Leider gar nicht putzig:

Hier die Kurzzusammenfassung:

Name:
W32/Beagle.A@mm
Alias:
I-Worm.Bagle [Kaspersky], WORM_BAGLE.A [Trend]
In Umlauf seit:
18.01.2004
Betroffene Betriebssysteme:
Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Verbreitung:
E-Mail
Absenderangabe:
Der Virus fälsch die Absenderadresse in dem er eMailadresse in Dateien auf C: sucht, damit
das eMail so aussieht, als käme sie von einer bekannten Person.
Betreff/Subject:
"Hi"
Nachricht:

"Test =)
[zufällige Zeichen]
--
Test, yep. "

Anhang:

randomname.exe 16 Kbytes

Die angehängte Datei hat das Symbol des bekannten Windows-Taschenrechners.
Der Wurm ruft den Taschenrechner absichtlich als Tarnung auf.

Symptome:
W32/Bagle-A kopiert sich in bbeagle.exe im Windows-Systemordner und erstellt den folgenden Registrierungseintrag,
damit der Wurm bei der Anmeldung gestartet wird:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\d3dupdate.exe
Der Wurm erstellt außerdem die folgenden Registrierungseinträge:

HKCU\Software\Windows98\uid
HKCU\Software\Windows98\frun
W32/Bagle-A verfügt über eine Backdoor-Komponente, die am TCP Port 6777 wartet. Dadurch kann ein Angreifer beliebig Programme auf dem infizieren Computer ausführen.

Zu beachten ist, dass sich W32/Bagle-A nicht aktiviert, wenn das Systemdatum der 28. Januar 2004 oder später ist.

Schaden: E-Mail-Versand

Gegenmittel:

Es sind diesbezüglich im Augenblick keine Removaltools erhältlich. Allerdings
läßt der Virus sich durch ein aktualisiertes Antivirusprogramm entfernen!

Info:

http://www.symantec.com/avcenter/venc/data/w32.beagle.a@mm.html
http://www.sophos.de/virusinfo/analyses/w32baglea.html
http://www.pandasoftware.com/virus_info/encyclopedia/overview.aspx?idvirus=43789
http://www.norman.com/virus_info/w32_bagle_a_mm.shtml?menulang=de

Nach einem sehr spannenden Abend im rhiz und nur zwei Stunden Schönheitsschlaf bin ich wieder im Dienst.

Wundersamerweise ist es aber heute gar nicht mal so schlimm. Das liegt vielleicht an der Umarmung und dem Frühstück heute morgen, oder an den Mondphasen.

Auf jeden Fall genieße ich diese erfreuliche Abwechslung.

Sollten Sie folgende Symptome auf Ihrem Rechner vorfinden, so sind Sie betroffen:

-Internetexplorer lädt sehr lange eine Seite, wenn Sie während des Vorganges auf "Aktualisieren" klicken, bleibt der Vorgang hängen und eine weisse Seite erscheint.

-Im Taskmanager finden Sie folgenden Prozeß: "sp.exe"

- Ihr Browser (nur Internet Explorer) scheint ständig andere Websites "mitzuladen" die kurz aufblitzen und dann nicht mehr erscheinen. (kann sich auch in seltsamen Pop-Up-Fenstern äußern)

- Sie werden beim Surfen immer wieder auf eine Seite mit folgender Suchmaschine geleitet: 'Coolwebsearch' (CWS)

Hierbei handelt es sich um ein seit Mai 2003 auftretendes "Hijacking" oder Entführen auf andere Webseiten.

Falls Sie betroffen sind:

hier finden Sie Hilfe.

Auch als PDF