Trojan.Crypt: Vertrag_N_3.exe

Seit mehreren Tagen treibt nun schon eine Malware die Runde per Email, dessen Text und Betreff uns von WSNPoem bekannt vorkommt. Um so mehr verwirrend, dass es sich gar nicht um WSNPoem handelt. Hier ein paar Beispiele der erwähnten Emails:

11. August 2008

14. August 2008

15. August 2008

Was bei allen Attachements gleich ist, ist das Symbol: Ein Office Word 2003 Symbol. Der Trojaner erstellt weder das wsnpoem Verzeichnis (C:\WINDOWS\system32\wsnpoem) noch die dazugehörige ntos.exe. Auch die von wsnpoem kontaktierten Domains rührt die Malware nicht an, vielmehr kontaktiert er Domains, welche ich bis anhin noch nie gesehen habe. Dabei sucht er sich scheinbar eine beliebige Domains aus der folgenden Liste aus, mit welcher er Kontakt aufnimmt:

Ein paar Domains sind bereits offline. Alle anderen zeigen auf die IP-Adresse 91.203.93.10. Die IP-Adresse ist uns zwar noch nicht bekannt, jedoch liegt sie im Netblock 91.203.92.0/22. Na hat’s klick gemacht? Ein Grossteil der uns bekannten wsnpoem liegen in dem selben Netblock (Siehe “Hinter den Kulissen von wsnpoem”)! Der Netblock ist bei Spamhaus unter SBL65512 mit dem Kommentar “Virus writers, malware spreaders, C&C servers” gelistet.

Nach der Infektion wird eine Script auf einer der obigen Domains kontaktiert. z.B::

Die Technik ist die Selbe wie bei wsnpoem: Der Server sendet ab und zu auf die Anfrage des infizierten Computers ein HTTP 302 Found mit einer Location zurück. Dabei verweist er (wie wsnpoem auch) auf andere URLs, wo sich der infizierter Rechner eine Rogue Software (Antivirus XP 2008) sowie einen SpamMailer (PushDo) nach lädt. Komisch nur, dass die letzte paar Varianten von wsnpoem die selbe Technik verwendet sowie den selben Schadcode nachlädt wie die aktuelle Malware.

Fazit

Nun gibt es drei Theorien zu der Malware:

Oder aber wir kommen der ganzen Geschichte auf die Schliche: Der Provider der erwähnten IP-Adresse (sprich des Netblocks) ist die UATELECOM mit Sitz in der Ukraine. Wir wissen, dass sich der Provider mehr und mehr in den Kreisen des RBNs bewegt. Es könnte also durch aus sein, dass das RBN seine Dienste über die UATELECOM weiterverkauft. Um etwas präziser zu werden: Wir wissen, dass es sich bei der eingesetzten Software zur Kontrolle des Botnets um ZeuS handelt. Möglich wäre es also, dass das RBN diese Software weiterverkauft und die Kunden dieser Software in dem genannten Subnet der UATELECOM hostet. Somit lässt sich auch erklären, warum die E-Mail Texte der beiden Trojaner die Selben sind (=das RBN bietet E-Mail Templates an).

Welche Theorie auch die Richtige sein mag, etwas bleibt immer gleich: Vorsicht bei E-Mail Attachements!

UPDATE 19.08.08 10:32 Uhr

Seit heute Morgen ca. 09:30 Uhr kursiert die Malware mit einer neuen Spam-Welle:

Der Betreff der E-Mail variiert zwischen Rent contract und Loan Contract:

Im Attachement Contract_2.zip befindet sich die selbe Malware wie auch in den Mails welche letzte Woche schon die Runde gedreht haben:

Der Trojaner kontaktiert die bereits oben erwähnten Domains, jedoch verweist er auf ein anderes Script:

Das aufgerufene Script arbeitet ebenfalls mit der bereits erwähnten “HTTP Locations” (HTTP 302 Found).

UPDATE 11:32 Uhr

Sophos hat soeben einen Blog Post zu der neuen Spam-Welle veröffentlicht:

SophosLabs blog: “No Clause for Concern”

Related Posts

• Fake hotel.de Booking Emails Hitting CH and DE
• Fake Swisscom And T-Mobile Emails Hitting CH and DE
• Malware Spreads Through Malicious PDF Attachments
• Delta Airlines Spam Lead To Citadel
• Dutch Spam Campaign Hits Switzerland With P2P ZeuS
• A Quick Update On Spambot Kelihos
• Ransomware Gets Professional, Targeting Switzerland, Germany And Austria
• Kelihos Back In Town Using Fast Flux
• Scareware Locks Down Computer Due To Child Porn and Terrorism
• Ice IX – Or Just ZeuS?