TR/Dldr.iBill.Z - Trojan

Siehe auch Deutsch

Kurzfassung

Vollständig

Statistik

Name:	TR/Dldr.iBill.Z
Entdeckt am:	07/03/2007
Art:	Worm
Nebenart:	Downloader
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Mittel bis hoch
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	16.896 Bytes
MD5 Prüfsumme:	9e3cb288b54f8d654df29cc004815504
VDF Version:	6.38.00.11 - Wed, 07 Mar 2007 09:28 (GMT+1) - Wed, 07 Mar 2007 09:28 (GMT+1)
IVDF Version:	6.38.00.11 - Wed, 07 Mar 2007 09:28 (GMT+1) - Wed, 07 Mar 2007 09:28 (GMT+1)

General Verbreitungsmethode:
   • Email

Alias:
   • Mcafee: Downloader-AAP

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt eine schädliche Dateien herunter
   • Erstellt eine Datei

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\isca.exe

Es wird folgende Datei erstellt:

– Nicht virulente Datei:
   • %SYSDIR%\drivers\wed.tx

Es wird versucht die folgenden Dateien herunterzuladen:

– Die URLs sind folgende:
   • http://floorsovertexas.com/**********
   • http://graceinthedesert.org/**********
   • http://northernsoulclub.com/**********
   • http://starcleaningservice.com.au/**********
   • http://grantc.com/**********
   • http://intercitiprojects.com.au/**********
   • http://invitech.net/**********
   • http://releaseforlife.com/**********
Diese Datei enthält wahrscheinlich Download-Adressen welche als weitere Quelle für neue Bedrohungen dienen können.

– Die URL ist folgende:
   • http://smartpod.com.au/zynergy/home/10.exe
Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.

Registry Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• "ShellN"="isca.exe"

Folgender Registryschlüssel wird hinzugefügt:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion]
• "wef"=dword:00000037

Email Die Malware verfügt über keine eigene Verbreitungsroutine wurde aber via Email verbreitet. Die Einzelheiten sind im folgenden aufgeführt:

Design der Email:
Von: "Quelle de" is_as0@quelle.de
Betreff: Ihre Quelle Bestellung
Body:
   • **************www.quelle.de***************

     Wir bestätigen Ihnen den Eingang Ihrer Bestellung vom 06.03.2007 um 12:46 Uhr:

     Vorgangs-ID: 611661716631
     Verarbeitungscode: ART 0805491165855906868717073885505998909

     Kundennummer: 469391344
     ------------------------------------------------------------------------------

     Sehr geehrte Quelle Kunde,

     vielen Dank für Ihre Bestellung bei www.quelle.de.

     Eine definitive Lieferzusage können wir Ihnen momentan leider nicht geben.

     die Gesamtsumme fär Ihre Rechnung beträgt: 1071,46 Euro (incl. Versandspesen: EUR 5,95)
     Anbei erhalten Sie den detaillierten Rechnung sowie die alle anderen wichtigen Unterlagen zu Ihrem Bestellung im beigefügter ZIP Datei.

     Zahlungswunsch: Bankeinzug
     Gemäß der erteilten Einzugsermächtigung werden wir den Rechnungsbetrag in den nächsten Tagen von Ihrem Konto einziehen.
     Ihre Rechnung ist im PDF-Format erstellt und mit einer "Digitalen Signatur" unterzeichnet worden. Den entsprechenden
     Verifikationsbericht finden Sie im Anhang dieser E-Mail.
     Durch die "Digitale Signatur" wird Ihre Rechnung nach dem Signatur-Gesetz (SigG) anerkannt.

     Es gelten die allgemeinen Geschäftsbedingungen der QUELLE GmbH

     Informationen zum aktuellen Lieferstatus Ihrer Bestellung können Sie unter der Rubrik "Mein Konto/Bestellübersicht" in Ihrem persönlichen Bereich abfragen. Bitte melden Sie sich hierfür einmalig an:
     http://www.quelle.de/extern.cgi?id=611661716631

     Um sich die Rechnung anschauen und die Signatur prüfen zu können, benötigen Sie den Adobe Reader, Version 7.0 (oder höher).
     Sollten Sie keinen Adobe Reader besitzen, können Sie diesen kostenfrei auf der Homepage von Adobe downloaden: http://www.adobe.de/products/acrobat/readstep2.html

     Nach der erfolgreichen Installation des Adobe Readers wird es Ihnen möglich sein, die Rechnungsdatei zu öffnen
     und die Signatur zu prüfen.

     Ihr Quelle Online Team

     ------------------------------------------------------------------------------

     Wir bedanken uns nochmals für Ihre Bestellung.
     Schauen Sie doch bald wieder einmal bei www.quelle.de vorbei.

     Bestätigungs-ID: 469391344 (für interne Zwecke)

     Stempelkarte
     Jetzt anmelden & profitieren!

     http://www.quelle.de/extern.cgi?id=611661716631

     ****************************www.quelle.de********************************

Dateianhang:
   • Quelle_Rechnung_nqan599.rar

Kurzfassung hier.

Beschreibung erstellt von Dennis Elser am Wed, 07 Mar 2007 08:44 (GMT+1)
Beschreibung geändert von Alexander Vukcevic am Wed, 07 Mar 2007 11:22 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück