Die Fantasie der Malware-Spammer scheint doch begrenzt zu sein. Die inzwischen mindestens vierte Welle von Malware-Spam mit derselben Masche wird seit Montag Abend verbreitet und hält weiter an. Die Mails kommen mit der gefälschten Absenderangabe “anwalt@forderungseinzug.de” und einem Betreff wie “Forderung AZ: 370329/06”, “Aktenzeichen: 920242/60” oder auch “AZ: 655803/69” (die Nummern variieren).
Im Text wird eine regelmäßig mit Rechenfehlern gespickte Forderung nach angeblich ausstehenden Zahlungen für Dienste der Schmidtlein-Brüder erhoben. Die angegebenen IP-Adressen sind teilweise schlicht ungültig, denn keine der vier Zahlen darf größer als 255 sein. Der Text verweist auf den Anhang, der angeblich eine digital signierte Word-Datei sein soll.
Tatsächlich jedoch findet sich, soweit nicht bereits vom Virenscanner kassiert, zunächst ein RAR-Archiv mit Dateinamen wie “Anlage_zum_Mahnung.rar” oder “Original_Invoice.rar”. Darin steckt eine EXE-Datei mit doppelter Endung und PDF-Symbol sowie dem Dateinamen “O_Mahnung_Sign17174724535187871.pdf.exe”.
Dabei handelt es sich um ein 29 KB großes Trojanisches Pferd, dessen wesentliche Aufgabe es ist weitere Malware aus dem Internet zu laden. Es holt sich mit Hilfe des Internet Explorers zunächst eine Textdatei mit einer verschleierten Download-Adresse, von der es dann eine Datei “temp.exe” lädt. Diese wird sogleich ausgeführt und legt wie schon in früheren Fällen eine Programmbibliothek namens “ipv6monl.dll” (67 KB) im System32-Verzeichnis von Windows an.
Diese DLL wird als BHO (Browser Helper Object) im Internet Explorer registriert. Sie kann nun eingegebene Anmeldedaten für das Online-Banking protokollieren und an die Täter melden. Bei jeder neuen Spam-Welle werden frisch generierte Varianten der gleichen Malware eingesetzt, um die Erkennung durch Virenscanner zu erschweren.
Antivirus | Mail-Anhang | ipv6monl.dll |
|---|---|---|
AntiVir | TR/Dldr.iBill.AT | TR/Spy.BZub.AC |
Avast! | — | — |
AVG | — | — |
Bitdefender | Trojan.Downloader.Nurech.BG | — |
ClamAV | Trojan.Downloader-7253 | Trojan.Spy-6432 |
Command AV | W32/Downloader2.EFW | — |
Dr Web | DLOADER.Trojan (probably) | — |
eSafe | Trojan/Worm [101] (suspicious) | — |
eTrust | Win32/DlWreck.CF | — |
Ewido | Downloader.Delf.awi | Logger.BZub.ji |
F-Prot | W32/Downloader2.EFW | — |
F-Secure | Trojan-Downloader.Win32.Delf.awi | Trojan-Spy.Win32.BZub.ji |
Fortinet | W32/Delf.AWI!tr.dldr | W32/BZub.JG!tr |
Ikarus | Worm.P2P.Spybot | Trojan-Spy.Win32.BZub.ip |
Kaspersky | Trojan-Downloader.Win32.Delf.awi | Trojan-Spy.Win32.BZub.ji |
McAfee | Downloader-AAP trojan | Win32/Spy.BZub.JI |
Microsoft | — | — |
Nod32 | Win32/TrojanDownloader.Nurech.NBA trojan | — |
Norman | W32/Delf.AGOB | — |
Panda | — (Trj/Cimuz.FQ)* | — (Trj/Cimuz.FQ)* |
QuickHeal | — | — |
Rising AV | — | — |
Sophos | Mal/Behav-105 | Mal/Cimuz-A |
Symantec | Downloader | — |
Trend Micro | TROJ_SMALL.IAU | — |
VBA32 | — | — |
VirusBuster | Trojan.DL.Delf.XFV | Trojan.DR.BZub.Gen.12 |
WebWasher | Trojan.Dldr.iBill.AT | Trojan.Spy.BZub.AC |
GData AVK 2007 ** | Trojan-Downloader.Win32.Delf.awi | Trojan-Spy.Win32.BZub.ji |
Quelle: AV-Test , Stand: 23.05.2007, 13 Uhr
* noch nicht in offiziellen Virensignaturen enthalten ** mutmaßliche Erkennung auf Basis von Kaspersky und Avast
Autor: Frank Ziemann, Autor
Frank Ziemann ist seit 2005 als freier Autor für die PC-WELT tätig, schreibt News und Testberichte. Seine Themenschwerpunkte sind IT-Sicherheit (Malware, Antivirus, Sicherheitslücken) und Internet-Technik.