Virenausbruch möchten wir jedoch aufgrund der gesammelten Informationen nicht sprechen“ erläutert Markus Mertes, Direktor Marketing bei Panda Software.
Die, von Microsoft als MS06-040 bezeichnete, Schwachstelle betrifft Windows 2003, XP und 2000 Systeme und kann durch die Installation des Patches auf der folgenden Webseite behoben werden:
http://www.microsoft.com/...
Panda Software Kunden mit dem integrierten Intrusion Prevention System „TruPrevent“ waren von der ersten Sekunde an gegen den neuen Schädling geschützt. Nutzer ohne diese Technologien können den kostenfreien Online-Virenscanner „Panda ActiveScan“ nutzen um Ihr System zu überprüfen und zu desinfizieren. Unter folgendem Link ist der kostenfreie Panda Software Service erreichbar: http://www.activescan.com
Für weitere Informationen:
Margarita Mitroussi
Presse@panda-software.de
Tel. +49 2065/961-320
