Wurm gibt sich als WGA-Dienst aus

Ein Wurm verbreitet sich als vorgebliches Microsoft-Programm über den AOL Instant Messenger.
Der Antivirus-Hersteller Sophos warnt vor einem Wurm, der sich als das Anti-Piraterie-Programm von Microsoft ausgibt. Er verbreitet sich unter der Maske von Microsofts Windows Genuine Advantage (WGA) über den AOL Instant Messenger (AIM). Microsoft war wegen seines WGA-Tools in den letzten Wochen heftiger Kritik ausgesetzt.

Wird der von Sophos als Cuebot-K bezeichnete Wurm erstmals ausgeführt, kopiert er sich als "wgavn.exe" in das Systemverzeichnis von Windows und erstellt im Windows-Verzeichnis die Datei "Debug\dcpromo.log". Er legt einen neuen Systemdienst mit der Bezeichnung "wgavn" an, der in der Systemsteuerung als "Windows Genuine Advantage Validation Notification" mit dem Starttyp "automatisch" erscheint. Er wird beim Start von Windows automatisch geladen.


Durch Anlegen oder Ändern von Registry-Einträgen werden Sicherheitsprogramme deaktiviert, etwa die Windows-Firewall. Der Dienst öffnet eine Hintertür ins System, durch die Angreifer über das Internet auf den PC zugreifen und die Kontrolle übernehmen können. Die Steuerung erfolgt über IRC (Internet Relay Chat). Befallene Rechner können auf diese Weise Teil eines Botnets werden.