Spam-artig verbreitete E-Mails mit einer vorgeblichen Rechnung des Online-Händlers Amazon enthalten ein Trojanisches Pferd. Die Mails kommen mit einem Betreff wie “Ihre Bestellung {Nummer} bei Amazon.de” und enthalten im Anhang ein ZIP-Archiv. Dieses heißt zum Beispiel “Rechnung.zip” und enthält eine EXE-Datei namens “Amazon.pdf.exe”. Dabei handelt es sich um ein Trojanisches Pferd, das weitere Schädlinge aus dem Internet nachlädt.
Der Text der Mails gleicht dem in früheren Mails dieses Typs und behauptet, der Mail-Empfänger habe ein Notebook der Marke Vaio bestellt. Der Kaufpreis von 1636 Euro würde vom Konto abgebucht. Falls man die Bestellung stornieren wolle, müsse man den Kundendienst unter der im Anhang angegebenen Telefonnummer anrufen. Damit wird für arglose Zeitgenossen ein Anlass geliefert, den Anhang zu öffnen.
Bei dem darin steckenden Trojanischen Pferd handelt es sich wie in den bisherigen Fällen um einen Schädling aus der Familie Nurech/Bzup/Cimuz (Name je nach Antivirus-Hersteller). Die damit verseuchten Rechner laden weitere Malware aus dem Internet nach und werden mit deren Installation Teil eines Botnets. Diese fremdgesteuerten Rechner, auch “Zombies” genannt, verbreiten dann im Auftrag von Spammern massenhaft unseriöse Werbe-Mails.
Erkennung des Anhangs durch Antivirus-Programme (Update):
Antivirus | Malware-Name |
|---|---|
AntiVir | TR/Dldr.iBill.U |
Avast! | Win32:BZub-CE [Trj] |
AVG | Downloader.Generic3.TLA |
Bitdefender | — |
ClamAV | Trojan.Fakebill-1 |
Command AV | — |
Dr Web | DLOADER.Trojan |
eSafe | Trojan/Worm [101] |
eTrust | — |
Ewido | Downloader.Nurech.as |
F-Prot | — |
F-Secure | Trojan-Downloader.Win32.Nurech.as |
Fortinet | W32/AAP!tr.dldr |
Ikarus | Trojan-Downloader.Win32.Nurech.as |
Kaspersky | Trojan-Downloader.Win32.Nurech.as |
McAfee | Downloader-AAP.gen |
Microsoft | TrojanDownloader:Win32/Nurech.gen!B |
Nod32 | Win32/TrojanDownloader.Nurech.AS |
Norman | W32/DLoader.CCIJ |
Panda | — (Trj/Cimuz.CY)* |
QuickHeal | — |
Rising AV | — |
Sophos | Mal/Clagger-A |
Symantec | — (Downloader)* |
Trend Micro | TROJ_DLOADER.FEN |
UNA | — |
VBA32 | — |
VirusBuster | Trojan.DL.Nurech.BB |
WebWasher | Trojan.Dldr.iBill.U |
GData AVK 2007 ** | Trojan-Downloader.Win32.Nurech.as |
Quelle: AV-Test , Stand: 22.02.2007, 14:00 Uhr * noch nicht in offiziellen Virensignaturen enthalten ** mutmaßliche Erkennung auf Basis von Kaspersky und Avast
Autor: Frank Ziemann, Autor
Frank Ziemann ist seit 2005 als freier Autor für die PC-WELT tätig, schreibt News und Testberichte. Seine Themenschwerpunkte sind IT-Sicherheit (Malware, Antivirus, Sicherheitslücken) und Internet-Technik.