Virenkiller.de

Mit einem Schock lassen sich viele dazu verleiten, gefährliche Emails zu öffnen, verseuchte Webseiten zu besuchen. Damit versuchen es auch diese Virenversender.

Mit der Behauptung, man habe einen relativ großen Geldbetrag vom Konto des Mailempfängers abgebucht, wollen sie und dazu bringen, einen angeblichen Kontoauszug zu downloaden.

Dieser ist scheinbar auch ungefährlich. Handelt es sich doch augenscheinlich um eine PDF-Datei.

Tatsächlich aber wird eine Datei mit dem Namen

billing-rechnung-182192711-1.pdf                                                                  .exe 

gedownloadet. Wichtig dabei: Es ist eine (ausführbare) Exe-Programmdatei. Aber die Endung Exe ist nicht zu sehen, wegen der vielen Leerzeichen.

Ebenfalls geschickt ist die Tatsache, dass in der Mail der Empfänger „persönlich“ angesprochen wird. Dazu nutzt der Versender den Teil der Email vor dem @-Zeichen. Aus Mayer@virenkiller.de würde also „Sehr geehrter Mayer“.

Der Absender hat aber Probleme mit den Umlauten und schreibt Zahlen auch in der englischen Notation. Statt – wie im deutschen Sprachraum – 497,50 zu schreiben, schreibt er 497.5, da im englischen Sprachgebiet der Punkt statt des Kommas die Cent von den Euro trennt.

Der Server ist in Hongkong, der Nameserver ist russisch.

Absender: Euro Imperial Casino

Betreff: Es wurden von Ihrer Karte EUR 497.5 abgebucht

Mailtext:

Sehr geehrter [Name des Mailempfängers],Ihre Einzahlung #670821 bei EuroImperial IC wurde erfolgreich ausgeführt.
Ihrem Spielkonto wurden EUR 497.5 gutgeschrieben. Sollten Sie mit der Kreditkarte
bezahlt haben, finden Sie diese Zahlung im Kontoauszug unter ‚0673 EUROIMPERIAL CY‘
Der Auszug kann von unserer Webseite heruntergeladen werden:
http://www.euroimperial.ws/ ab hier gelöscht ab hier gelöschtWir bedanken uns sehr, daß Sie bei unserem Casino gespielt haben.Barbara von Bollendorf
Promotions Manager
EuroImperial CasinoHier leben Sie Luxus!————————————-

Fur AGBs: http://www.euroimperial.ws/en/promotions/general-terms-conditions.html
E-Mail (Allgemein / english): support@euroimperial.ws
E-Mail (Deutsch): support-de@euroimperial.wsEuro Imperial Casino
P.O. Box 3422
Makati Central Post Office 1274
Makati City 18731, Manila, Philippines
 

Ergebnis des Virenscans

Virustotal:
AhnLab-V3 2007.9.22.0 2007.09.21 –
AntiVir 7.6.0.15 2007.09.21 –
Authentium 4.93.8 2007.09.21 W32/Downloader.gen10
Avast 4.7.1043.0 2007.09.22 –
AVG 7.5.0.485 2007.09.22 Downloader.Generic6.HVY
BitDefender 7.2 2007.09.22 –
CAT-QuickHeal 9.00 2007.09.21 –
ClamAV 0.91.2 2007.09.22 –
DrWeb 4.33 2007.09.22 –
eSafe 7.0.15.0 2007.09.19 –
eTrust-Vet 31.2.5154 2007.09.21 –
Ewido 4.0 2007.09.20 –
FileAdvisor 1 2007.09.22 –
Fortinet 3.11.0.0 2007.09.22 –
F-Prot 4.3.2.48 2007.09.21 W32/Downloader.gen10
F-Secure 6.70.13030.0 2007.09.21 W32/Downloader
Ikarus T3.1.1.12 2007.09.22 –
Kaspersky 4.0.2.24 2007.09.22 –
McAfee 5125 2007.09.21 –
Microsoft 1.2803 2007.09.22 TrojanDownloader:Win32/Small.gen!O
NOD32v2 2544 2007.09.21 probably unknown NewHeur_PE virus
Norman 5.80.02 2007.09.21 W32/Downloader
Panda 9.0.0.4 2007.09.22 Suspicious file
Sophos 4.21.0 2007.09.22 Mal/TinyDL-L

Update:
Avira (Antivir) gab unserer Einsendung den Namen TR/Dldr.Nurech.CE.
Mit dem Update vom 24.9. wird der Trojaner erkannt.