Trojaner-Board - Spam: 25_11

Trojaner-Board (https://www.trojaner-board.de/)

- Diskussionsforum (https://www.trojaner-board.de/diskussionsforum/)

- - Spam: 25_11_2013 (https://www.trojaner-board.de/145136-spam-25_11_2013-a.html)

Spam: 25_11_2013

25_11_2013

Wer eine Mail mit dem Betreff

Code:

 

"Fwd: 25_11_2013"

Erhält, sollte diese an uns weiterleiten.

  Von: gehackte Adresse

  Betreff: 25_11_2013

-Von meinem iPhone gesendet

Es hängt an:
gallery_25.11.2013_325766.zip
Rund 170,7KB
Virustotalergebniss der Exe Datei:
https://www.virustotal.com/de/file/2...sis/1385377798
SHA256:
2e18583393af5707917bd29a7f88cd089a4758cd6c4cf3376c9699469dde6151
Dateiname:
gallery_25.11.2013_806549.jpg.exe
Erkennungsrate:
3 / 47
AhnLab-V3
Spyware/Win32.Zbot
Kaspersky
UDS:DangerousObject.Multi.Generic
Sophos
Mal/Generic-S
Es handelt sich hierbei um Bebloh
Die Malware verbindet zu folgenen Hosts:

biosnatura.ro/img/html.exe

Die Malware injeziert Code in verschiedene Prozesse und versucht unter anderem Banking Daten zu stehlen.
Wer Onlinebanking betreibt, sollte, falls er sich damit infiziert hatt, über eine neuinstalation von Windows nachdenkebbn.
Wer eine solche, oder ähnliche verdächtige Mail erhält, möge diese an uns weiterleiten.
markusg - trojaner-board.de
- Mails, die man erhält, immer gründlich lesen.
- wer den Anhang geöffnet hatt, bitte ein Thema bei uns eröffnen.
Log-Analyse und Auswertung - Trojaner-Board
- wer in sozialen Netzwerken aktiv ist, sollte den Link zu diesem beitrag ruhig teilen, um andere zu warnen

Code:

http://www.trojaner-board.de/145136-spam-25_11_2013-a.html#post1201016

Hallo Markus,

wer oder was ist "Bebloh"?

Ich habe vier Exemplare des Trojanischen Pferdes erhalten, aber bei war die Betreffzeile immer "25_11_2013" - also ohne "Fwd:"

Meine E-mails kamen nicht von gehackten Adressen, sondern es waren generierte Absenderfälschung nach dem Prinzip <drei zufällige Buchstaben>_<Name>@t-online.de, konkret fyv_oswald(ät)t-online.de, bze_harald(ät)t-online.de, ubc_emil(ät)t-online.de und hjc_matthaus(ät)t-online.de.

Tatsächlicher Sender waren
175.red-2-137-226.dynamicip.rima-tde.net (175.Red-2-137-226.dynamicIP.rima-tde.net [2.137.226.175] (Telefonica De Espana)
94-38-132-69.clienti.tiscali.it (dynamic-adsl-94-38-132-69.clienti.tiscali.it [94.38.132.69])
unknown [89.45.179.218] (Telekom Rumänien) und
unknown [39.42.212.98] (Pakistan Telecommunication)

Jetzt bin aber gespannt darauf, was Bebloh bedeutet und was es mir bringt, diesen Namen zu kennen.
Grüße
Andreas

Bei mir kam die erste Mail über ne gehackte Adresse, andere wie du es beschrieben hast.
sorry das fwd hatte ich einmal mitkopiert, sollte dort nicht mit rein.
Bebloh ist der Malwarename, obs dir was bringt weis ich nicht, aber evtl. anderen lesern.
bublik währe ein weiterer Name der selben Malwarefamilie.