Microsoft verschärft Online-Produktaktivierung

Zum Ende des Monats wird Microsoft die Produktaktivierung ausgewählter OEM-Versionen von Windows XP über das Internet deaktivieren. Kunden bleibt dann nur der Griff zum Telefon, um Windows XP dennoch zu aktivieren. Davon dürften vor allem Bestandskunden betroffen sein, die ihre Systeme stark verändern oder das Betriebssystem neu installieren. Damit soll die Verbreitung von Windows-XP-Raubkopien eingedämmt werden.

Der Grund für die Änderung der Aktivierungsgepflogenheiten soll darin liegen, dass trotz der mit XP eingeführten Zwangsaktivierung zunehmend OEM-Lizenzen einzeln in den Handel gelangen, obwohl diese üblicherweise nur mit einem PC vertrieben werden dürfen.

Betroffen von der Änderung, die zum 28. Februar eingeführt werden soll, sind vorerst nur OEM-Versionen, die von den 20 Top-OEM-Herstellern stammen. (26.02.05, Heise)

   Gefahr durch neue "Sober" Variante

Die Sicherheitsfirma MessageLabs warnt vor W32.Sober-K-mm, einer sich rasch verbreitende neuen Variante des Sober-Wurms.
So wurden allein in der ersten Stunde nach der Entdeckung bereits 663 Infektionen aufgezeichnet. Ursprung der neuen Bedrohung ist, wie schon bei den früheren Versionen, Deutschland, was in Zusammenhang mit der Tatsache, dass der Quellcode nicht öffentlich gemacht wurde, den Schluss nahe legt, dass der Autor identisch ist.
Der Wurm verschickt sich selbst als Attachement von E-Mail-Nachrichten und generiert je nach Empfängeradresse zufällige Betreffzeilen in Deutsch oder Englisch. Einige von MessageLabs vorgelegte Beispiele sind "Alert! New Sober worm", "Paris Hilton Sex Videos", "You visit illegal websites" and "Your new Password".
Einmal ausgeführt bildet der Wurm Programm-Dateien wie csrss.exe, smss.exe und winlogon.exe und trägt sich in die Registry ein. Unangenehmer Effekt ist neben überfüllten Postfächern die Möglichkeit von Performance-Einbussen infizierter Systeme. (22.02.05, testticker.de)

   Schon dieses Jahr: Internet Explorer 7

Wegen der hohen Konkurrenz aus dem Open-Source-Bereich will Microsoft entgegen früheren Verlautbarungen den IE 7 noch dieses Jahr veröffentlichen. Kurz nachdem im November der Open-Source-Browser Firefox 1.0 veröffentlicht worden war, erklärten Windows-Sprecher noch, dass keine Marktanteile des Internet Explorer durch Firefox in Gefahr seien. Eine neue Version des Internet Explorer werde erst gemeinsam mit der kommenden Windows-Plattform Longhorn veröffentlicht.
Der unerwartete starke Ansturm auf das freie Konkurrenz-Produkt hat den Konzern offenbar zum Umdenken gezwungen. Dabei sprechen die Zahlen für sich: 25 Millionen Mal wurde die Surf-Alternative Firefox alleine von der Stammseite www.mozilla.org herunter geladen.
Schon in diesem Sommer soll daher eine Vorabversion des Internet Explorers 7 erscheinen.
Das neue Release wird die Sicherheit von Windows XP SP2 erweitern, soll gleichzeitig jedoch so flexibel und kompatibel bleiben wie zuvor. Zudem ist geplant, in den IE7 eine Schutzfunktion gegen Malware, Passwort- und Identitätsdiebstahl zu integrieren sowie einen Mechanismus, der selbstständig den Missbrauch von Links erkennen kann. (19.02.05, Freenet)

   Wurm "Mydoom.AK" zum Valentinstag

Die Experten des Security-Spezialisten Panda warnen vor einem typischen "Valentinstags"-Wurm mit variablen Eigenschaften. So ist "W21/Mydoom.AK" in der Lage Prozesse von Anti-Virus-Software und Firewalls zu beenden, um so ein verwundbares System zu schaffen.

Der zerstörerische Code des Wurms wurde in der Programmiersprache Visual C++ geschrieben und hat eine Grösse von 67.133 Bytes. Über eine eigene SMTP-Engine verschickt sich der Wurm per E-Mail weiter. Er sucht dazu E-Mail-Adressen in ADB, ASP, DBX, DOC, EML, FPT, HTM, HTML, INB, MBX, OFT, PAB, PHP, PL, PMR, SHT, TBB, TXT, UIN und XLS Dateien. (15.02.05, ZDNet)

   Trojaner produziert falsche Sicherheitsmeldungen

Ein neuer Trojaner "Traxg-C", nutzt eine der Neuerungen, welche das Service Pack 2 für Windows XP mitbringt. "Traxg-C", eine Variante des Dropper-Trojaners, verbreitet sich per E-Mail und zeigt, wenn er aktiviert wurde, in unregelmässigen Abständen gefälschte Sicherheitsmeldungen an, die den Sicherheitswarnungen von Windows XP ähneln. weiter wird eine 10716 Bytes große CHM-Datei erstellt, die bei Aufruf eine Website mit schädlichem Code anwählt. Wird der Wurm gestartet, fügt er folgenden Registry-Eintrag ein:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
TempCom
"path to worm"
Der Trojaner modifiziert außerdem die Einstellungen des Internet Explorers, indem er mehrere vorhandene Registry-Einträge verändert. Ferner zeigt er ein Fenster mit dem Text 'Warning This Folder Has Been Damage!' an.
Er erstellt außerdem die Datei C:\FOLDER.HTT, die ebenfalls als Traxg-C erkannt wurde. Diese Datei nutzt die 'Microsoft VM ActiveX Component'-Schwachstelle aus, um weitere Codes auszuführen. Die Schwachstelle erlaubt einem HTML-basierenden Script auf die System-Dateien oder die Registry zuzugreifen, ohne die üblichen ActiveX Sicherheits-Bestimmungen beachten zu müssen. Microworld hat ein Removal-Tool bereitgestellt. (09.02.05, ZDNet)

   Schadprogramm überlistet spurlos Firewalls

Auf dem Kongress "IT Defense 2005" in Köln hat ein Informatiker innerhalb von Sekunden zum Entsetzen der anwesenden Sicherheitsexperten mit einem kleinen Programm mühelos Firewalls überwunden. Die Firewalls bekamen nicht einmal etwas von den Angriffen mit und im Nachhinein liessen sich diese nicht einmal mehr rekonstruieren.

Das Schadprogramm, "Zecke" getauft, operiert nur im flüchtigen Hauptspeicher des Computers und vermeidet sorgsam alle Operationen, die Spuren hinterlassen könnten. Bei der anschließenden Kontrolle zeigten sämtliche Protokolldateien hinterher nur grüne, also unbedenkliche Einträge. "Zecke" gab den hinter den Firewalls lagernden Programmen Anweisungen, mit denen er sich einen privaten Zugang durch die Schutzmauern bauen konnte. Da die "Firewalls" den eigenen Programmen blind vertrauten, reagierten sie nicht. (06.02.05 tom's networking)

   Bagle-Wurm mit neuen Versionen

Seit einigen Tagen verbreitet sich "Bagle" in zwei neue Versionen per E-Mail oder den Freigaben für P2P-Netzwerke wie KaZaa, Bearshare usw ...
Die E-Mails können folgende Betreffzeilen haben:
- "Delivery service mail"
- "Delivery by mail"
- "Registration is accepted"
- "Is delivered mail"
- "You are made active".
Der Text lautet entweder "Thanks for use of our software." oder "Before use read the help". Im Anhang der Mails befindet sich eine Datei mit Namen wie "Jol03", "guupd02", "siupd02", "upd02", "viupd02", "wsd01" oder "zupd02", kombiniert mit einer der Dateiendungen ".com", ".cpl", ".exe" oder ".scr", also zum Beispiel "upd02.exe".
Die Dateigröße kann unterschiedlich sein, beträgt jedoch mindestens 18 KB. Die Verbreitung über P2P-Netze erfolgt, indem sich der Wurm in Ordner kopiert, deren Name die Zeichenkette "shar" enthält. (01.02.05, AOL)