W32/Zuggie-A - Wurm installiert sich als Browser-Erweiterung

Da GuRu

Ein Wurm, der sich per Mail und über P2P-Netze verbreitet, installiert eine Erweiterung / BHO (Browser Helper Object) in Firefox und Google Chrome, die Suchanfragen abfängt und umleitet.
Würmer, wie z.B. Spybot.AKB, die ein Add-on in Firefox oder Chrome installieren, haben eher noch Seltenheitswert.

Der Antivirushersteller Panda Security berichtete über den Wurm, der Mails mit einen vorgeblichen Twitter-Einladung verschickt. Mails mit einem Betreff wie "Your friend invited you to Twitter!" enthalten einen Anhang namens "Invitation Card.zip". Darin steckt eine EXE-Datei, die auf den ersten Blick als JPG-Bild erscheint. Nach dem ersten Namensteil "document.jpg" folgen etliche Leerzeichen und erst dahinter die entscheidende Endung ".exe".

Wird die Datei geöffnet und ausgeführt, installiert sie eine Browser-Erweiterung - bei Firefox heißt sie "Firefox security 2.0" und leitet bestimmte Suchanfragen auf Websites um, die weitere Malware enthalten können. Die Liste der Suchbegriffe reicht von Airlines und Antivirus bis Wallpaper und Weather. Diese Websites sind inzwischen nicht mehr erreichbar.

Bei Chrome gibt es sich als Google Buzz aus.

Der Schädling deaktiviert die Benutzerkontensteuerung (UAC) von Windows 7 und Vista und das Ereignisprotokoll. Er trägt sich in der Registry zum automatischen Laden bei jedem Windows-Start ein und in der Firewall-Konfiguration als freigegebenes Programm. Bei Sophos ist der Schädling als W32/Zuggie-A bekannt.