Malware: angeblicher UFO-Fund in Berliner U-Bahn
Eine Meldung über einen angeblichen Fund eines unbekannten Flugkörpers in der Berliner U-Bahn wird in Spam-artigen Mails verbreitet. Die Falschmeldung dient jedoch nur dem Einschleusen von Malware.
Heute werden Spam-artige Mails verbreitet, in denen behauptet wird, Mitarbeiter der Berliner U-Bahn hätten Reste eines unbekannten Flugkörpers entdeckt, der "so gross wie ein Bus" sei. Er könne Strahlen ausgesendet haben und Ursache des Unwohlseins einiger U-Bahn-Angestellten sein. Die Mails kommen mit einem Betreff wie "Es ist interessant" und enthalten keinen Anhang.
An Ende der Mails steht jedoch ein Link zu einer Seite auf Geocities.com. Nach einer Meldung des Internet Storm Centers ist jede bislang gesichtete Mail dieser Art mit einem Link auf eine andere Geocities-Seite versehen. Die Seiten enthalten einen versteckten iFrame, der eine knapp 100 KB große EXE-Datei von einem Server in Hongkong lädt.
Dabei handelt es sich um ein Trojanisches Pferd aus der "BZub"-Familie. Dieses legt eine Datei namens "ipv6monl.dll" im System32-Verzeichnis von Windows an und registriert diese als Browser Helper Object (BHO) im Internet Explorer. Dadurch können online eingegebene Zugangsdaten, etwa für das Online-Banking, mitprotokolliert werden.
Erkennung durch Antivirus-Software:
| Antivirus | EXE-Datei | ipv6monl.dll |
|---|---|---|
| AntiVir | TR/Agent.100056 | TR/Spy.BZub.IQ |
| Avast! | --- | --- |
| AVG | PSW.Generic3.WEQ | PSW.Generic3.WEP |
| Bitdefender | --- | --- |
| ClamAV | Trojan.Dropper-739 | Trojan.Spy-4723 |
| Command AV | --- | --- |
| Dr Web | Trojan.PWS.Lineage | --- |
| eSafe | --- | --- |
| eTrust | --- | --- |
| Ewido | Logger.BZub.iq | Logger.BZub.iq |
| F-Prot | --- | --- |
| F-Secure | Trojan-Spy.Win32.BZub.iq | Trojan-Spy.Win32.BZub.iq |
| Fortinet | PossibleThreat | --- |
| Ikarus | Trojan-Spy.Win32.Goldun.lw | --- |
| Kaspersky | Trojan-Spy.Win32.BZub.iq | Trojan-Spy.Win32.BZub.iq |
| McAfee | --- (Spy-Agent.ba)* | Spy-Agent.ba.dll |
| Microsoft | --- | --- |
| Nod32 | Win32/Spy.BZub.IQ trojan | Win32/Spy.BZub.IQ |
| Norman | W32/Malware (Sandbox) | --- |
| Panda | --- | --- |
| QuickHeal | --- | --- |
| Rising AV | --- | --- |
| Sophos | Mal/Binder-C | Mal/Cimuz-A |
| Symantec | Infostealer.Bzup | Infostealer.Bzup |
| Trend Micro | TSPY_BZUB.AG | TSPY_BZUB.IH |
| VBA32 | MalwareScope.Trojan-Spy.BZub.1 | --- |
| VirusBuster | --- | --- |
| WebWasher | Trojan.Agent.100056 | Trojan.Spy.BZub.IQ |
| GData AVK 2007 ** | Trojan-Spy.Win32.BZub.iq | Trojan-Spy.Win32.BZub.iq |
