Vorsicht! Trojaner lockt mit angeblicher Grußkarte im Anhang

Liebe Leserin, lieber Leser,

der Trojaner Crypt.XPACK.Gen6 ist per E-Mail unterwegs und behauptet im Anhang eine Grußkarte zu haben. Und das ist natürlich gelogen. Wird die sich im Anhang befindende Datei durch einen Doppelklick geöffnet, erhält man keine schönen Grüße. Stattdessen installiert sich der Trojaner auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen:

Betreff: You have received an eCard

E-Mail-Text: Unterschiedlicher Text in englischer Sprache.

Adresse des Absenders*: slopez@riversidedpss.org

* Bitte beachten Sie, dass die Absender-Adresse häufig gefälscht ist, es sich also meist nicht um den Urheber der schadhaften E-Mail handelt.

Betroffene Betriebssysteme: Alle Windows-Versionen

Zu dieser angeblich nicht zustellbaren Mail ist folgendes zu ergänzen:

Kann eine Mail nicht zugestellt werden, dann gibt es im Regelfall keinen Anhang, sondern der Grund wird in reiner Textform erklärt.

Wie ich bereits in meinem vorherigen Posting schriebt:
- seht zu, dass Windows auch die bekannten Dateiendungen anzeigt!
- exe-Dateien als Mailanhang auch von Bekannten erst nach Rückfrage (ist die Mail mit Inhalt wirklich von ihm) öffnen.

Vorsicht! Verwurmte Strafanzeige wieder im Umlauf

Liebe Leserin, lieber Leser,

ein als Strafanzeige der Kripo getarnter E-Mail-Virus verbreitet sich wieder mal im Internet. 
Die gleiche E-Mail war schon vor 4 Wochen unterwegs und hat bei vielen ahnungslosen Anwendern das System verseucht. 
Der Empfänger sei angeblich beim Herunterladen von Filmen, Software und MP3 erwischt 
und der Inhalt seines PCs als Beweismittel sichergestellt worden – 
eine entsprechende Strafanzeige, so der Mail-Text weiter, „wird Ihnen in den nächsten Tagen schriftlich zugestellt“. 
Details zu den gesammelten Beweisen sollen sich im Anhang befinden –
doch lauert dort nicht der Staatsanwalt, sondern ein Wurm.

Die E-Mail hat folgendes Aussehen:

Betreff: „Ermittlungsverfahren wurde eingeleitet“

Dateianhang: „text.pdf.exe“

E-Mail-Text: „ Sehr geehrte Damen und Herren, das Herunterladen von Filmen, Software und MP3s ist illegal und somit Strafbar. 
Wir möchten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP 62.36.148.*** erfasst wurde. 
Der Inhalt Ihres Rechner wurde als Beweismittelsichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingeleitet. 
Die Strafanzeige und die Möglichkeit zur Stellungnahme wird Ihnen in den nächsten Tagen schriftlich zugestellt.”

Virus: Mytob.BW4

Virustyp: Wurm

Dateigröße: 53.248 Bytes

Betroffene Betriebssysteme: Alle Windows-Versionen

nstallation auf dem System

Wird der Wurm ausgeführt, erstellt er folgende Datei:
  • %SYSDIR%w32NTupdt.exe

Folgende Einträge werden in der Registry angelegt:

–  HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
  • "A New Windows Updater"="w32NTupdt.exe"

–  HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices
  • "A New Windows Updater"="w32NTupdt.exe"

–  HKCUSoftwareMicrosoftWindowsCurrentVersionRun
  • "A New Windows Updater"="w32NTupdt.exe"

– HKCUSoftwareMicrosoftOLE
  • "A New Windows Updater"="w32NTupdt.exe"

– HKLMSOFTWAREMicrosoftOle
  • "A New Windows Updater"="w32NTupdt.exe"

– HKCUSYSTEMCurrentControlSetControlLsa
  • "A New Windows Updater"="w32NTupdt.exe"

– HKLMSYSTEMCurrentControlSetControlLsa
  • "A New Windows Updater"="w32NTupdt.exe"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – 
besonders gegenüber E-Mails mit Links oder mit Anhang!

bandit schrieb on 17. Dezember 2008 um 13:13:



Da ist der Patch

Vorsicht! Trojaner lockt mit angeblicher Abrechnung im Anhang


Der Trojaner Agent.RCE3 versteckt sich im Anhang einer E-Mail, 
die scheinbar einen geänderten Vertrag übermitteln soll. Nähere Angaben zum Vertrag, 
können Sie angeblich der im Anhang befindlichen Datei entnehmen. Und das ist natürlich gelogen. 
Wird die sich im Anhang befindende Datei durch einen Doppelklick geöffnet, 
erhält man keine Informationen über den von der Gegenseite vorbereiteten Vertrag. Stattdessen installiert sich der Trojaner auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff – einer der folgenden: 
 • Loan Contract 
 • Contract of order fulfillment 
 • Your new labour contract 
 • Record in debit of account

Dateianhang: contract.zip

E-Mail-Text: 
„Dear Sirs, 
We have prepared a contract and added the paragraphs that you wanted to see in it. 
Our lawyers made alterations on the last page. 
If you agree with all the provisions we are ready to make the payment on Friday for the first consignment. We are enclosing the file with the prepared contract. 
If necessary, we can send it by fax. 
Looking forward to your decision.”

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt: 
  • %PROGRAM FILES%\Microsoft Common\wuauclt.exe

So schützen Sie Ihr System 
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber 
E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!

Vorsicht! Trojaner Bagle lockt mit Gesundheit und Wissen

Der Trojaner Bagle.DR3 wird per E-Mail über diverse Spamlisten in Umlauf gebracht und hat sich schon relativ stark verbreitet. Wird die im Anhang der E-Mail befindliche ZIP-Datei entpackt und ausgeführt, kopiert sich der Trojaner ins Systemverzeichnis.
Der Trojaner Bagle.DR3 ist ein Downloader, der mit dem Explorer-Task gestartet wird. Die DLL-Datei versucht dann Dateien von verschiedenen Internetseiten auf Ihren PC nachzuladen. Darüber hinaus nimmt Bagle.DR2 eigenständig Einträge in der Windows-Registry vor.

Die E-Mail hat folgendes Aussehen

Betreff: Unterschiedlicher Text

Dateianhang: Health_and_knowledge.zip

E-Mail-Text: Kein Text

Dateigröße: 9.675 Bytes

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:
  • %SYSDIR%\lphc1boj0e39c.exe

Es werden folgende Dateien erstellt:

– %SYSDIR%\phc1boj0e39c.bmp

– %SYSDIR%\blphc1boj0e39c.scr Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde.

– C:\Documents and Settings\makrorechner\Local Settings\Temp\.tt1.tmp.vbs Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde.

Einer der folgenden Werte wird dem Registryschlüssel hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  • lphc1boj0e39c="%SYSDIR%\lphc1boj0e39c.exe"

Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Software Notifier]
  • InstallationID="3503dd7f-a0fc-4a9b-9fb3-3256a6dc78ce"

– [HKCU\Software\Sysinternals\Bluescreen Screen Saver]
  • EulaAccepted=dword:00000001

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
  Neuer Wert:
  • NoDispBackgroundPage=dword:00000001
  • NoDispScrSavPage=dword:00000001

– [HKCU\Control Panel\Colors]
  Neuer Wert:
  • Background="0 0 255"

– [HKCU\Control Panel\Desktop]
  Neuer Wert:
  • WallpaperStyle="0"
    TileWallpaper="0"
    Wallpaper="%SYSDIR%\phc1boj0e39c.bmp"
    OriginalWallpaper="%SYSDIR%\phc1boj0e39c.bmp"
    SCRNSAVE.EXE="%SYSDIR%\blphc1boj0e39c.scr"
    ScreenSaveActive="1"
    ScreenSaveTimeOut="600"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!

Vorsicht! Wurm lockt mit angeblich fehlgeleiteter E-Mail im Anhang
 

Der Wurm Mytob.U2 ist unterwegs. Der Wurm versteckt sich im Anhang einer E-Mail, die scheinbar nicht zugestellt werden konnte. Nähere Angaben zu dieser E-Mail können Sie angeblich der im Anhang befindlichen Datei entnehmen. Und das ist natürlich gelogen. 
Wird die sich im Anhang befindende Datei durch einen Doppelklick geöffnet, erhält man keine Informationen über die entsprechende E-Mail, die nicht zugestellt werden konnte. Stattdessen installiert sich der Wurm auf dem betreffenden System. 


Die E-Mail hat folgendes Aussehen

Betreff – einer der folgenden: 
  • hello 
  • hi 
  • Error 
  • Status 
  • Server Report 
  • Mail Transaction Failed 
  • Mail Delivery System 

Dateianhang – einer der folgenden: 
  • body 
  • message 
  • test 
  • data 
  • file 
  • text 
  • doc 
  • readme 
  • document

E-Mail-Text – einer der folgenden: 
  • Mail transaction failed. Partial message is available. 
  • The message contains Unicode characters and has been sent as a binary attachment. 
  • The message has been sent as a binary attachment. 
  • test 
Hinweis: der Body kann auch leer sein.

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt: 
  • %SYSDIR%\wfdmgr.exe

Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
  • \"LSA\"=\"wfdmgr.exe\"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 
  • \"LSA\"=\"wfdmgr.exe\"

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run 
  • \"LSA\"=\"wfdmgr.exe\"

Folgende Registryschlüssel werden hinzugefügt:

– HKCU\Software\Microsoft\OLE 
  • \"LSA\"=\"wfdmgr.exe\"

– HKCU\SYSTEM\CurrentControlSet\Control\Lsa 
  • \"LSA\"=\"wfdmgr.exe

– HKLM\SOFTWARE\Microsoft\Ole 
  • \"LSA\"=\"wfdmgr.exe\"

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa 
  • \"LSA\"=\"wfdmgr.exe\"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang! 

Vorsicht! Mytob lockt mit gekündigtem E-Mail-Account

Der Wurm Mytob.PK4 ist wieder unterwegs. Der Wurm versteckt sich im Anhang einer E-Mail, die behauptet, der aktuelle E-Mail-Zugang wäre vom Provider deaktiviert worden. Nähere Angaben zu dieser E-Mail können Sie angeblich der im Anhang befindlichen Datei entnehmen. Und das ist natürlich gelogen. 
Wird die sich im Anhang befindende Datei durch einen Doppelklick geöffnet, erhält man keine Informationen über den deaktivierten E-Mail-Account. Stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: 
  • Email Account Suspension 
  • Important Notification 
  • Members Support 
  • Notice of account limitation 
  • Security measures 
  • Warning Message: Your services near to be closed. 
  • You have successfully updated your password 
  • Your Account is Suspended 
  • Your Account is Suspended For Security Reasons 
  • Your internet access is going to get suspended 

Dateianhang: 
  • account-details 
  • account-info 
  • account-password 
  • account-report 
  • approved-password 
  • document 
  • email-details 
  • email-password 
  • important-details 
  • new-password 
  • password 
  • readme 
  • updated-password 

Größe des Dateianhangs: 56.832 Bytes.

E-Mail-Text: 
„Dear user %username from receivers email address%”. 
+++ Attachment: No Virus (Clean)

Betroffene Betriebssysteme: Alle Windows-Versionen.

Installation auf dem System

Wird der Anhang ausgeführt, kopiert sich der Wurm unter folgenden Dateinamen in das Windows-Systemverzeichnis: 
• %SYSDIR%\rnathchk.exe

Folgende Einträge in der Windows Registry werden angelegt:  

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 
  • "RealPlayer Ath Check"="rnathchk.exe"

–  [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
  • "RealPlayer Ath Check"="rnathchk.exe"

–  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 
  • "RealPlayer Ath Check"="rnathchk.exe"

Folgende Registry-Schlüssel werden hinzugefügt:

– [HKCU\Software\Microsoft\OLE] 
  • "RealPlayer Ath Check"="rnathchk.exe"

– [HKCU\SYSTEM\CurrentControlSet\Control\Lsa] 
  • "RealPlayer Ath Check"="rnathchk.exe"

– [HKLM\SOFTWARE\Microsoft\Ole] 
  • "RealPlayer Ath Check"="rnathchk.exe"

– [HKLM\SYSTEM\CurrentControlSet\Control\Lsa] 
  • "RealPlayer Ath Check"="rnathchk.exe"

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!