W32/Zotob.A

Beim Netzwerkwurm Zotob handelt es sich um einen "Verwandten" des Wurms Mytob [1]. Zotob verbreitet sich nicht via E-Mail, sondern nutzt eine Sicherheitslücke aus, die in ungepatchten Systemen mit Windows 2000 und XP gefunden wurde. Der Patch zum Stopfen der Lücke ist seit dem 10. August 2005 verfügbar. Er lässt sich via Windows-Update oder per direktem Download [2] installieren.

Diese erste Variante von Zotob installiert sich mit dem Dateinamen botzor.exe in den Windows-Systemordner (andere Varianten dieses Wurms werden ev. andere Dateinamen verwenden). Um sicherzustellen, dass er bei jedem Systemstart geladen wird, trägt er sich in diesen beiden Registry-Zweigen ein:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

Beidesmal mit dem Wert: "WINDOWS SYSTEM" = "botzor.exe"

Zusätzlich ändert einen Wert in diesem Registry-Eintrag:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess

Den Eintrag "Start" ändert er hier vom Wert "3" auf "4"

Um sich weiterzuverbreiten, durchsucht er das Netzwerk nach PCs, die über den TCP-Port 445 erreichbar sind. Wird er fündig, prüft der Wurm, ob die Sicherheitslücke vorhanden und der PC angreifbar ist. Wenn der Wurm Erfolg hat, startet er unter Port 8888 eine Command-Shell. Über diese schickt er ein FTP-Script zum PC seines zukünftigen Opfers und führt dieses Script dort aus. Dieses Script enthält die Anweisung, den Wurm mit dem Dateinamen haha.exe vom angreifenden PC herunter zu laden. Auf allen infizierten PCs horcht unter Port 33333 ein FTP-Server, der darauf wartet, den Wurm an weitere Systeme auszuliefern, die gerade infiziert werden.

Der Wurm versucht sich mit einem IRC-Kanal (Internet Relay Chat) zu verbinden. Ein Angreifer, der das Passwort des Kanals kennt, kann den dort auf Befehle wartenden Bot anweisen, Informationen über den infizierten PC zu liefern, Dateien herunter zu laden und auszuführen, den Wurm vom System zu entfernen und Sicherheitseinstellungen auf dem infizierten PC zu ändern.

Damit es für infizierte PCs schwerer wird, an Sicherheits- und Antivirus-Updates zu kommen, schreibt er mehrere Domains in die Datei namens Hosts, die normalerweise in C:\WINNT\system32\drivers\etc\ oder C:\Windows\System32\drivers\etc\ liegt. Indem er mit diesem Trick diese Adressen auf die lokale IP-Adresse 127.0.0.1 umbiegt, sind die Adressen nicht mehr auf herkömmlichem Weg erreichbar:

avp.com

ca.com

customer.symantec.com

dispatch.mcafee.com

download.mcafee.com

ebay.com

f-secure.com

kaspersky.com

kaspersky-labs.com

liveupdate.symantec.com

liveupdate.symantecliveupdate.com

mast.mcafee.com

mcafee.com

microsoft.com

moneybookers.com

my-etrust.com

nai.com

networkassociates.com

pandasoftware.com

paypal.com

rads.mcafee.com

secure.nai.com

securityresponse.symantec.com

sophos.com

symantec.com

trendmicro.com

updates.symantec.com

update.symantec.com

us.mcafee.com

viruslist.com

virustotal.com

www.amazon.com

www.avp.com

www.ca.com

www.ebay.com

www.f-secure.com

www.grisoft.com

www.kaspersky.com

www.mcafee.com

www.microsoft.com

www.moneybookers.com

www.my-etrust.com

www.nai.com

www.networkassociates.com

www.pandasoftware.com

www.paypal.com

www.sophos.com

www.symantec.com

www.trendmicro.com

www.virustotal.com

Zusätzlich fügt er folgende "Grussbotschaft" in die Hosts-Datei ein:

"Botzor2005 Made By .... Greetz to good friend Coder. Based On HellBot3

MSG to avs: the first av who detect this worm will be the first killed in the next 24hours!!!"

Alle uns bekannten Antivirus-Hersteller haben inzwischen Signaturen bereitgestellt, um den Wurm zu erkennen und zu beseitigen. Infos finden Sie auch z.B. bei F-Secure [3] oder McAfee [4].

Symantec hat ein Beseitigungs-Tool bereitgestellt. Bevor Sie aber den Wurm entfernen, sollten Sie auf dem infizierten System den erwähnten Patch installieren, sonst steckt sich das System sofort wieder an (siehe Microsoft-Link).

Laden Sie danach das Zotob-Beseitigungs-Tool [5] herunter. Melden Sie sich auf dem PC als Administrator an bzw. als Benutzer mit Administrator-Rechten. Trennen Sie das System vom Netzwerk. Starten Sie das heruntergeladene Programm FixZotob.exe und klicken Sie darin auf Start, um mit dem Beseitigungsprozess zu beginnen. Wenn fertig, starten Sie den PC nochmals neu und führen Sie das Programm ein zweites Mal aus, um sicher zu stellen, dass der Wurm weg ist.

Verbinden Sie den PC wieder mit dem Netz und führen Sie ein Windows-Update durch, um allenfalls noch fehlende, andere Patches zu installieren. Scannen Sie Ihre Festplatte zusätzlich mit einem frisch aktualisierten Virenscanner.

Auch McAfees Reparaturprogramm Stinger [6] sowie Microsofts "Windows-Tool zum Entfernen bösartiger Software" [7] können in der neusten Version den Zotob-Wurm beseitigen. Das Vorgehen ist gleich wie bei jenem von Symantec.