Virenkiller.de

Mit dem Betreff:

Internet Explorer 7.0 Beta

sowie dem Absender

admin@microsoft.com admin@microsoft.com 

trudeln derzeit Viren über uns herein.Die Mail selbst enthält eigentlich nur diese Grafik

Sie verlinkt auf eine nur knapp 4.600 Byte große Datei namens „update.exe“.

Dabei handelt es sich um einen Trojaner, der von einem brasilianischen Server verteilt wird.

• Mail sofort löschen
• Datei nicht anklicken
• Virenscanner updaten!

Der Online-Virenscan von Virustotal meint dazu:

Diese und andere Virenwarnungen kostenlos per Email bekommen?
Der Virennewsletter von Virennewsletter.de

Es kursiert eine virenverseuchte Mail, die vorgibt, aufgrund einer Durchsuchung des Rechners mit dem sogenannten Bundestrojaner illegale Daten aus Tauschbörsennutzung gefunden zu haben.

Betreff:

Aktenzeichen [57940995]
Aktenzeichen [08038143]
Onlinedurchsuchung NR-[90587231]
Aktenzeichen [zufällige Zahl]

Mailtext:

Sehr geehrter Internetnutzer,im Rahmen unserer ständigen automatisierten Überprüfung von sogenannten Tauschbörsen im Internet, wurde folgende IP-Adresse auf unserem System ermittelt.

IP: 81.187.113.176

Der Inhalt Ihres Rechners wurde als Beweismittel mittels den neuen Bundestrojaner sichergestellt.
Es wird umgehend Anzeige gegen Sie erstatten, da sich illegale Software, Filme und/oder Musikdateien auf Ihren System befinden. Durch die Nutzung sogenannter Tauschbörsen, stellen Sie diese auch anderen Nutzern zu Verfügung und verstoßen somit gegen §§ 249ff StGB.

Das vollständige Protokoll Ihrer Online-Durchsuchung finden Sie im Anhang dieser Email.

Die Strafanzeige und die Möglichkeit zur Stellungnahme wird Ihnen in den nächsten Tagen schriftlich zugestellt. Herbert Klein, Kriminaldirektor, LKA Rheinland-Pfalz
Am Sportfeld 9c, 55124 Mainz
Tel.: 06131 – 970738
Fax: 06131 – 970731
Mobil: 0171 – 7504699
Mail: Hcklein51@aol.com

An der Mail befindet sich ein Anhang namens

nr-[57940995].zip (NR-[08038143].zip) (Die Zahl korrespondeirt immer mit der im Betreff)der wiederum die Datei „Aktenzeichen.exe“ beinhaltet (mit Icon einer PDF-Datei)

Antivir kennt ihm am 5.5.07 nicht… Während die Onlineversion einen Trojaner erkennt.Jotti sagt:

Virustotal sagt:

Recht primitiv gemacht, aber dennoch für den einen oder anderen Neugierigen gefährlich ist eine neue gefälschte Rechnung. Dieses mal stammt sie angeblich von der Firma Mindfactory AG (shop@mindfactory.de).

Der Text ist ähnlich sparsam wie in ähnlichen Mails letzter Zeit. Allerdings hängt an dieser Mail weder ein Virus noch eine Grafik. Vielmehr handelt es sich wieder einmal um den Versuch, ein Exploit des Internet Explorers beim Besucher zu installieren. Es handelt sich um das selbe Script auf demselben Malaisischen Server wie bereits unter http://www.virenkiller.de/archives/43 beschrieben.

Betreff:

Betreff: Vielen Dank fur den Kauf

Text der Mail:

Guten Tag! Vielen Dank für den Kauf in unserem Shop. Es wurde von Ihrem Konto der Betrag in Höhe von EUR 147 abgebucht. Die Kontobilanz sowie den Kaufzettel können Sie hier abrufen: http://geocities.com/xxxxxxxxxgelöscht

Auch hier geht es auf den verseuchten Server 203.223.158.26

Beim Besuch des Links bekommt man eine gefälschte Fehlermeldung präsentiert. Das Virenscript installiert sich über einen 1 Pixel großen iFrame.

Heise berichtete über diese Mails unter http://www.heise.de/newsticker/meldung/89203