Wieder mal versuchen die Bot-Netz-Betreiber ihre Trojaner loszuwerden. Zuletzt haben Sie es mit angeblichen Grußkarten zum Valentinstag versucht. Jetzt ist mal wieder die Grußkartenmasche dran.
Immer die selbe Methode verwenden sie beim Verbreiten Ihrer Dateien. Eine Spam-Email lockt mit relativ primitiven Einzeilern zu einer IP-Adresse, statt zu einer Domain.
Beispiel:
Betreff: Ecard greeting inside
Text: Someone sent you this Funny Ecard. It is Hilarious! http://xxx.yyy.zzz.aaa/
Dieses Mal wird die Datei e-card.exe (Größe 121.345 Byte) verteilt. Besonders hinterhältig an der eigentlich recht primitiv gemachten Lockseite:
Sie gibt sich als der (unschuldige) ECard-Versender FunnyPostCard.com aus und versucht 5 Sekunden nach Betreten der Webseite, die Datei zu downloaden.
Der Trojaner selbst ist nicht so wahnsinnig gefährlich – vorausgesetzt, man benutzt einen aktuellen Virenscanner! Denn so ziemlich alle Virenkiller erkennen ihn als Variante des zumeist als „Zhelatin“ benannten Trojaners. Dieser Trojaner durchsucht den gesamten Computer nach Emailadressen und versendet wiederum verseuchte Emails an alle gefundenen Adressen.
Betreffs:
Your ecard joke is waiting
You have an ecard
We have a ecard surprise
Someone Just sent you an ecard
Did you open your ecard yet
ecard waiting for you
Open your ecard
new ecard waiting
Now this is funny
online greeting waiting
sent you an ecard
Mailtexte:
laughing Funny Card
You have been sent a Funny Postcard
You have been sent the Funny Ecard
original Funny Card
Someone Sent you this Funny Ecard
your funny postcard
original Funny Postcard
sent a Funny Postcard
personal funny postcard
FunnyPostcard
laughing funny postcard
Scan-Ergebnis bei Virustotal
AntiVir
Worm/Zhelatin.pc
AVG
I-Worm/Nuwar.N
BitDefender
Trojan.Peed.IWX
CAT-QuickHeal
Win32.Email-Worm.Zhelatin.vg
ClamAV
Trojan.Peed-130
DrWeb
Trojan.Packed.357
eSafe
Suspicious File
eTrust-Vet
Win32/Sintun!generic
Fortinet
W32/PackTibs.M
F-Prot
W32/Zhelatin.F.gen!Eldorado
F-Secure
Email-Worm.Win32.Zhelatin.vg
Ikarus
Trojan.Peed.IWV
Kaspersky
Email-Worm.Win32.Zhelatin.vg
McAfee
W32/Nuwar@MM
Microsoft
TrojanDropper:Win32/Nuwar.gen!B
NOD32v2
probably a variant of Win32/Nuwar.Gen
Sophos
W32/Dorf-AX
Symantec
Trojan.Peacomm
VBA32
Email-Worm.Win32.Zhelatin.vg
VirusBuster
Worm.DR.Zhelatin.Gen.4
Webwasher-Gateway
Worm.Zhelatin.pc
Kaum ist für die Virenverbreiter „das Weihnachchtsgeschäft“ vorbei, machen sie mit einem neuen Trojaner als Liebesbrief weiter.
withlove.exe heißt die Datei, die von denselben Verursachern verbreitet wird.
Dieses mal haben sie keine viel versprechenden Domains gekauft, sondern verteilen ihre Trojaner über einfache IPs. Wieder findet sich im Quelltext ein Verweis auf Dateinamen wie
Spammails mit Texten wie
Hugging My Pillow http://111.222.333.444/
I Would Dream http://111.222.333.444/ (IPs von virenkiller.de geändert)
versuchen Sie Dumme auf Ihre Seiten zu locken.
Dort steht auch nicht besonders viel.
Ein Herz und darunter:
Your download should begin shortly. If your download does not start
in 10-20 seconds, you can
click here to launch the download
and then press Run. Enjoy!
Der Trojaner scheint relativ neu, kaum jemand erkennt ihn.
Jotti meint dazu:
BitDefender Trojan.Peed.ITB gefunden
NOD32 a variant of Win32/Nuwar gefunden
Etwas mehr erkennt Virustotal:
BitDefender 7.2 2008.01.16 Trojan.Peed.ITB
NOD32v2 2795 2008.01.16 a variant of Win32/Nuwar
Prevx1 V2 2008.01.16 Stormy:All Strains-All Variants
Webwasher-Gateway 6.6.2 2008.01.15 Win32.Malware.gen!88 (suspicious)
Tipps von Virenkiller:
-
Niemals solche Seiten ansurfen. Sie könnten demnächst auch mit Exploits gespickt sein.
-
Diese Dateien nie downloaden. Bezähmen Sie ihre Neugier
-
Update 16.1.2008
- Nachdem ich ihn zugesandt habe, erkennt Antivir den Schädling seit etwa 11:00 Uhr.
- Kaspersky muss weiterhin passen
- AVG erkennt ihn
- BitDefender erkennt ihn
- ClamAV und FProt versagen
- GDate versagt mal wieder online, wird ihn aber erkenne, weil es ja die Kaspersky-Engine benutzt.
- NOD und Sophos erkennen ihn, Norman und Panda nicht.
Update 18.1.2008
Es gibt eine neue Version des Trojaners, 115.201 Byte groß.
Name ist weiterhin withlove.exe
Kaspersky (GData), McAfee, Fprot, Antivir erkennen ihn nicht.
Hier die Liste der Scanner, die ihn laut Virustotal erkennen:
AVG 7.5.0.516 2008.01.18 I-Worm/Nuwar.L
BitDefender 7.2 2008.01.18 Trojan.Peed.ITK
ClamAV 0.91.2 2008.01.18 Trojan.Small-4843
Fortinet 3.14.0.0 2008.01.18 W32/PackTibs.L
F-Secure 6.70.13260.0 2008.01.18 Suspicious:W32/Malware!Gemini
Microsoft 1.3109 2008.01.18 TrojanDropper:Win32/Nuwar.gen!A
Prevx1 V2 2008.01.18 Stormy:Worm-All Variants
Symantec 10 2008.01.18 Trojan.Peacomm.D
Webwasher-Gateway 6.6.2 2008.01.18 Win32.Malware.gen!88 (suspicious)
Legt folgende Dateien im System ab:
%System%\burito.ini
%System%\burito5e84-1216.sys
Verändert Registry-Schlüssel
(Nach BURITO5E84 suchen)
