Trojaner-Board - bank of america Spam: Your CashPro Online Digital Certificate

Your CashPro Online Digital Certificate

Wer eine Mail mit dem Betreff

Zitat:

Your CashPro Online Digital Certificate
(Nummern können varieren)
erhält, sollte diese an uns weiterleiten.

From: "cashproonline_notification@bankofamerica.com"
Your CashPro Online Digital Certificate
Dear CashPro Customer,

This email is being sent to inform you that you have been granted a new digital
certificate for use with Bank of America CashPro Online.

Please open the attachment and you will be guided through a simple process to
install your new digital certificate.

If you have any questions or concerns, please contact the Bank of America
technical help desk.

Thank you for your business,

Bank of America

CashPro Online Security Team

Please do not reply to this email.

Copyright 2013 Bank of America Merrill Lynch. All rights reserved. CashPro is a
registered trademark of Bank of America Corporation.

Es hängt an:
cashpro_digital_cert_inst.zip
Rund 101 KB groß.
Virustotal Ergebniss der enthaltenen .EXE Datei:

https://www.virustotal.com/file/1e16...is/1369298386/
MD5: bac5f5167c7eb70f35324ce65d37dcba
SHA1: dcafb33b54dc7f144b81e1aec27faa429b46d564
Detect: 27 / 47

Trojan.GenericKD.1005336 (MicroWorld-eScan)
BackDoor-FJW (McAfee)
Malware.Packer.RRE (Malwarebytes)
Trojan (K7GW)
W32/Trojan3.CHI (F-Prot)
Trojan.Zbot (Symantec)
Suspicious_Gen4.EAJIE (Norman)
TSPY_FAREIT.AXF (TrendMicro-HouseCall)
Win32:Trojan-gen (Avast)
Trojan-PSW.Win32.Tepfer.kvbw (Kaspersky)
Trojan.GenericKD.1005336 (BitDefender)
UnclassifiedMalware (Comodo)
Trojan.GenericKD.1005336 (F-Secure)
Trojan.PWS.Stealer.2868 (DrWeb)
Win32.Malware!Drop (VIPRE)
TR/PSW.Tepfer.kvbw (AntiVir)
TSPY_FAREIT.AXF (TrendMicro)
BackDoor-FJW!BAC5F5167C7E (McAfee-GW-Edition)
Trojan.Win32.Tepfer (A) (Emsisoft)
Win32.PSWTroj.Tepfer.kv.(kcloud) (Kingsoft)
VirTool:Win32/CeeInject.gen!JN (Microsoft)
Trojan.GenericKD.1005336 (GData)
W32/Trojan.NPEQ-5326 (Commtouch)
Trojan/Win32.FakeAV (AhnLab-V3)
Win32/PSW.Fareit.A (ESET-NOD32)
Backdoor.Agent!5459 (Rising)
W32/Kryptik.AGAJ!tr (Fortinet)

Es handelt sich hierbei um Zeus Gameover

Folgene Autostart Einträge werden erstellt:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
sphtp
rundll32.exe "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\sphtp.dll",EvalFrameEx*

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
qerdv
rundll32.exe "C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\qerdv.dll",vInitW*

Beides Trojan.Medfos.
die Malware verbindet zu:

gv-balde-melbach.de/fnjnwTk.exe

116.122.158.195:8080/forum/viewtopic.php

Diese Malware ist in der Lage, sensible Daten zu stehlen.
Passwörter, Banking Daten, etc.

- Wer eine solche, oder ähnliche verdächtige Mail erhält, möge diese an uns weiterleiten.
markusg - trojaner-board.de
- Mails, die man erhält, immer gründlich lesen.
- wer den Link geöffnet hatt, bitte ein Thema bei uns eröffnen.
http://www.trojaner-board.de/log-analyse-auswertung
- wer in sozialen Netzwerken aktiv ist, sollte den Link zu diesem beitrag ruhig teilen, um andere zu warnen

Code:

http://www.trojaner-board.de/135364-bank-of-america-spam-your-cashpro-online-digital-certificate.html