TR/Dldr.iBill.AJ - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Dldr.iBill.AJ
発見日：	23/04/2007
タイプ	トロイの木馬
サブタイプ	Downloader
感染報告有り	はい
感染報告	高
感染の可能性	中
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	2.560 バイト
MD5　チェックサム	f7a109ae6e620ed8d195f085b14f01cb
VDFファージョン：	6.38.01.19 - Mon, 23 Apr 2007 09:20 (GMT+1)
IVDFファージョン：	6.38.01.21 - Mon, 23 Apr 2007 09:20 (GMT+1)

一般情報 感染方法
   • Eメール

別名
   • McAfee(マカフィー) Spy-Agent.ba.dldr
   • Kaspersky(カスペルスキー) Trojan-Downloader.Win32.Nurech.bh
   • F-Secure(エフ・セキュア) Trojan-Downloader:W32/Nurech.BI
   • Sophos(ソフォス) Troj/Dloadr-AXM

プラットフォーム/OS：
   • ウインドウズ NT
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルをダウンロードします。

ファイルファイルをダウンロードしようとします：

– 場所は以下の通りです：
• http://souljah.com/**********/ie.exe
ハードディスクの以下のパスにセーヴされます： %WINDIR%\1696195766.exe ダウンロードが終了した後、起動されます。詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/iBill.AJ

Eメールそれ自身に伝染する能力はありませんが、メールを通して感染します。特徴は以下の通りです：

メール・デザイン
送信者: "cleverbridge/Avira GmbH." list@cleverbridge.com
件名: Referenznr.:595169: Ihre Bestellung von Avira GmbH Produkten
本文:
   • Vielen Dank für Ihre Bestellung bei cleverbridge.

     cleverbridge ist als Partner von Avira GmbH für den Bestellprozess und die Zahlungsabwicklung zuständig.

     Anbei finden Sie Ihre cleverbridge Referenznummer. Um unverzüglichen und sorgfältigen Kundenservice zu erhalten, geben Sie diese Referenznummer bitte immer in jeglicher Kommunikation bezüglich Ihres Auftrags mit uns an.

     Ihre cleverbridge Referenznummer: 595169


     Zahlungsinformationen

     Ihre Kreditkarte wurde erfolgreich autorisiert. Bitte beachten Sie, dass die Belastung auf Ihrer Kreditkarte im Namen von "www.avira.com" erscheinen wird.

     Ihre Produkte

     Menge Produktname Auslieferung
     1 Avira AntiVir PersonalEdition Premium - 5 JahreLizenzlaufzeit 5 Jahre elektronisch
     Speichern Sie den im Anhang eingefügten Archiv mit der Lizenzdatei in Ihrem Ordner "Eigene Dateien"
     Danach lesen Sie bitte folgende Anweisungen durch, um Ihre neue Software erfolgreich zu installieren.

     Bitte gehen Sie wie folgt vor, um Ihr Produkt zu installieren:

     Sofern Sie die kostenlose Classic Version auf Ihrem Computer installiert haben, deinstallieren Sie diese bitte zuerst.
     Wenn Sie die PersonalEdition Premium noch nicht installiert haben, laden Sie diese bitte unter folgendem Link herunter:
     Avira AntiVir PersonalEdition Premium herunterladen
     Bitte speichern Sie dann diesen ZIP-Archiv mit der Lizenzdatei (HBEDV.KEY) in Ihrem Ordner "Eigene Dateien". Danach öffnen Sie bitte das Installationsprogramm und HBEDV.KEY wird automatisch auf Ihrem Rechner ausgepackt.
     Bitte spielen Sie die Lizenzdatei in die Software ein, so wie in der Installationsanleitung beschrieben. Bitte verwenden Sie den folgenden Link, um die Installationsanleitung anzuzeigen:
     Installationsanleitung anzeigen
     WICHTIG! Um eine erfolgreiche Installation durchzuführen, lesen Sie bitte die Installationsanleitung ausführlich durch.
     1 Zuwendung an die Auerbach Stiftung

     Ihre Rechnung

     Bitte verwenden Sie den folgenden Link, um Ihre Rechnung herunter zu laden:
     Ihre Rechnung

     Bitte beachten Sie, dass dieses Dokument im Adobe PDF Format ist. Sie benötigen den "Adobe Acrobat Reader", um es öffen zu können. Sollte der "Adobe Acrobat Reader" nicht auf Ihrem Computer installiert sein, so können Sie sich hier eine kostenlose Version herunterladen.

     Fragen oder Anregungen?

     Wenn Sie noch Fragen oder Anregungen haben, kontaktieren Sie bitte unser Kundenserviceteam.
     Achtung: Wir können keine technischen Fragen zu Produkten beantworten. Wenn Sie inhaltliche oder technische Fragen haben verwenden Sie dazu bitte folgenden Kontaktinformationen:Avira GmbH
     Wie Sie Unterstützung bei technischen Problem erhalten, erfahren Sie hier: http://avira.cleverbridge.com/client/30/install/de/support.html

     Mit freundlichen Grüßen,
     Ihr cleverbridge Kundenserviceteam
添付ファイル
   • 5951693.zip

挿入(Injection) – バックドア・ルーチンをプロセスに挿入します。

    プロセス名：｜以下のうちの１つ：
   • ntdll.dll,NtCreateThread() in order to bypass security tools.
      NtCreateThread() downloads the malicious file.

簡単な説明はココにあります。.

この説明は Dennis Elser によって Mon, 23 Apr 2007 07:32 (GMT+1) 書き込まれました。
この説明は Alexander Vukcevic によって Mon, 23 Apr 2007 10:12 (GMT+1) 更新されました。

» マルウェアについて
» フィッシングについて
» In the Wild ウイルス

« 戻る