Eine seltsame Mail erreicht derzeit einige Leute. Darin ist die Rede von einer Antwort auf eine Webseitenanfrage.
Clever gemacht ist die Tatsache, dass sogar ein aktuelles Datum verwendet wird. Die Nachricht ist deutsch gehalten, allerdings ganz offensichtlich (fehlende Umlaute und englische Anrede “Hello”) aus einem anderen Land.
Nachrichtentext:
Hello, hierkommt @ dieemailadresse .de.
Die Antwort auf Ihre Frage uber das Profil auf unserer
Website 21.06.2010.
Statistik in der Datei enthalten, wird es ein Vergnugen,
in der Zukunft zusammenarbeiten werden.ID:7041
Best Regards,
{LINE[nameff]}.
An der Mail befi8ndet sich ein Anhang namens Document56.zip (20.417 Bytes) in dem wiederum eine Datei namens
Document56.doc__________________________________________________________________________________________.exe
enthalten ist (36.864 Bytes). Wie man schon sieht, handelt es sich um eine ausführbare Datei und mit den Unterstrichen versuchen die Virenverbreiter, das zu verschleiern.
Ohnehin würden es vermutlich die meisten “Normaluser” nicht bemerken, weil sie die Standardeinstellung von Windows (Endungen bekannter Dateitypen ausblenden) nie geändert haben.
Threatexpert findet in der Datei einen Trojaner, einen Keylogger. Er zeichnet Tastaturanschläge auf und sendet sie an sein “Herrchen”. So kann man schnell seine Kontozugangsdaten nach Russland oder China senden. Vermutet wird der Urheber in Russland oder Taiwan.
Folgende Dateien legt der Virus an:
%AppData%\Fupe\ibur.exe
%AppData%\Ismiok\bubo.ihx
%Temp%\1.tmp
%System%\xmcn.shq
Virustotal zeigt deutlich, dass die meisten Scanner den Trojaner nicht erkennen.
| AhnLab-V3 | Downloader/Win32.Generic |
| BitDefender | Gen:Trojan.Heur.cqY@ynu0W9ldf |
| F-Secure | Gen:Trojan.Heur.cqY@ynu0W9ldf |
| GData | Gen:Trojan.Heur.cqY@ynu0W9ldf |
| Microsoft | Trojan:Win32/Malagent |
| NOD32 | a variant of Win32/Kryptik.FCN |
| PCTools | Downloader.Generic |
| Rising | Packer.Win32.Agent.bk |
| Sophos | Mal/Bredo-I |
| Symantec | Downloader |
Mit unserem Newsletter sind Sie immer auf dem Laufenden