Wurm in Audiofiles

  • Ersteller kickback
  • Erstellt am
kickback

kickback

Registriert
14.12.05
Beiträge
21.120
Reaktionen
1.514
Punkte
71.507
Kaspersky Lab, a leading developer of secure content management systems, reports the detection of a malicious program that infects WMA audio files. The objective of the infection is to install a Trojan that gives a cybercriminal control of the user’s computer.

The worm, which was named Worm.Win32.GetCodec.a, converts mp3 files to the Windows Media Audio (WMA) format (without changing the .mp3 extension) and adds a marker with a link to an infected web page to the converted files. The marker is activated automatically during file playback. It opens an infected page in Internet Explorer where the user is asked to download and install a file which, according to the website, is a codec. If the user agrees to install the file, a Trojan known as Trojan-Proxy.Win32.Agent.arp is downloaded to the computer, giving cybercriminals control of the victim PC.

Unlike earlier Trojans, which used the WMA format only to mask their presence on the system (i.e., the infected objects were not music files), this worm infects audio files. According to Kaspersky Lab virus analysts, this is the first such case. The likelihood of a successful attack is increased because most users trust their audio files and do not associate them with possible infections. It should be noted that the file on the counterfeit web page is digitally signed by Inter Technologies and is identified by www.usertrust.com, the resource that issued the digital signature, as trusted.


Quelle: http://www.kaspersky.com/news?id=207575664

EDIT: übersehen, auf deutsch gibt es das auch:

Kaspersky Lab hat ein neues Schadprogramm entdeckt, das Audiodateien infiziert. Der Wurm lädt einen Trojaner herunter, mit dem Cyberkriminelle die Kontrolle über den Anwender-PC übernehmen können. Der Schädling erhielt die Bezeichnung Worm.Win32.GetCodec.a. Er konvertiert mp3-Dateien in das Format WMA – wobei die Erweiterung mp3 erhalten bleibt – und ergänzt einen WMA-Tag in der Datei. Dieser WMA-Tag wiederum enthält einen Link auf eine infizierte Webseite.

Die Aktivierung des WMA-Tags erfolgt während des Abhörens der Datei und führt zum Start des Browsers, der automatisch die infizierte Webseite öffnet. Hier wird dem Anwender angeboten, eine Datei herunterzuladen und zu installieren, die als „Codec“ ausgegeben wird. Bei Start der Installation wird auf dem Computer der Trojaner Trojan-Proxy.Win32.Agent.arp geladen, mit dessen Hilfe der Übeltäter die Kontrolle über den attackierten PC erhält.

Bisher wurde das Format WMA von Trojanern nur als Tarnung genutzt, infizierte Objekte waren dabei aber keine Audiodateien. Der nun vorliegende Wurm verhält sich dagegen außergewöhnlich: Er infiziert reine Audiodateien, was laut den Virenanalysten von Kaspersky Lab bis dato noch nicht vorgekommen ist. Dieses Vorgehen erhöht die Wahrscheinlichkeit einer erfolgreichen Attacke, da die Anwender in der Regel hinter den eigenen Mediadateien keine Gefahr vermuten und sie nicht mit einer Infektion in Zusammenhang bringen.

Besonders hinterhältig dabei: Die Datei auf der gefälschten Webseite trägt das digitale Zertifikat des Unternehmens Inter Technologies. Dieses Zertifikat wird von www.usertrust.com herausgegeben, eine Seite, die von Antiviren-Programmen normalerweise als vertrauenswürdig eingestuft wird.


Quelle: http://www.kaspersky.com/de/news?id=207566091
 
danke fürs posten!
gibts noch irgendwelche details z.b. wie der wurm überhaupt auf den rechner gelangt oder bekommt man das gar nicht mit? kann man was dagegen tun?
 
danek jedenfalls an Microsoft für das wunderbare .wma format. Das haben doch diese Kerle verbrochen, oder?
 
scratchikken schrieb:
danke fürs posten!
gibts noch irgendwelche details z.b. wie der wurm überhaupt auf den rechner gelangt

Sorry, dazu weiß ich nichts, ich kann nur copy&paste :D

kann man was dagegen tun?

Du könntest, die Namen der Schädlinge stehen ja da, sicherheitshalber einmal überprüfen, ob dein Virenscanner sie auch schon kennt.
 
wieder Schädlinge, wieder ist ein beschissenes Format daran schuld, wieder hatte Microsoft seine Hände im Spiel. Die Dateiendung wird sogar beibehalten. Mich wundert immer. daß die User sich nicht organisieren und gegen sowas sturmlaufen. Damals netscape, outlook, word, jetzt sogar wma. :nonono:

Wäre alles kein Problem, wenn Internationale Richtlinien bestehen würden, was ein Programm darf und was nicht. Wenn ein Programm als "Textverarbeitung" deklariert werden würde, dann würde es eben nur als Textverarbeitung fungieren dürfen. Dann müßten Word als Textverarbeitung, MP3 Player, Spionagetool etc. GEKENNZEICHNET werden müssen, mit hohen Strafauflagen gegen die Softwarefirma bei Verstoß.

HP
 
@fritz
ja, wma=windows media audio (file)

@kickback
danke ich schau mal
 
es gibt keinen wurm in audiofiles!
es ist lediglich ein trick, womit der eigentliche "wurm" heruntergeladen wird, da er als "codec" gebraucht wird von der manipulierten audiodatei.
und das hat auch nix mit wma zu tun, da es auch mit mp3 funktioniert. es ist lediglich die dummheit des users, weil der dann auf "codec herunterladen und installieren" klickt und sich somit die suppe selbst einbrockt. da ist nichts automatisiert oder verseucht was der user nicht unterbinden könnte, würde er nachdenken.
 
Es gibt auch einen heise-Artikel dazu.

Die Verbreitung erfolgt ueber die Weitergabe infizierter "mp3s"/wmas und das erneute Herungterladen des "Codecs"

gruss, Chris
 

Oft gelesene Themen

Zurück
Oben