Kleine Wurm-Warnung: Samsung SPF-71 E

Moin

Aus aktuellem Anlass (ich will so ein Ding meiner Mutter schenken und hielt es eben in der Hand) gebe ich mal eine kleine Warnung heraus:

Auf den besagten Photoframes SPF-71E, weiß, von Samsung befinden sich zwei Dateien, die meiner Meinung nach NICHT darauf gehören: ".VBS" und "autorun.inf".

Antivir erkennt diese als "VBS/AUTORUN.AL", andere AV-Hersteller wie folgt:

• Mcafee: W32/Autorun.worm.al virus
• Kaspersky: Trojan.VBS.Agent.bt
• F-Secure: Trojan.VBS.Agent.bt
• Sophos: VBS/Autorun-AO
• Bitdefender: VBS.Worm.Runauto.D

Bei Ausführung des Scripts verhält es sich genau so, wie zB auf der Seite TrustedSource.org, es legt u.A. eine Datei ".VBE" ins "C:\Windows"-Verzeichnis, wurde in meinem Fall von Antivir aber unschädlich gemacht.

Eine Beschwerde habe ich Samsung schon zukommen lassen, mal sehen, wie ihre Antwort aussieht. Mit der Funktion des Bilderrahmens an sich haben die Dateien auf jeden Fall nichts zu tun.

//edit: Korrekturen

Moin

Ach, die sind doch doof bei Samsung
Neuerdings habe ich doch einen kompetenten Mitarbeiter am anderen Ende des Internets ^^

Naja, was solls: Nachdem ich den ganzen Text noch einmal einsenden durfte, weil deren Datenbank anscheinend keine Sonderzeichen á la ", \, /, : und ganz besonders • verträgt, kam nun doch mal eine Antwort:

Nun habe ich zurückgeschrieben, dass ich noch nicht einmal die Software installiert hatte und sich der Wurm, aber nicht W32/Sality, direkt auf dem Speicher des Bilderrahmens befindet. Vielleicht raffen sie es ja doch noch.

Nichts desto trotz werde ich mit den Informationen jetzt mal die CD untersuchen.
Mir fällt gerade ein, dass bei dem SPF-71E überhaupt keine Software beiliegt. Die gibt es erst ab dem SPF-75 ... wofür gebe ich eigentlich Seriennummer und Modell bei Samsung an?

Moin

Also, der VBS Wurm ist, wie gesagt, direkt in dem integrierten 120MB Speicher des Bilderrahmens. Beim SPF-71E gibt es keine Treiber CD ^^
//edit: Korrekturen
Der VBS Wurm setzt sich laut Sophos als Flower.exe an mehrere Punkte in die Registry:

Natürlich nicht nur die drei Einträge, es sind insgesamt 112 Einträge, aber alle beim Debugger. Die ganze Liste gibts bei Sophos, Link ist im ersten post.

Sorry für die Fehlinformation! Hatte bei Sophos auf der Site den falschen Wurm auf.
Dieser, der auf dem Samsung Rahmen drauf ist, setzt sich als .vbe Datei in C:\Windows und C:\Windows\System32, die Verbreitung geschieht ausschließlich über Tragbare Medien, USB-Stick, externe Festplatten oder eben auch Bilderrahmen, die per USB angeschlossen werden.
\\edit Ende

In den letzten Minuten kam eine neue Antwort:

So langsam scheinen sich Menschen meinen Schrieb durchzulesen und kein Roboter

Bei Samsung gibts ja auch die Automatik Software Updater für die Opticals,
die hat vor einem guten halben Jahr der Scanner auch unter Verdacht gehabt...

http://www.freedrweb.com/cureit/

immer frisch runtergezogen, braucht nicht installiert werden...

Moin

Leider musste ich ein paar Korrekturen durchführen, ich hatte blöderweise den falschen Wurm bei Sophos angezeigt bekommen ...
Nichts desto trotz bleiben die restlichen Dinge bestehen, das Script setzt sich als .vbe Datei ins Windows und System32 Verzeichnis, sowie eine Verknüpfung ins Startmenü/Autostart aller Benutzer (AllUsers).
Die nächste Startoption ist in der Registry.

Hier erstellt der Wurm eine Zeichenfolge mit Namen "WS" und dem Inhalt ".vbe"

Wie oben im Edit in meinem dritten Post zu lesen, verbreitet sich das Ding über USB-Sticks, externe Festplatten etc. Anscheinend gibt es keine weiteren Schadroutinen, da ein paar AV-Programme das Ding "Exploit" nennen.

Kleines Update

Interessanterweise habe ich seit der zweiten Mail auch immer eine Person am anderen Ende, ein Herr Michael S. Das finde ich gut.

Wie ein Krimi...

Nee im Ernst, interessant zu erfahren, wie ein Hersteller mit so etwas umgeht.

Moin

@kleineMax
Ich hatte keine Probleme mit dem Zugriff auf den Datenträger an sich. Vielleicht war dein Explorer etwas verwirrt, nachdem Avira die.VBS Datei gekillt hat und in der autorun.inf stand drin "starte .VBS" ...

Eine SD Karte habe ich gar nicht, kann das also nicht testen.

Weitere Neuigkeiten sietens Samsung habe ich noch nicht erhalten.

Moin

Leider noch nichts neues. Auf die Fimenmailadresse habe ich von hier auch keinen Zugriff ^^ Seit dem Anruf wurde es doch irgendwie ruhig um Samsung.

Den bereinigten Rahmen habe ich meiner Mutter erfolgreich zu Weihnachten geschenkt ^^ Und auch erfolgreich an meinem PC angeschlossen, ohne dass dieser infiziert wurde

Moin

Von Samsung ausgehend habe ich noch nichts neues erfahren, darum habe ich jetzt ganz frech mal angefragt, wie die Nachforschungen laufen

Wie das Ding auf den Bilderrahmen kommt, kann man zur Zeit wirklich nur mutmaßen: