HIER Viren- & Trojanerwarnungen posten!

[Ham-Master]

Dropper.N 17.08.2010

Verbreitung:--->*****
Schaden:------>*****

Zurzeit ist der Trojaner Dropper.N per E-Mail unterwegs. Mit einem angeblichen Bußgeldbescheid von der Straßenaufsicht,
versucht der Trojaner sich auf dem betreffenden System zu installieren. Der Text verweist auf einen Link in der E-Mail, den man öffnen soll.
Wenn Sie den Link anklicken, erscheint kein Bußgeldbescheid, sondern der Trojaner kapert das System.

Die E-Mail hat folgendes Aussehen

Betreff: Bußgeldbescheid von der Straßenaufsicht.

E-Mail-Text: „Sehr geehrte(r) Frau/Herr ,

unter dem Aktenzeichen DR-10/07-2511 wird gegen Sie ein Verfahren
eingeleitet!

Die Gründe und näheren Umstände zu den Ihnen gemachten Vorwürfen
finden Sie hier:

http ://nl.cxxxxxxxxxxxxxxxxxxx. htm

Mit freundlichen Grüßen

Ihre Straßenaufsicht“

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Es wird folgende Datei erstellt und ausgeführt:
– %TEMPDIR%\tassvhost.exe

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

Sober.F 19.08.2010

Verbreitung:--->*****
Schaden:------>*****

Der altbekannte Wurm Sober.F ist wieder per E-Mail unterwegs und verstopft die Postfächer.
In der E-Mail ist zu lesen, dass angeblich illegale Internetseiten besucht worden sind. Nähere Informationen
über die besuchten Seiten könne man dem Anhang der E-Mail entnehmen.
Nach einem Doppelklick auf die im Anhang befindliche Datei, erhält man jedoch keine weiteren Informationen,
stattdessen installiert sich der Wurm auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Betreff: Warnung!

Dateianhang: Schwarze-Liste

Größe des Dateianhangs: 42.496 Bytes

E-Mail-Text: Wir haben festgestellt, dass Sie illegale Internet- Seiten besuchen. Bitte beachten Sie folgende Liste: Schwarze-Liste

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:

• %SYSDIR%\%zufällige Wörter%.exe

%zufällige Wörter%:
• sys
• host
• dir
• expolrer
• win
• run
• log
• 32
• disc
• crypt
• data
• diag
• spool
• service
• smss32

Es werden folgende Dateien erstellt:
• %SYSDIR%\winhex32xx.wrm
• %SYSDIR%\winsys32xx.zzp

Die folgenden Registry-Schlüssel werden hinzugefügt um den Wurm nach einem Neustart des Systems zu starten:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• %zufällige Wörter% = %SYSDIR%\%zufällige Wörter%.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \
%zufällige Wörter%]
• %zufällige Wörter% = %SYSDIR%\%zufällige Wörter%.exe

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

Ryknos2 20.08.2010

Verbreitung:--->*****
Schaden:------>******

Zurzeit ist der Trojaner Ryknos2 unterwegs, der die Eigenschaften eines Rootkits besitzt.
Rootkits sind hinterhältig. Denn Sie manipulieren Ihr System nach der Installation so,
dass Sie den schädlichen Code der Kits nicht sehen und damit auch nicht beseitigen können.

Die E-Mail hat folgendes Aussehen

Betreff: Message for you

Dateianhang: Message.exe.pdf

E-Mail-Text: Unterschiedlicher Text

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Nach dem Ausführen kopiert sich der Trojaner in den Windows-Ordner mit dem Dateinamen $sys$drv.exe und legt folgenden Eintrag in der Registry an.

[HKEY_CURRENT_USER%variabel%]
"$sys$drv"="$sys$drv.exe"

Der Trojaner Ryknos.A kann sich zu unterschiedlichen Servern über den Port 8080 verbinden lassen. Der Trojaner versucht dann dem „Sony“-
Channel mit der Bezeichnung "[0000-XP]%variabel%" beizutreten. Damit kann der Trojaner durch den Kopierschutz XCP unerkannt eine Hintertür für weitere Angriffe öffnen.

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

Chir.p 21.08.2010

Verbreitung:--->*****
Schaden:------>*****

Der Wurm Chir.p verbreitet sich zurzeit per E-Mail. Der Wurm versucht mit Betreffzeilen, die auf pornographische Inhalte schließen lassen,
den Empfänger zum Öffnen auf den beigefügten Anhang zu verführen. Nach dem Doppelklick auf die scheinbare Grafikdatei, erscheint dann kein Bild,
sondern der Wurm installiert sich auf dem betreffenden System.
Der Wurm löscht dann wichtiger Dateien des installierten Anti-Viren-Programms, um sich selbst vor Entdeckung zu schützen.
Anschließend missbraucht er das infizierte System, um sich selbst weiter zu versenden.

Die E-Mail hat folgendes Aussehen

Betreff: "Hot Movie", "Great Video", "SeX.mpg", "Sexy", "Crazy illegal Sex!", "Photos", "School girl fantasies gone bad"

Dateianhang: "Adults_9,zip.sCR", "Clipe,zip.sCr", "New Video,zip", "Photos,zip.sCR", oder "School.pif".

E-Mail-Text: "Re: Sex Video", "i just any one see my photos.", "It's Free :)", "VIDEOS! FREE! (US$ 0,00)"

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\runouce.exe

Es wird folgende Datei erstellt:
– MIME enkodierte Kopie seiner selbst:
• Readme.eml

Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

Tration.Gen 25.08.2010

Verbreitung:--->*****
Schaden:------>*****

Der Trojaner Tration.Gen ist massiv per E-Mail unterwegs. In der E-Mail ist zu lesen, dass die eigene E-Mail-Adresse gesperrt wird.
Alle nötigen Informationen könne man dem Anhang der E-Mail entnehmen.
Nach einem Klick auf den Link in der E-Mail, erhält man jedoch keine Informationen über die Sperrung des eigenen E-Mail-Accounts,
stattdessen installiert sich der Trojaner auf dem betreffenden System.

Die E-Mail hat folgendes Aussehen

Von: Webmaster.de

Betreff: Ihre Email-Adresse DEACTIVATION ACHTUNG!

Body: „Lieber Kontoinhaber,
diese Meldung wird von unserer ********n Datenbank Messaging-Center für
alle unseren E-Mail-Kontoinhabern. Das Office of Information Technology
wird in den Prozess der Migration aller E-Mail-Konten aktualisiert
******** E-Mail-Dienste. Wir löschen alle nicht verwendeten
E-Mail-Konten, um mehr Raum für neue Konten erstellen.
Um zu verhindern, von Ihrem Konto geschlossen wird, müssen Sie die unten
angegebenen Informationen zu aktualisieren, so dass wir sicher sein,
dass Ihr Account noch aktiv ist derzeit bieten.
Bestätigen Sie Ihre E IDENTITY unten:
E-Mail-Benutzername: .......... .....
E-Mail-Passwort: ................
Lage: ................
Warnung! Kontoinhaber, die seine oder ihre E-Mail-Konto innerhalb 10days
nach Erhalt dieser Warnung wird seine oder ihre E-Mail-Konto dauerhaft
verlieren Update verweigert.
Danke für die Benutzung unserer Webmail-Diensten
Warnung Code: VX2G99AAJ
Mit freundlichen Grüßen,
Webmaster Team.”

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:
• %SYSDIR%\ntos.exe

Folgende Datei wird gelöscht:
• %cookies%\*.*

Es werden folgende Dateien erstellt:

– Dateien für temporären Gebrauch. Diese werden möglicherweise wieder gelöscht.
• %SYSDIR%\wsnpoem\audio.dll
• %SYSDIR%\wsnpoem\video.dll

Folgende Registryschlüssel werden geändert:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Alter Wert:
• Userinit = %SYSDIR%\userinit.exe,
Neuer Wert:
• Userinit = %SYSDIR%\userinit.exe,%SYSDIR%\ntos.exe,

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network]
Neuer Wert:
• UID = %Name des Computers%_%Hexadezimale Zahl%

Die folgenden Ports werden geöffnet:
– svchost.exe an einem zufälligen TCP port um Backdoor Funktion zur Verfügung zu stellen.
– svchost.exe an einem zufälligen TCP port um einen Proxy Server zur Verfügung zu stellen.
– svchost.exe an einem zufälligen TCP port um einen Socks4 Proxy Server zur Verfügung zu stellen.

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

TR/Dldr.iBill.T 27.08.2010

Verbreitung:--->*****
Schaden:------>*****

Zurzeit werden E-Mails versandt, die angeblich von dem schwedischen Möbelhaus Ikea stammen.
Der E-Mail-Text weist den Empfänger auf einen Rechnungsbetrag von knapp 400 Euro hin –
nähere Details könne der Empfänger dem beigefügten Anhang entnehmen. In dem Anhang steckt natürlich keine Rechnung,
sondern ein heimtückischen Trojaner TR/Dldr.iBill.T, der das betreffende System infiziert.
Eine genaue Beschreibung des digitalen Schädlings und Maßnahmen, wie Sie sich schützen können, finden Sie hier.

Die E-Mail hat folgendes Aussehen

Betreff: „Ihre IKEA Rechnung“.

Dateianhang: „Rechnung.pdf.exe“

E-Mail-Text: „Sehr geehrter IKEA Kunde, im Anhang finden Sie vorab Ihre Rechnung über 400 Euro. Diese wird Ihnen zusätzlich per Post zugesandt.”

Dateigröße: 35.840 Bytes

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Wird der Wurm ausgeführt, erstellt er folgende Dateien:
• %SYSDIR%\iasx.exe

Folgende Einträge werden in der Registry angelegt:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "iasx"="iasx.exe"
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "zwq"=dword:000178d8

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!

[Ham-Master]

Sober.DS 30.08.2010

Verbreitung:--->*****
Schaden:------>*****

Der Wurm Sober.DS verbreitet sich zurzeit wieder per E-Mail. Der Wurm versucht Sie mit Betreffzeilen, die das Schließen Ihres E-Mail-Anschluss androhen,
zum Öffnen des beigefügten Anhangs zu verführen. Nach dem Entpacken des Anhangs und einem Doppelklick auf die scheinbare Textdatei,
erscheinen dann keine Informationen, sondern der Wurm installiert sich auf Ihrem System.
Der Wurm blockiert dann das installierte Anti-Viren-Programm, um sich vor der Entdeckung zu schützen.
Anschließend missbraucht er das infizierte System, um sich selbst weiter zu versenden.

Die E-Mail hat folgendes Aussehen

Betreff: "WARNING* Your Email Account Will Be Closed", "Email Account Suspension", "Notice: *** Last Warning *** ", "Your Email Account is Suspended For Security Reasons", "Account Alert" oder "Important Notification".

Dateianhang: "email-info.zip", "email-doc.zip", "account-details.zip" oder "information.zip".

Größe des Dateianhangs: 49.790 Bytes.

E-Mail-Text: Unterschiedlicher Text.

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Eine Kopie seiner selbst wird hier erzeugt:

• %SYSDIR%\%zufällige Wörter%.exe

%zufällige Wörter%:
• sys
• host
• dir
• expolrer
• win
• run
• log
• 32
• disc
• crypt
• data
• diag
• spool
• service
• smss32

Es werden folgende Dateien erstellt:
• %SYSDIR%\winhex32xx.wrm
• %SYSDIR%\winsys32xx.zzp

Die folgenden Registry-Schlüssel werden hinzugefügt um den Wurm nach einem Neustart des Systems zu starten:
– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• %zufällige Wörter% = %SYSDIR%\%zufällige Wörter%.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \
%zufällige Wörter%]
• %zufällige Wörter% = %SYSDIR%\%zufällige Wörter%.exe

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern –
besonders gegenüber E-Mails mit Links oder mit Anhang!