Virus.MSWord.Afeto

Technische Details

Dies ist ein Internet-Wurm, der sich mithilfe von Microsoft Outlook per E-Mail verbreitet. Dieser Wurm ist ein in VBA geschriebenes Word-Makroprogramm (die Makrosprache für Microsoft Office).

Wenn ein infiziertes Dokument geöffnet wird, wird der Wurm-Makro mit contorl versehen, scannt alle lokalen Laufwerke und sucht nach einer JPG-Datei mit weniger als 50.000 Bytes. Die erste gefundene Datei wird dann in ein aktives Dokument eingefügt (aktuell infiziertes Dokument). Der Wurm erstellt dann neue Nachrichten und sendet sie. Für die ersten acht Nachrichten im Ordner "Gesendete Objekte" von MS Outlook werden neue Nachrichten erstellt. Die Nachrichten werden nach folgenden Regeln erstellt:

• Als Adresse im Feld "An:" setzt der Wurm die Adresse aus einer Nachricht im Ordner "Gesendete Objekte"
• Als Subject- und Body-Nachricht werden das Subjekt und der Body von der nächsten Nachricht im Ordner "Gesendete Objekte" festgelegt
• Ein aktives Dokument mit dem Wurmkörper wird an die Nachricht angehängt

Der Ordner "Gesendete Objekte" enthält beispielsweise die folgenden Nachrichten:

Nachricht 1

An: name1@domen1.com
Betreff: Hallo!
Text: Erinnerst du dich an mich?

Nachricht 2

An: Adresse2@host2.com
Thema: Auf Wiedersehen.
Text: Heute gehe ich …

Nachricht 3

An: nick3@server3.com
Thema: Nachrichten.
Text: Gute Neuigkeiten. …

Ausgehende Nachrichten (im Ordner "Postausgang") mit einem Wurm erscheinen auf folgende Weise:

Nachricht 1

An: name1@domen1.com
Thema: Auf Wiedersehen.
Text: Heute gehe ich …

Nachricht 2

An: Adresse2@host2.com
Thema: Nachrichten.
Text: Gute Neuigkeiten.

Nachricht 3

An: nick3@server3.com usw
…
Anhängen: Infiziertes Dokument

Ein infiziertes Dokument enthält eine JPEG-Datei, die vom Wurm ausgewählt wurde, sowie ein Wurm-Makro-Programm.

Auf diese Weise sendet der Wurm eine infizierte Nachricht an die ersten acht Empfänger, deren Adressen im Ordner "Gesendete Objekte" gefunden wurden. Aber in vielen Fällen bricht der Wurm vertrauliche Korrespondenz.