[HaBo]

W32/Holar-B ist ein Wurm, der sich verbreitet, indem er sich auf Freigaben auf dem lokalen Netzwerk kopiert und indem er sich per E-Mail an Einträge in den Adressbüchern von Microsoft Outlook und Messenger sowie an Adressen sendet, die in Dateien mit HTM- oder HTML-Erweiterungen eingebettet sind.

Der Wurm kopiert sich in den Windows Systemordner auf lokalen Laufwerken und Netzlaufwerken und erstellt den folgenden Registrierungseintrag, so dass der Wurm automatisch ausgeführt wird, sobald Windows startet:

HKLM/Software/Microsoft/HolyWar = 135
HKLM/Software/Microsoft/Windows/HolyWar = 135
HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices/MyLife = CmdServ.exe und
HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices/aCker

Der Wurm sucht den Pfad zum persönlichen Ordner des Benutzers, indem er nach folgendem Registrierungseintrag fragt:

HKCU/Software/Microsoft/Windows/Currentversion/Explorer
Shell Folderspersonal.

W32/Holar-B kopiert sich mit dem Namen der ersten Datei im persönlichen Ordner des Benutzers in den Windows TEMP-Ordner, allerdings mit einer SCR-Erweiterung. Wenn sich der Wurm via E-Mail verbreitet, wird diese Datei angehängt.

Die Betreffzeile der E-Mail ist der Name der angehängten Datei ohne deren Erweiterung. Der Text der E-Mail lautet: "Flash File".

Der Wurm versucht, eine bekannte MIME-Schwachstelle von Microsoft Outlook, Microsoft Outlook Express und Internet Explorer auszunutzen, so dass die Programmdatei gestartet wird, sobald der Benutzer auf das Attachment doppelklickt. Microsoft hat ein Patch für diese Schwachstelle zur Verfügung gestellt, das diese Schwachstelle schließt. Es kann unter Microsoft Security Bulletin (MS01-020) "Incorrect MIME header can cause IE to Execute E-mail attachment".) heruntergeladen werden.

W32/Holar-B legt die Mail-Message-Datei WarIII.eml im Windows Systemordner ab und hängt einen Link zu dieser Datei in allen Dateien mit der Erweiterung HTM oder HTML an.

Der Wurm überschreibt alle Dateien mit den nachfolgend genannten Erweiterungen auf dem aktuellen Laufwerk mit dem Text "Bye":

MDB, XLS, DOC, SWF, PPT, JPG, PPS, MPEG, ZIP, TXT, MPG, AVI, RM, MDE, FRM, PHP, PDF or RAR

Wiederherstellung:

http://www.sophos.de/support/faqs/worms.html

Dieser Wurm wurde bereits in vereinzelt in Österreich gesichtet." <--- Indi sehr verdächtig