W95.Babylonia

Als Hilfe-Datei getarnt, wurde Babylonia unter dem Namen "SERIALZ.HLP" in einer UseNet Newsgroup gefunden. Im Help-File selbst liegt schon der voll funktionsfähige Virus. Wird er gestartet, kopiert er eine Datei mit dem Namen Babylonia.exe auf die Festplatte, die er anschliessend ausführt und als Kernel32.exe in den Windows-Ordner kopiert. Durch eine Registry-Manipulation sorgt er dafür, dass diese Datei bei jedem Windows-Start geladen wird.

Führt der Benutzer auf einem infizierten Computer Dateien mit Endung HLP oder EXE aus, werden diese umgehend infiziert. Verbreiten tut sich Babylonia über MIRC und E-Mail. Die an jede ausgehende Mail angehängte Dateibeilage heisst für gewöhnlich X-MAS.EXE. W95.Babylonia prüft in regelmässigen Abständen, ob eine Internetverbindung besteht und versucht sich selber von einer japanischen Webseite mit Updates zu versehen, die weitere Verbreitungsmechanismen enthalten. Die Webseite wurde aber inzwischen stillgelegt.

Auch wenn er ausser einer hartnäckigen Infektion und der leider erfolgreichen Verbreitung keine eigentliche Schadensfunktion hat, könnte er alsbald die Grundlage für weitere bösartige "Erfindungen" werden. Wie der Virendoktor des österreichischen Antivirus-Herstellers Ikarus [1] informiert, sollten Sie in Ihrem Virenscanner bei den ausführbaren Dateien jene mit Endung HLP hinzufügen und keine Dateien mit dem Namen X-MAS.EXE öffnen.