Masken Nyxem.E / W32.Blackmal.E@mm (CME-24) sprider sig på Internet

Masken Nyxem.E / W32.Blackmal.E@mm (CME-24) sprider sig på Microsoft operativsystem via e-post och fildelning. Masken har bland annat uppmärksammats för att den kommer att skriva över filer av typen doc, xls, mdb, mde, ppt, pps, zip, rar, pdf, psd och dmp på infekterade system den 3 februari.

Masken tar bort filer och registervärden för start av bla säkerhetsprogram. Utöver det stänger den även vissa säkerhetsprogram innan den övergår till att försöka sprida sig vidare. Inför att masken sprider sig samlar den e-postadresser från filer av typen .htm, dbx, eml, msg, oft, nws, vcf, mbx, imh, txt och msf i Internet Explorers cachemappar.

Därefter skickar den e-post med masken som en exekverbar bilaga. Bilagan har någon av filändelserna pif, scr, mim, uue, hqx, bhx, b64, och uu. Utöver det sprids masken genom utdelade mappar och återfinns som filen WINZIP_TMP.exe.

Masken öppnar även en webbläsare som besöker en specifik hemsida. Denna hemsida har en räknare för antal besökare, vilket indikerar antalet datorer som infekterats av masken. Med denna hemsida i åtanke har det även diskuterats vilka möjligheter som finns att hitta de datorer som drabbats av masken. Om det finns ett fördjupat intresse av att leta efter infekterade maskiner på organisationens egna nät är ni välkomna att ta kontakt med Sitic.

För mer information:
http://isc.sans.org/diary.php?storyid=1067
http://www.lurhq.com/blackworm.html
http://www.f-secure.se/virus/statistik/
http://www.f-secure.com/weblog/archives/archive-012006.html#00000787
http://www.f-secure.com/v-descs/nyxem_e.shtml/
http://vil.nai.com/vil/content/v_138027.htm
http://www.symantec.com/avcenter/venc/data/w32.blackmal.e@mm.html