Wurm Mytob.PK

Verbreitung: *****
Schaden: *****

Der Wurm Mytob.PK ist unterwegs. Der Wurm versteckt sich im Anhang einer E-Mail, die behauptet, der aktuelle E-Mail-Zugang wäre vom Provider deaktiviert worden. Nähere Angaben zu dieser E-Mail können Sie angeblich der im Anhang befindlichen Datei entnehmen. Und das ist natürlich gelogen.
Wird die sich im Anhang befindende Datei durch einen Doppelklick geöffnet, erhält man keine Informationen über den deaktivierten E-Mail-Account. Stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: Email Account Suspension

Dateianhang: account-details

Größe des Dateianhangs: 56.832 Bytes.

E-Mail-Text: „Dear user %username from receivers email address%”.

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Wird der Anhang ausgeführt, kopiert sich der Wurm unter folgenden Dateinamen in das Windows-Systemverzeichnis:
• %SYSDIR%rnathchk.exe

Folgende Einträge in der Windows Registry werden angelegt:

– [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun Services]
• "RealPlayer Ath Check"="rnathchk.exe"

– [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
• "RealPlayer Ath Check"="rnathchk.exe"

– [HKCUSoftwareMicrosoftWindowsCurrentVersionRun]
• "RealPlayer Ath Check"="rnathchk.exe"

Folgende Registry-Schlüssel werden hinzugefügt:

– [HKCUSoftwareMicrosoftOLE]
• "RealPlayer Ath Check"="rnathchk.exe"

– [HKCUSYSTEMCurrentControlSetControlLsa]
• "RealPlayer Ath Check"="rnathchk.exe"

– [HKLMSOFTWAREMicrosoftOle]
• "RealPlayer Ath Check"="rnathchk.exe"

– [HKLMSYSTEMCurrentControlSetControlLsa]
• "RealPlayer Ath Check"="rnathchk.exe"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!