Virus im Trojanerscanner "Ants" verbreitet sich

rasend schnell.
Wurm gibt sich als "Ants 3.0" aus Viren-Schläfer im eigenen System

Internet- und Virenexperten sind beunruhigt. Nach "Redesi", der als Sicherheits-Patch daher kommt, tarnt sich nun ein Wurm als Update des Trojaner-Scanners Ants. Ob er nur für Verwirrung sorgen oder Rechner nach Sicherheitslücken ausspionieren soll, ist noch immer offen. Soviel ist sicher: Seit Dienstag häufen sich Mails, die im Anhang angeblich Ants 3.0 enthalten sollen, tatsächlich aber einen Wurm beinhalten.
Mail mit falschem Absender
Die Software Ants ist Freeware und wird allgemein zum Scannen von Dateianhängen genutzt. Als angeblicher Absender der Mail wird Andreas Haak angegeben. Haak ist der Autor von Ants. Diese Absenderangabe ist gefälscht. Der Dateianhang heißt "ants3set.exe". Er sollte auf gar keinen Fall geöffnet werden.

Wurm nutzt eigenes Mail-Protokoll
Nach Angaben der Website "Trojaner-Info" durchsucht der Wurm die Festplatte nach Mailadressen und verschickt sich eigenständig. Dabei greift der Schmarotzer nicht auf ein Mailprogramm zurück, sondern verfügt über ein eigenes Protokoll zum Verschicken von eMails. Das macht ihn besonders gefährlich.

Schläfer auf der Festplatte
Einmal installiert, tarnt sich der Wurm geschickt im Dateien-Dschungel des Rechners. Wie der Autor von Ants in einer ersten Analyse mitteilte, ist höchste Vorsicht geboten. Noch ist nicht bekannt, was der ungebetene Gast im System eigentlich sucht. Einmal infiziert "sendet" ants3set.exe nach jedem Neustart, und lässt sich nur schwer vom Rechner vertreiben.

Auch wenn die Info alt sein mag besser zweimal als keinmal.

Gruß Borgling

URL: www.spiegel.de/netzwelt/technologie/0,1518,164458,00.

Haaks Hilferuf

"Ich bin nicht der Verfasser des ANTS-Virus"

Mit "ANTS Version 3.0" verbreitet sich ein
Wurm im Web, der auf eine perfide Taktik
setzt: Verschickt wird er im Namen von
Andreas Haak, Autor des Trojaner-Schutztools
ANTS 2.0. Der fühlt sich persönlich
angegriffen. Inzwischen laufen erste Anzeigen
gegen ihn.

Die Taktik ist so
rufschädigend wie effizient:
Diese E-Mail sieht wirklich
nicht aus wie ein Virus.

   "Hi,
   Anhängend die neue
   Version 3.0 von ANTS,
   dem bislang einzigartigen kostenlosen
   Trojanerscanner. Zum installieren einfach die
   angefügte Datei ausführen."

Die Nachricht wird noch einmal auf Englisch
wiederholt - und dann ist sie sogar
"unterzeichnet": "Adieu, Andreas", steht da, und
"webmaster@avnetwork.de".

Genau in dieser Hinsicht ist ANTS 3.0 anders als
andere Viren-E-Mails. Denn der Name und die
Adresse des angeblichen Absenders sind echt. Und
weil unter dem Text und über dem Attachment ein
Link zur Website angegeben ist, hat man das auch
schnell überprüft: Haak ist tatsächlich Autor eines
Programmes namens ANTS - und das ist, wie die
Mail behauptet, ein Tool gegen Trojaner.
Spätestens an diesem Punkt fällt der Klick leicht:
Glaubwürdiger ist kein Virus dahergekommen in
den letzten zwei Jahren. Einziger Unterschied in
der Benennung: Haaks Produkt liegt erst in der
Version 2.0 vor - Version 3 ist das Virus, das ihm,
wie er versichert, untergeschoben wurde.

Das ist clever, ziemlich subtil und ganz schön link:
Dementsprechend schnell verbreitet sich das Virus
auch. Erste Virensendungen erreichten SPIEGEL
ONLINE bereits am Mittwochabend gegen 21 Uhr.

Persönlich angegriffen fühlt sich der angebliche
Versender des Virus, Andreas Haak: "Ich sehe den
Wurm als Anschlag auf meine Person und auf
ANTS." Er gehörte - eine Frage der Ehre - zu den
Ersten, die auch kostenfrei ein Tool anboten, um
den Trojaner auszufiltern. Was die Aktion von
einem möglichen "virtuellen Racheakt" am Ende
doch noch zu einer Werbeveranstaltung für ANTS
werden lassen könnte.

Weil seine echte E-Mail-Adresse als Absender
genannt ist, nahm er durch die "Mail
geöffnet"-Bestätigungen früh wahr, was los war. Er
setzte sich an den Rechner, begann das Virus zu
analysieren und betroffene Firmen zu warnen: "Das
hat Stunden gedauert." Sicher ist sich Haak, dass -
abgesehen von verstopften E-Mail-Accounts - keine
großen Schäden zu erwarten sind. "Es ist allerdings
so, dass das Virus mit der Zeit das
Windows-Verzeichnis zumüllt, weil es sich bei
jedem Neustart neu kopiert, ohne alte Dateien zu
löschen."

Irgendwann sei das Windows-Verzeichnis so voller
Datenmüll, dass nichts mehr gehe, aber "auch das
ist ja nichts Neues".

Inzwischen spürt Haak die ersten Wellen der Wut:
Nach seinen Angaben wurde er mittlerweile von
mehreren Personen angezeigt. Mit einem
"verzweifelten Hilferuf" wendet er sich derzeit an
die Presse, in dem er noch einmal versichert, nicht
der Autor des Virus zu sein. Nach dem Wurm, der
sich lawinenartig im Web verbreite, drohe ihm nun
eine "Anzeigenlawine", sagt Haak.

Im Schadensfall

Das Virus vervielfältigt sich selbst und versendet
sich, indem es auf Adressen zurückgreift, die es
dem Outlook-Adressbuch entnimmt (so
vorhanden). Das Virus verschickt sodann nur eine
E-Mail, die allerdings neben dem eigentlichen
Adressaten an zahlreiche "BCC"-Empfänger geht.
Das ist geschickt: Selbst wer sich durch ein
Monitoring-Tool vor Trojaner-Aktivität warnen lässt,
wird diesen wohl kaum bemerken.

Das bekamen Mitarbeiter einiger Großunternehmen
in Deutschland bereits zu spüren, wie
beispielsweise bei der Telekom oder bei Microsoft.
Auch die Virenschutz-Software-Entwickler stellen
mittlerweile Patches zur Verfügung.

blau.ariva.de/board/...1&a=all&showthread=1&nr=85847&search=&1