Virus mikt op KaZaA

Benjamin vermomt zich als films, games en software

21 mei 2002 | Jamie Biesemans Een nieuw virus heeft het gemunt op mensen die bestanden downloaden via KaZaA. Door zich voor te doen als populaire games of applicaties dringt de worm binnen, waarna het stelselmatig bandbreedte en plaats op de harde schijf opslorpt.

Benjamin valt moeilijk te onderscheiden van reguliere downloads. Dat komt omdat de worm veel verschillende bestandsnamen kan aannemen, waaronder 'Age of Empires-Games-full-downloader', 'Acrobat Capture 3.0-full-downloader', 'American Pie 2 - divx - full - downloader' en 'Metallica - Blackend'. Ook de grootte van het bestand is variabel omdat het virus bij elke infectie extra gegevens aan zichzelf toevoegt. De oorspronkelijk grootte is 216 KB.

Dat geeft oplettende gebruikers een kans om Benjamin te identificeren: DivX-films en games zijn vaak vele tientallen of honderden megabytes groot. Een bestand van enkele honderden KB's dat pretendeert toch een applicatie of een multimediabestand te zijn, is wellicht de malafide worm.

Besmetting gebeurt nadat een gebruiker het gedownloade bestand uitvoert. Op het scherm verschijnt dan een waarschuwingsvenster met de tekst 'Access Error #0317:94574: Invalid pointer operation File possibly corrupted'.

Benjamin is daarmee echter niet gecrasht. Achter de schermen kopieert het zichzelf naar de System-folder van Windows (als EXPLORER.SCR) en worden er aanpassingen doorgevoerd aan de Registry om ervoor te zorgen dat het virus altijd mee met Windows opstart. Er wordt bovendien een nieuwe folder gecreëerd en gedeeld met iedereen op het KaZaA-netwerk. Hierin kopieert het virus zichzelf vele honderden keren, telkens met een andere naam. Zo ontstaat een nieuwe infectiebron voor andere KaZaA-gebruikers.

Het virus probeert ten slotte een advertentiebanner te openen op het adres benjamin.xww.de. Die site is ondertussen door de provider afgesloten, zodat er enkel het bericht verschijnt "Domain aufgrund von massiven Beschwerden gesperrt".

Op zich doet Benjamin niets destructief. De creatie van vele kopieën van zichzelf slokt wel veel ruimte op de harde schijf op. Ook bandbreedte speel je kwijt, aangezien andere KaZaA-gebruikers naar jouw pc worden geleid om de misleidende worm te downloaden.

Ondertussen hebben de meeste makers van antivirusprogramma's een update klaargestoomd om het virus aan te pakken. Het valt sowieso aan te raden om alle bestanden die via een ruilnetwerk worden binnengehaald eerst na te kijken met een virusscanner. Lees meer artikels over : kazaa, virus

bron: ZDNet