Roron: Neuer Wurm kommt via Mail, Lan & KaZaA

Der russische Antiviren-Spezialist Kaspersky Labs warnt vor dem neun Internet-Wurm Roron. Dieser wurde in Bulgarien entwickelt und verbreitet sich über Mail-Programme, lokale Netzwerke sowie die Internet-Tauschbörse KaZaA. Bislang wurden bereits sechs Modifikationen des Wurms ausfindig gemacht, die vor allem in Russland, den USA und einigen europäischen Ländern für Infektionen gesorgt haben.

Der Wurm-Code besteht aus einer 120 KB großen Windows-Datei und verfügt über zahlreiche besonders destruktiver Spionage-Funktionen – darunter eine Backdoor-Funktion. Infiziert wird ein System aber nur dann, wenn der User selbst die Trägerdatei startet. Dabei erstellt Roron im Windows-Systemverzeichnis und in einigen Programmdateien Kopien und registriert eine dieser Dateien im Registrierschlüssel des Systemregisters. Somit wird die Maleware bei jedem Neustart des Betriebssystems ausgeführt.

Versand per Mail
Per Mail versandt wird Roron unter zufällig ausgewählten Namen und Inhalten – und zwar an alle auf einen Computer verfügbaren Adressen. Um sich in lokalen Netzwerken zu verbreiten, sucht der Wurm nach gemeinsam genutzten Verzeichnissen, für welche ein uneingeschränkter Zugang besteht. In diese nistet er sich mit zufällig ausgewählten Dateinamen ein. Ähnlich geht der Virus im Filesharing-Netzwerk KaZaA vor: Roron sucht nach dem KaZaA-Verzeichnis und schreibt seine Kopie dort hinein. Andere User können sich somit beim Download einer infizierten Datei selbst infizieren.

Backdoor-Funktion
Der Wurm istalliert zudem Backdoor-Funktion, die es Hackern erlaubt, von außen in Systemabläufe einzugreifen und gezielte DoS-Attacken durchzuführen. Roron kann außerdem alle Dateien von Computer-Laufwerken entfernen. Eine Aktivierung erfolgt jeweils am 9. und 19. jeden Monats, wenn mit WINFILE.DLL nur eine der Hauptkomponenten des Wurms gelöscht wird - oder wenn die Registrierschlüssel des Wurms aus dem Windows-Systemverzeichnis entfernt werden. Zudem sucht der Wurm nach Antiviren-Programmen und versucht, diese auszuschalten und zu deinstallieren. Gefährdet sind laut Kaspersky Labs die Anwender von Windows 95, 98, NT, 2000, XP und ME.

Weitere Informationen: