Mit einem neuen Phishingversuch versuchen Verbrecher, an die Kundendaten von Citibankkunden zu kommen.
Der verlinkte Server liegt in China, die Mail strotzt wieder mal nur so vor Satzfehlern.
Absender der Mail ist angeblich Citibank Deutschland.
Betreff:
achtung [nachricht id: b52109504365]
Mailtext:
Sehr geehrter Nutzer der Citibank Deutschland,
Technischer Bankdienst hat neue Sicherheitsmaßnahmen für seine Kunden eingeführt. Eine von denen – Citibank Kundenform.
Sie sollen regelmäßig Citibank Kundenform ausfüllen. Das ist obligatorisch für alle Citibankkunden.
Um die Formausfüllung anzufangen, drücken Sie bitte den Link unten.
Citibank Kundenform [Link wurde entfernt]
Diese Nachricht ist automatisch erschafft worden. Sie brauchen nicht darauf zu antworten.
Diese Mail ist automatisch erschafft worden… so so…
Wer auf so etwas hereinfällt hat es eigentlich verdient.
Der Server ist derzeit nicht mehr erreichbar, so dass ich keine Aussagen darüber machen kann, ob es sich dabei auch noch um einen "Drive by Download" handelt – also ob dem Besucher der Seite noch Exploits oder Trojaner untergeschoben werden sollen.
Es ist nicht ganz abzusehen, wie viele Varianten dieser Spam-Mail mit Trojaner-Link es geben wird. Das erste Exemplar erreichte mich in einer Mail, die auf einen deutschen Server zum Download eines Trojaners verwies.
Scheinbar bietet dort eine Frau Fotos von sich zum Download an.
Betreff:
Check my new photos :))
Inhalt:
Hello!
remember me?..
new fotos(archived) you asked
:))
http://–gelöscht–.org/my_fotos.exe
kiss, Julia S.
Es handelt sich bei dieser Exe-Datei um einen Trojaner mit 147456 Byte Größe, der von so ziemlich jedem Scanner erkannt wird.
Virustotal sagt dazu:
AhnLab-V3 – – –
AntiVir – – TR/Crypt.XPACK.Gen
Authentium – – W32/Srizbi.A
Avast – – –
AVG – – SHeur.BCWK
BitDefender – – Trojan.Srizbi.CA
CAT-QuickHeal – – Trojan.Srizbi.s
ClamAV – – Trojan.Dropper-5612
DrWeb – – Trojan.Sentinel
eSafe – – Suspicious File
eTrust-Vet – – Win32/Fuzfle.AM
Ewido – – –
F-Prot – – W32/Srizbi.A
F-Secure – – Trojan.Win32.Srizbi.s
FileAdvisor – – –
Fortinet – – W32/Srizbi.XO!tr.rkit
Ikarus – – Virus.Trojan.Win32.Srizbi.s
Kaspersky – – Trojan.Win32.Srizbi.s
McAfee – – Srizbi
Microsoft – – TrojanDropper:Win32/Srizbi.G
NOD32v2 – – Win32/Srizbi.Gen
Norman – – –
Panda – – Trj/Srizbi.A
Prevx1 – – TROJAN.SRIZBI
Rising – – –
Sophos – – Mal/EncPk-CK
Sunbelt – – Trojan.Srizbi.CA
Symantec – – Trojan.Srizbi
TheHacker – – Trojan/Srizbi.s
VBA32 – – Trojan.Win32.Srizbi.s
VirusBuster – – Trojan.DR.Srizbi.W
Webwasher-Gateway – – Trojan.Crypt.XPACK.Gen
Tipps
- Grundsätzlich sollte man jeder Exe-Datei misstrauen, die in einer Mail angeboten wird. Selbst wenn die Mail scheinbar von einem Freund kommt. Denn auch dessen PC kann bereits verseucht sein.
- Halten Sie Ihre Virenkiller aktuell.
- Tragen Sie sich in unseren kostenlosen Newsletter mit Virenwarnungen ein.
9.4.2008
Derzeit kursieren Emails, die den üblichen Spam-Trojaner-Attacken der letzten Monate zwar stark ähneln, aber dieses Mal tatsächlich einen neuen Trojaner verbreiten.
Auch sind es dieses mal keine "Saison-Emails", die sich z.B. als Valentinskarte, Neujahrsgruß oder Weihnachtsemail tarnen.
Vielmehr sollen die Adressen dieses Mal den Anschein erwecken, als handele es sich um Videos.
Neu ist auch, dass es sich nicht um reine IP-Adressen handelt, sondern um normale Domains.
Als Betreff kommen sie etwa mit:
Deep in my heart
Just you and me
Lost in Love
Im Mailtext steht nur
Thinking Of You All Day
You are in my heart
With you by my side
gefolgt von einer Internetadresse.
Dann präsentiert sich die seite wie auf meinem obigen Screenshot. Das vermeintliche Videofenster ist nur eine GIF-Datei und ein Klick darauf bzw. auf den Link darunter soll eine Datei namens StormCodec.exe oder StormCodec8.exe downloaden.
Es wird vorgespiegelt, dass man das Video nicht sehen könne, weil der Videocodec nicht stimmt und deshalb solle man den richtigen Codec downloaden.
Text vollständige Text lautet:
You have no Storm Codec on your PC.
Download it and choose either "Open" or "Run".
Enjoy your multimedia experience!
Die Erkennungsraten sind derzeit miserabel!
Kaspersky (und seine Clones wie GDATA): Fehlanzeige
Bei Virustotal erkennt ihn nur Bitdefender überhaupt als Virus:
BitDefender: Trojan.Crypt.AY
Das Labor von Avira sagt "Damaged File".
Es ist damit zu rechnen, dass es dieses Mal mit der Erkennung länger dauern wird.
Update 11.4.2008
Mittlerweile sind die Erkennungsraten geringfügig besser geworden.
Es wird jetzt aber auch mit neuen Themen gelockt
Zum Beispiel mit einem Protest gegen die Olympiade in China oder Videos der Eagles
Seitentitel:
Hot New Clips Added Daily
Betreff:
Protests, support surround Olympic torch in San Francisco
New video
Mailtext:
San Francisco protests (plus Webseitenandresse in China)
Eagles finished a new video. See the version before MTV airs it. Go here
to get the video
In den Mails werden jetzt auch Adressen bei blogspot.com beworben, die dann direkt auf chinesische Server weiterleiten.
Einfluss aufs System
Der Zhelatin-Trojaner installiert sich selbst im Autostart von Windows und startet aus dem Windowsverzeichznis die Datei kavir.exe.
Außerdem wird dort die Datei nivavir.config agelegt.
Die Onlinescan -Ergebnisse sind aber noch nicht wirklich überzeugend:
Jotti:
A-Squared Keine Viren gefunden
AntiVir Keine Viren gefunden
ArcaVir Keine Viren gefunden
Avast Keine Viren gefunden
AVG Antivirus I-Worm/Nuwar.R gefunden
BitDefender Trojan.Peed.JEL gefunden
ClamAV Keine Viren gefunden
CPsecure Keine Viren gefunden
Dr.Web Keine Viren gefunden
F-Prot Antivirus Keine Viren gefunden
F-Secure Anti-Virus Email-Worm.Win32.Zhelatin.xh gefunden
Fortinet Keine Viren gefunden
Ikarus Keine Viren gefunden
Kaspersky Anti-Virus Email-Worm.Win32.Zhelatin.xh gefunden
NOD32 Keine Viren gefunden
Norman Virus Control Keine Viren gefunden
Panda Antivirus Keine Viren gefunden
Rising Antivirus Keine Viren gefunden
Sophos Antivirus Troj/Dorf-BA gefunden
VirusBuster Worm.Zhelatin.Gen!Pac.6 gefunden
VBA32 Keine Viren gefunden
Virustotal:
AhnLab-V3 2008.4.10.2 2008.04.11 –
AntiVir 7.6.0.81 2008.04.10 –
Authentium 4.93.8 2008.04.10 –
Avast 4.8.1169.0 2008.04.10 –
AVG 7.5.0.516 2008.04.10 I-Worm/Nuwar.R
BitDefender 7.2 2008.04.11 Trojan.Peed.JEL
CAT-QuickHeal 9.50 2008.04.10 (Suspicious) – DNAScan
ClamAV 0.92.1 2008.04.10 –
DrWeb 4.44.0.09170 2008.04.10 –
eSafe 7.0.15.0 2008.04.09 Suspicious File
eTrust-Vet 31.3.5687 2008.04.10 –
Ewido 4.0 2008.04.10 –
F-Prot 4.4.2.54 2008.04.10 –
F-Secure 6.70.13260.0 2008.04.11 Email-Worm.Win32.Zhelatin.xh
FileAdvisor 1 2008.04.11 –
Fortinet 3.14.0.0 2008.04.10 –
Ikarus T3.1.1.26 2008.04.11 –
Kaspersky 7.0.0.125 2008.04.11 Email-Worm.Win32.Zhelatin.xh
McAfee 5271 2008.04.10 –
Microsoft 1.3408 2008.04.11 Backdoor:Win32/Nuwar.gen!C
NOD32v2 3017 2008.04.10 –
Norman 5.80.02 2008.04.10 –
Panda 9.0.0.4 2008.04.10 –
Prevx1 V2 2008.04.11 –
Rising 20.39.32.00 2008.04.10 –
Sophos 4.28.0 2008.04.11 Troj/Dorf-BA
Sunbelt 3.0.1032.0 2008.04.08 –
Symantec 10 2008.04.11 Trojan.Peacomm
TheHacker 6.2.92.273 2008.04.11 –
VBA32 3.12.6.4 2008.04.06 –
VirusBuster 4.3.26:9 2008.04.10 Worm.Zhelatin.Gen!Pac.6
Webwasher-Gateway 6.6.2 2008.04.10 –