Oh,oh. Info

Ein besonders heimtückisches Virus ist derzeit im Internet unterwegs. Der Schädling mit dem Namen "ANTS" gibt nämlich vor, ein Antiviren-Programm mit dem gleichen Namen zu sein.

Angeblich handelt es sich bei der beigefügten Datei um die neueste Version des Programms "ANTS", mit dessen Hilfe man Viren vom Typ "Trojaner" aufspüren und beseitigen können soll. Wer allerdings die Datei ausführt, startet das Trojaner-Programm, das sich nunmehr selber an alle E-Mail-Adressen aus Ihrem E-Mail-Programm versendet.

Besonders dreist ist die Tatsache, dass der Autor der echten Antiviren-Software tatsächlich Andreas Haak heißt. So wird dem arglosen Anwender vorgegaukelt, es handele sich wirklich um ein Antiviren-Programm.

Falls Sie eine derartige E-Mail erhalten sollten, raten wir dringend, diese sofort ungeöffnet zu löschen. Andreas Haak arbeitet zurzeit an einem Programm, das den ANTS-Trojaner unschädlich machen soll.

Eine Viren-Warnung ist immer ein guter Anlass, den eigenen Computer wieder mal auf einen etwaigen Befall mit Viren jeglicher Art hin zu untersuchen. Zahlreiche Internet-Adressen, von denen Sie sich ein Viren-Suchprogramm überspielen können, hält COMPUTERBILD online in einer Übersicht für Sie bereit.


Internet-Adressen zum Thema:
Informationen von Andreas Haak zum ANTS-Virus
Viren-Suchprogramm-Übersicht bei COMPUTERBILD online

 Für Mutige ein Feldversuch:  
www.computerbild.de/dpa/meldungen/spruenge/intern/wid1542.htm

Geladen wird das Programm Rapid Key V1.3. Nach dem Start zum ausführen der Datei Rapid Key ändert sich die Anzeige und das Programm heißt plötzlich ANTS.

Welchen Schaden das Programm anrichtet kann ich noch nicht sagen. Ein Scan zeigt keine Trojaner an.

Habe aber meine Zweifel.
Gruß SF

Nachdem die Serverliste erstellt wurde, wird die Adressenliste erstellt. Dabei wird zuerst das Adressbuch von Outlook gescannt. Danach wird das Laufwerk C nach Dateien durchsucht, die eine der folgenden Bedingungen beim Dateinamen erfüllen:

*.php*
*.htm*
*.shtm*
*.cgi*
*.pl*

Die gefunden Dateien werden danach nach Mailadressen hin untersucht, die dann der Adressenliste hinzugefügt werden.

Sollte auch das erledigt sein, beginnt der Wurm sich selbst zu verschicken. Zuerst wird getestet ob eine Netzwerkverbindung verfügbar ist. Falls ja, beginnt das "Weiterversenden". Dazu kopiert er sich kurzzeitig in die Datei "c:\ants3set.exe". Danach wählt er zufällig einen Server aus der Liste aus.
Je nachdem ob es sich bei dem ausgewählten Server um einen der "mitgelieferten" anonymen oder um einen aus der Registry ermittelten handelt agiert der Wurm anders.

Sollte es sich um einen anonymen Server handeln, wird der Absendername auf "Andreas Haak" und Absender- sowie die Antwortadresse auf "webmaster@avnetwork.de" gesetzt. Sollte es sich nicht um einen anonymen Server handeln, wird der Absendername zwar ebenfalls auf "Andreas Haak" gesetzt, die Absender- und die Antwortadresse wird dagegen durch die zum
SMTP-Server passende ersetzt, da sonst die Gefahr bestünde, daß die Mail zurückgewiesen wird.

Danach die "Nachricht" verfasst, so daß sie folgender Maßen aussieht:

Mail-Titel: ANTS Version 3.0
Mailtext:
"Hi,

Anhängend die neue Version 3.0 von ANTS, dem bislang einzigartigen
kostenlosen Trojanerscanner. Zum installieren einfach die angefügte Datei
ausführen.

Attached you will find the brand new Version 3.0 of ANTS, the unique
freeware trojan scanner. To install ANTS simply run the attached setup file.

Adieu, Andreas
webmaster@avnetwork.de
www.ants-online.de"

Danach wird die Datei angehängt. Sie heißt immer ANTS3SET.EXE. Zu guter letzt trägt der Wurm die Empfänger der Mail ein. Dabei werden alle aus der Adressenliste ins Feld "BCC:" eingetragen. Der erste der Adressenliste landet in "To:". Das Verhalten ist in so fern "intelligent", da der Virus
durch das versenden von nur einer Mail quasi hunderten von Leuten die infizierte Datei zuschickt.

Als letztes wird die Mail abgeschickt. Nachdem sie abgeschickt wurde, wird die Datei "C:\ants3set.exe" wieder gelöscht. Zudem wird ein Timer aktiv, der dafür sorgt, daß die Prozedur des Versendens in 5 Minuten wiederholt wird.


Zur Verbreitung:
Derzeit ist der Wurm innerhalb von wenigen Stunden weltweit gesichtet worden. Einige große Firmen scheinen den Wurm auch erhalten zu haben und sind mitunter bereits infiziert. Dazu gehören z.B.

Telekom
Microsoft
Activision
3dfx
Intel
IBM
Corel

Dadurch das der Wurm die Adressen aus den HTML-Dateien auf dem Laufwerk C nutzt ist zu erwarten, daß eine sehr schnelle "Streuung" geben wird. Da einige Hersteller ihre Programme mit HTML Anleitungen liefern oder Anleitungen in Form von HTML verfügbar sind, werden darin enthaltene Adressen ebenfalls für die Ausbreitung verwendet.


Entfernung:
Ich habe eine spezielle Version von ANTS zur Verfügung gestellt:

Deutsche Version
Englische Version

Quelle T-Online.de