|
W32.Sober.F benützt zur Verbreitung auch eMailadressen, die
er auf der Festplatte (zB: in temporären oder gespeicherten
Datein besuchter Webseiten) eines befallenen Rechners findet, und
fälscht zusätzlich die Absenderadresse.
Antworten - an den vermeintlichen Absender
haben also keinen Sinn.
Folgende Absender deuten auf ein infiziertes eMail hin:
Webmaster@<irgendwas>
Fehler-Info@<irgendwas>
Administrator@<irgendwas>
RobotMailer@<irgendwas>
AutoMailer@<irgendwas>
Register@<irgendwas>
Service@<irgendwas>
Info@<irgendwas>
Passwort@<irgendwas>
Kundenservice@<irgendwas>
Liste@<irgendwas>
Schwarze-Liste@<irgendwas>
Information@<irgendwas>
home@<irgendwas>
admin@<irgendwas>
Error_Info@<irgendwas>
User-info@<irgendwas>
account@<irgendwas>
"@<irgendwas>" zumeist eine von diesen:
@abuse.de
@yahoo.com
@yahoo.de
@gmx.de
@gmx.net
@web.de
@freenet.de
@lycos.de
Achtung: "@<irgendwas>" kann auch eine Ihnen bekannter
Absender-Domain sein!
Folgende Betreffzeilen deuten auf ein infiziertes eMail
hin:
Einzelheiten
Hallo Du!
Hallo!
Hey Du
Hi, Ich bin's
Ich bin es .-)
Verdammt
Na, überrascht?!
Info
Information
Fehlerhafte Mailzustellung
Mailzustellung fehlgeschlagen
Fehler
Illegale Zeichen in Mail-Routing
Verbindung fehlgeschlagen
Fehler in E-Mail
Bestätigung
Registrierungs-Bestätigung
Ihr neues Passwort
Ihr Passwort
Datenbank-Fehler
Warnung!
Oh my God
Hey
Hi!
Hi, it's me
hey you
damn!
Well, surprised?
Info
Information
Faulty mail delivery
Mail delivery failed
Mail Error
Illegal signs in Mail-Routing
Connection failed
Invalid mail sentence length
Mail Delivery failure
Message Error
mail delivery status
Confirmation Required
Bad Gateway
Warning!
Your document
gefolgt von:
"Message-ID: <Beliebige Zeichen.qmail>"
Folgende Attachments deuten auf ein infiziertes eMail hin:
Einer der folgenden deutschen oder englischen Namen mit der Erweiterung
pif oder zip
Oh-Mann
Dokument
KurzText
AntiVirus-Text
Anleitung
Passwoerter.txt
Text-Inhalt
AMD-System.txt
Benutzer-Daten
Datenbank-Fehler
abuse-liste
schwarze-listen
Block-Lists
anitv_text
instructions
your_article
your_passwords
messagedoc
corrected_text-file
attach-message
<irgendwas>-attachment
<irgendwas>_attach
pass-message
text
Textdocument
Die Nachricht selbst kann so - aber auch anders (!) aussehen:
Ich war auch ein wenigüberrascht!
Wer konnte so etwas ahnen!? Lese selbst
Oh-Mann
Alles klaro bei dir?
Schau mal was Ich gefunden habe!
Sieh mal nach ob du den Scheiss auch bei dir drauf hast!
Ist ein ziemlich nervender Virus. Mach genau das, wie es im Text
beschrieben ist!
Bye
Ich habs dir doch gesagt, irgendwann schaffe ich es deine Passwörter
rauszubekommen!!!
Passwoerter.txt
Details entnehmen Sie bitte dem Attachment
Nähere Informationen befinden sich im Anhang.
*** Auto Mail Delivery System ***
Ihre E-Mail konnte nicht gesendet oder empfangen werden.
Bitte überprüfen Sie nochmals diese E-Mail auf mögliche
Fehlerquellen.
attach: AMD-System.txt
* End Transmission
Virenschutz
--- Web: http://www.<irgendeine.domain>
--- Mail To: User-Hilfe
Passwort und Benutzername wurde erfolgreich geändert
Ihre Benutzernamen und Passwörter befinden sich im Anhang
dieser E-Mail
++++ Im www erreichbar unter: http://www.<irgendeine.domain>
++++ E-Mail: KundenInfo
Wegen eines Datenbank- Fehlers könnte es möglicherweise
zu einem Verlust Ihrer persönlichen Daten wie Kennwörter
gekommen sein.
Wenn Sie Unregelmäßigkeiten festgestellt haben, melden
Sie uns bitte umgehend den Datenverlust.
Vielen Dank für Ihr Verständnis
+++ Ein Service von
+++ http://www.<irgendeine.domain>
+++ E-Mail: Kundenservice
Internet Provider Abuse:
Wir haben festgestellt, dass Sie illegale Internet- Seiten besuchen.
Bitte beachten Sie folgende Liste:
W32.Sober.F kann auch anhand folgender Registryeinträge
erkannt werden:
Warnung:
Wenn Sie sich mit dem Registry-Editor nicht auskennen, lassen Sie
die Finger davon!
- HKLM\ Software\ Microsoft\ Windows\ CurrentVersion\ Run\
"<Zufalls-Wert>" = "%Systemverz%\<Zufalls-Wert>.exe"
- HKLM\ Software\ Microsoft\ Windows\ CurrentVersion\ RunOnce\
"<Zufalls-Wert>" = "%Systemverz%\<Zufalls-Wert>.exe
%1"
<Zufalls-Wert> ist ist kein Name sondern ein Zufalls-Wert
aus dieser Liste:
sys
host
dir
explorer
win
run
log
32
disc
crypt
data
diag
spool
service
smss32
Unter "XP" auch noch einen Eintrag unter dem Key:
- HKU\ S-1-5-21-........-........-........-...\ SOFTWARE\ Microsoft\
Windows\ CurrentVersion\ Run
Besonderes Erkennungsmerkmal:
Die Datei "syst32win.dll", welche im Windows-Verzeichnis
angelegt wird.
Die Endung ".dll" täuscht.
Die Datei kann mit einem Texteditor (wie Notepad) gelesen werden.
|
