The Swiss Security Blog
A week ago, I’ve published the abuse.ch ZeuS Tracker. Now I decided to post some statistical data about the ZeuS hosts.
First of all, let’s take a look at the worst ISPs, which are currently hosting ZeuS Command&Control servers:
| ZeuS host count | AS number | AS name |
| 17 | 44997 | BTG route block |
| 14 | 16265 | LEASEWEB AS |
| 13 | 44097 | Sistemnet Telekomunikasyon |
| 11 | 9800 | CHINA UNICOM |
It’s quit interessting to see AS44997 (BTG12-AS BTG route block) at the top of the worst ISPs. For those of you which are reading my blog frequently: You now that ASN very-well from my previous posts. For all others: AS44997 was formerly known as UATelecom. The ISP is now known as Ural Industrial Company (Ural-NET) and is located in Russia. Different name but the same dirty business as before:
Source: ZeuS Tracker :: AS44997
A part of Ural Industrial Company subnet is also listed on Spamhaus’s Don’t Route Or Peer (DROP) list:
Ref: SBL70438
91.211.64.0/22 is listed on the Spamhaus Block List (SBL)
15-Feb-2009 21:53 GMT | SR04
Cybercrime & spam hosting hub; Ural Industrial Company
Source: Spamhaus SBL70438
Another suspicious ISP is Leasweb, which is located in the Netherlands. When we look at Spamhaus SBL, we see more supicious activities in Leasweb’s Network:
The next ISP is Sistemnet Telekomunikasyon which is located in Turkey. I’ve already seen a lot of phishing sites, C&Cs and dropzones there. Shortly, It’s even worst than Ural-NET. Just take a look onto the SBLs concerning Sistemnet Telekomunikasyon:
Wow, there are currently 50 SBL listings concerning that ISP! So just another dirty ISP…
Now let’s take a look into the top ten ZeuS hosting countries:
| # of ZeuS hosts | country |
| 47 | Russian Federation |
| 41 | United States |
| 23 | China |
| 19 | Netherlands |
| 12 | Ukraine |
| 11 | Turkey |
Just without a comment.
If you want to see the whole statistic you can take a look on it on the ZeuS Tracker statistic page (link).
Improvements made to the ZeuS Tracker
Last but not least I have made some improvements to the ZeuS Tracker:
Country RSS feed available
I’ve received some requests from various CERTs concerning a country RSS Feed for new ZeuS hosts. So I’ve decided to create one. You can find it on the country page (eg. https://zeustracker.abuse.ch/monitor.php?country=HK). On the country page, just click on “Subscribe this country via RSS feed” and you will get informed about new ZeuS hosts in the specified country.
Browse ZeuS binaries
There is now a Browse ZeuS binaries function on the monitor page. With this function you can browse all ZeuS binaries which are stored in the ZeuS Tracker database (link).
Browse ZeuS configs
Additionally there is also a Browse ZeuS configs function on the monitor page. With this function you can browse all ZeuS configs which are stored in the ZeuS Tracker database (link).
Have fun!
Seit dem frühen Morgen verbreitet sich der Trojaner Merein (TrendMicro / Sophos) über eine Spam-Welle, welche auf Schweizer Benutzer abzielt. Der E-Mail Text sowie der Betreff ist jeweils auf deutsch verfasst:
Die erste Seite in der Schweiz, wo es Promis vor der Kamera treiben! Die junge Madonna mit einem prallen Schwengel im Mund oder die skandalösen Clips mit Britney Spears beim Sexspiel vor laufender Kamera! Aber auch Stars aus der Schweiz sind dabei! Und eine ganze Menge davon! Nur bei uns! HEISSE VIDEOS MIT PROMIS!
http://www.schoolswitzerland.com
Betreff sowie die angegebene URL im E-Mail Text variieren.
Domains:
Betreff:
Der Empfänger der E-Mail wird dazu verleitet, auf den im Spam-Mail angegebenen Link zu klicken. Die Webseite nennt sich PornTube und beinhaltet angeblich pornografisches Material. Wird auf ein Bild auf der Webseite geklickt, wird der Besucher dazu aufgefordert, ein Adobe Flash Player HD Plugin zu installieren um den Inhalt anschauen zu können:
Klickt der Besucher auf CLICK HERE TO DOWNLOAD THE FULL VIDEO ADOBE FLASH PLAYER HD PLUGIN, bekommt er die ausführbare Datei patch_downloader.exe. Die Datei beinhaltet einen Trojaner namens Merein (TrendMicro / Sophos):
Wird die Datei patch_downloader.exe ausgeführt, installiert sich der Trojaner auf das System:
Als erstes bekommt der Benutzer die Meldung Please, restart your browser!. Im Hintergrund kontaktiert der Trojaner bereits einen C&C Server (hot-sexpt.com 115.126.2.160):
Dabei bekommt der installierte Trojaner die Anweisung vom C&C Server weiteren Schadcode herunter zu laden:
document moved http://hot-sexpt.com/305.exe
Die Datei 305.exe enthält wiederum einen Trojaner:
Danach meldet sich der Trojaner bei einem weiteren Server (empresalda.com 91.203.92.103):
Und wieder einmal zeigen die Spuren zur UATelecom (91.203.92.103, siehe frühere Posts).
Hat sich der Trojaner einmal eingenistet, versucht dieser FTP-Logins mit zu schneiden und die Zugangsdaten zu stehen:
URL: sniffer_ftp_***.ch
ftp_server=ftp.****.ch&ftp_login=anonymous&ftp_pass=IEUser@&version=0
Fazit
Den Empfängern solcher E-Mails wird dringen angeraten, das E-Mail unverzüglich zu löschen und auf keinen Fall das auf den Webseiten angepriesene Adobe Plugin herunter zu laden. Unternehmen sollten es des Weiteren in Betracht ziehen, folgende Domains bzw. IP-Adressen an den zentralen Gateways zu blockieren:
UPDATE 10:45 Uhr
Es handelt sich um den selben Trojaner, welche bereits am 25. Oktober 2008 in den USA gesichtet wurde (Siehe Post Rootkit stiehlt FTP-, HTTP- und HTTPS-Logins). Auch diesmal stiehlt der Trojaner nicht nur FTP Zugangsdaten sondern auch diejenigen, welche über HTTP / HTTPS übertragen werden (z.B. beim OnlineBanking).
UPDATE 20:04 Uhr
Die Melde- und Analysestelle Informationssicherung (MELANI) hat heute Nachmittag noch eine entsprechende Information herausgegeben:
Information: E-Mail-Welle mit dem Ziel, Schweizer Computer zu infizieren
UPDATE 12. Dezember 2008
Die Spam-Welle scheint nicht abzuklingen. Auch in den letzten Tagen wurde massenweise solcher Spam-Mails verschickt. Hier noch ein exemplar:
http://www.sexswitzerland.eu
Betreff:
Weiter domains, welche derzeit aktiv den Trojaner verbreiten:
