Trojaner-Board - Deutsche Post Spam: Wo ist meine Sendung

Wo ist meine Sendung 135590682

Wer eine Mail mit dem Betreff

Zitat:

"Wo ist meine Sendung 135590682"
(Nummern können varieren)
erhält, sollte diese an uns weiterleiten.

From: "Deutsche Post" <supportpakete@deutschepost.de>
Betreff: Wo ist meine Sendung 135590682.eml
Wo ist meine Sendung? Die Einzelheiten Ihres Sendung In der befestigten
Datei. Geben Sie hier das Versanddatum ein:

* So finden Sie Ihre Sendungsnummer
Einschreiben Nachnahme Wertbrief international Eil international

Einschreibenmarke Einlieferungsbeleg Einschreiben
Filiale Einschreiben mit Internetmarke Nachnahme-Beleg national Nachnahme-Beleg
international Einlieferungsbeleg Wertbrief international
Einlieferungsbeleg Eil international Einlieferungsliste Eil international
Zustellungsurkunde
Formular Postident Comfort Formular Postident Special

Es hängt an:
Die Einzelheiten Ihres Sendung Deutsche Post.zip
Rund 185KB groß.
Virustotal Ergebniss der enthaltenen Exe-Datei:
https://www.virustotal.com/file/044c...is/1371053117/
MD5: 5237c8ff5a72a3d7b8574dd93ae2e978
SHA1: d368a171c2d94d120b90aa5c7c55d376ab826b7d
Detect: 16 / 47

Trojan.Agent.AZSO (MicroWorld-eScan)
Artemis!5237C8FF5A72 (McAfee)
Trojan.Agent (Malwarebytes)
Trojan.Zbot (Symantec)
TROJ_GEN.R06AH01FC13 (TrendMicro-HouseCall)
Trojan-Spy.Win32.Zbot.mdxz (Kaspersky)
Trojan.Agent.AZSO (BitDefender)
Troj/Zbot-FMD (Sophos)
Trojan.PWS.Panda.547 (DrWeb)
BDS/Andromeda.K (AntiVir)
Artemis!5237C8FF5A72 (McAfee-GW-Edition)
Trojan.Agent.AZSO (B) (Emsisoft)
Trojan.Agent.AZSO (GData)
Trojan/Win32.Zbot (AhnLab-V3)
Win32/Spy.Zbot.ZR (ESET-NOD32)
Win32.Outbreak (Ikarus)

Es handelt sich hierbei um Gamarue

Folgene Autostart Einträge werden erstellt:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
49942
c:\docume~1\alluse~1\dxewedm.exe

Starteintrag von Gamarue

HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run
{F9880A03-0C3D-CA0D-0C74-DEE287DC9A27}
"C:\Documents and Settings\Administrator\Application Data\Antamos\binino.exe"

Trojan.Citadel (Banking Malware)

die Malware verbindet zu:

gencayhidrolik.com/images/bj.exe

genown.ru/jiangyin.php

kirki.pl/cool.php

mantuma.pl/south.php

Diese Malware ist in der Lage, sensible Daten zu stehlen. Banking Zugänge, sonstige Daten.

- Wer eine solche, oder ähnliche verdächtige Mail erhält, möge diese an uns weiterleiten.
markusg - trojaner-board.de
- Mails, die man erhält, immer gründlich lesen.
- wer den Anhang geöffnet hatt, bitte ein Thema bei uns eröffnen.
Log-Analyse und Auswertung - Trojaner-Board
- wer in sozialen Netzwerken aktiv ist, sollte den Link zu diesem beitrag ruhig teilen, um andere zu warnen

Code:

http://www.trojaner-board.de/136457-deutsche-post-spam-sendung.html