Es ist mal wieder soweit, das ein IRC wurm durch die Lande schreitet.

Er hat folgende Merkmale:
+ Im task Manager -> Prozesse ist eine 2. mirc.exe zu sehen, obwohl nur ein IRC offen ist. Einige User sagen ebenfalls, das auf einmal im Windows Ordner sich eine 2. Mirc Exe befindet.
+ Der Microsoft Internet Explorer funktioniert nicht mehr
+ Der Wurm postet eine URL in die Channels ohne das der User es merkt.



Der Wurm lässt den User Sachen schreiben wie:
***ACHTUNG*** Anklicken dieser URL nur auf eigene Gefahr ***ACHTUNG***

h**P://angelashp.funpic.de <- geht die kla oda was ? Oo
h**p://sybillespage.funpic.de <- booaar ugly Oo

***ACHTUNG*** Anklicken dieser URL nur auf eigene Gefahr ***ACHTUNG***

Ich gehe davon aus, das sich die URL nach jedem Restart des Rechners ändert, d.h. der Name vor dem funpick:
h**p://ändertsich.funpic.de

Da ich mich realtiv sicher fühle, durch mein Norton, habe ich mal versuchsweise auf die URL gekriegt (nein ich bin nicht verrückt).
Mein Gefühl war auch diesmal richtig und mir ist bisher nichts passiert. Was ich allerdings sehen kann beim klicken dieser URL ist ein FTP auf dem Bilder liegen, die sich da nennen IMG0001.gif bis IMG0005.gif.

Die Bilder kann man sich allerdings nicht ansehen, klickt man auf eins, will der IE das Bild auf dem Rechner speichern als Dateityp steht bei mir: Eine Anwendung für MS-Dos ( Nein das habe ich mich natürlich nicht getraut ).Es könnte natürlich auch daran liegen das ich Win2k habe und der Wurm nur XP angreift, da ein Kollege auch Norton 2005 hat, jedoch sich den Wurm einfangen konnte.

Zudem kann es ebenfalls gut möglich sein, das dieser Wurm eure Remote Dateien herrumschickt um so an die Auth Passwörter der User zu gelangen ( Ich kenne eine Person, die ihr PW in der Remote stehen hatte, so einen link geklickt hat und den Rest kann man sich denken).

Wenn jemand eine Lösung weiß für dieses Problem, bitte hier Posten.

Hier mal ein Screenshot von dem FTP:

Bitte entschärfe die URLs so, dass sie nicht klickbar sind, also z.B. h**p://bkajshdfkjash

Da ich mich realtiv sicher fühle, durch mein Norton, habe ich mal versuchsweise auf die URL gekriegt (nein ich bin nicht verrückt).

Norton ist nicht gerade berühmt für seine Zuverlässigkeit!

Was ich allerdings sehen kann beim klicken dieser URL ist ein FTP auf dem Bilder liegen, die sich da nennen IMG0001.gif bis IMG0005.gif.

Imho sieht das nur aus wie ein FTP-Verzeichnis. Die Links wie IMG0001.gif führen zu Dateien wie IMG0001.pif.

http://virusscan.jotti.org/ bringt keine konkrete Meldung, nur "MIGHT BE INFECTED/MALWARE (Sandbox emulation... "

Ist aber sicher Malware!

Gruß
Yopie

Kaspersky erkennt ihn jetzt lt. Jotti.

Kaspersky Anti-Virus Found IRC-Worm.Win32.VB.d

Alle anderen Fehlanzeige.

Die Seiten sind mittlerweile vom Netz.

Gruß
Yopie