Trojaner-Board - Trojaner Gootkit

Trojaner-Board (https://www.trojaner-board.de/)

- Diskussionsforum (https://www.trojaner-board.de/diskussionsforum/)

- - Trojaner Gootkit (https://www.trojaner-board.de/200274-trojaner-gootkit.html)

Trojaner Gootkit

https://www.bsi-fuer-buerger.de/BSIF...e/Gootkit.html

Zitat:

Was ist Gookit?

Gootkit ist ein Trojaner, der vertrauliche Informationen stiehlt und den Remote-Zugriff zur kriminellen Kontrolle des infizierten Systems ermöglicht. Gootkit kann auch zur Installation zusätzlicher Malware verwendet werden, z.B. Emotet.
Wie habe ich mich mit Gookit infiziert?

Systeme können mit Gootkit durch das Öffnen von bösartigen E-Mail-Anhängen infiziert werden. Die Malware befindet sich dabei in einer gutartig erscheinenden Datei. Der Empfänger der E-Mail wird im Text davon überzeugt den Anhang zu öffnen.

Zitat:

Zitat von cosinus

Irgendwie drehen die Provider gerade richtig durch, wir haben einige Fälle davon. Und bisher waren die Informationen der Provider in ihren Schreiben dürftig bis ungenügend:

-- falscher Fachterminus (Virus statt Wurm bzw Trojaner)
-- keine Information wie das ermittelt wurde
-- tw. falscher bzw. offensichtlich nicht gebräuchlicher Schädlingsname

Die bisherigen Infos der Betroffenen sind mehr als dürftig.
https://www.zdnet.com/article/gootki...ut-a-password/

Zitat:

What is Gootkit?
Gootkit is the name of a strain of malware. Hereinafter, we'll be using the name Gootkit to refer to both the malware and the criminal group behind it.
The malware was first spotted in the wild in 2014, and it's been evolving ever since. In the beginning, Gootkit functioned as a banking trojan -- all in rage at the time. It would infect victims and would only activate on banking sites,

Scheint eine neue Epidemie zu sein

Ich weiß nicht was die Provider sich da denken. Hab gerade bei einem anderen betroffenen nen Screenshot bekommen. Der Wortlaut ist einfach nur zum Kopfschütteln:

https://www.trojaner-board.de/attach...er-telekom.jpg

Gibt das eine weitere unqualifizierte Warnmeldungslawine der Telekom bzw 1&1 mit murofetweekly falls sie echt sind?

seit Ende September die fünfte Meldung
https://www.trojaner-board.de/200288...fetweekly.html

Informationen zu murofetweekly gibt es so gut wie keine

Irgendwie werd ich den Eindruck nicht los, dass an den Warnmeldungen der Provider was faul ist. Die Betroffenen sollten mal an Hand der Mail Header prüfen, ob die wirklich von den Providern stammen und wenn doch mal bei den Providern nachhaken, wie und woher sie diese ungeheuer qualifizierten Erkenntnisse gewonnen haben.

Das sind ja keine E-Mails. Also bei dem was ich oben erwähnt habe, da hat der TO einen Brief abfotografiert.

Der mit dem griechischen Gott ist eine Mail. Bin mit dem Smartie zugange. Werd mir morgen mal die anderen anschauen.

https://www.trojaner-board.de/200268...-trojaner.html

Zitat:

heute habe ich eine Mail von 1und1 erhalten, in welcher ich auf die Anmeldung eines Geräts an meinem Anschluss hingewiesen wurde, welches mit Zeus verseucht ist

.
https://www.trojaner-board.de/200288...fetweekly.html

Zitat:

ich habe gerade eine E-Mail von der Telekom bekommen in der mir mitgeteilt wurde:
Infektion: murofetweekly

https://www.trojaner-board.de/200267...m-rechner.html

Zitat:

Die Telekom hat mir einen Brief geschrieben, dass mein Lappi mit dem Gootkit Trojaner befallen wäre.

https://www.trojaner-board.de/199932...et-weekly.html

Zitat:

mir wurde von meinem Internetanbieter mitgeteilt, dass einer meiner Rechner mit dem Murofet weekly infiziert wurde.
Telekom und per Brief.

https://www.trojaner-board.de/200056...kennt-ihn.html

Zitat:

Ich habe vom Provider (1&1) eine Mail bekommen, dass sie Virenaktivität von meinem Anschluss erkannt haben wollen. Die exakte Bezeichnung war "Murofetweekly",

Ich hab mich da blöd ausgedückt. Natürlich erhielten auch einige Betroffene hier Mails, aber was ich sagen wollte war, dass es eben auch Fälle gab, wo der Provider nen Brief schickte.

Ob die Mails nun echt sind lässt sich im Nachhinein kaum feststellen, die meisten TO melden sich nicht wieder.

Ob der/die Brief/e echt ist/sind, läßt aus dem Foto nicht sicher erkennen. Auch Briefe können z.T sehr professionell gefakt sein. Deswegen meine Idee, dass die Betroffenen sich vergewissern, dass es wirklich von den Providern stammt z-B:
https://www.telekom.de/hilfe/festnet...amChecked=true
Bisher hat afaik keiner nachgehakt und nach weitergehenden Infos gefragt.

https://telekomhilft.telekom.de/t5/T...m/td-p/1235242

Zitat:

Und auch so ein Hilfe-Abo gibt es.

und was kostet das? :rolleyes:
Ein Schelm wer sich böses dabei denkt....

Die Meldung von 1&1 mit der Mitteilung von dem Virus Zeus taucht im Board mehrmals auf.
Das erste mal 2013
https://www.trojaner-board.de/135052...-ihrem-pc.html
Scheint ein Dauerbrenner zu sein...

Zitat:

Zitat von webwatcher (Beitrag 1743317)

und was kostet das? :rolleyes:
Ein Schelm wer sich böses dabei denkt....

Wenn ich richtig recherchiert habe kostet das kleinste Abo (Computerhilfe S) 5,95€ im Monat über eine Laufzeit von 24(!) Monaten. Für eine halbe Stunde Telefonsupport im Monat. (Stellt sich die Frage: Mit oder ohne Warteschleife?)
Holy Moly...

Bei 1&1 hat ich kein solch "verlockendes" Angebot gefunden. Dafür aber das
https://hilfe-center.1und1.de/e-mail...r-a784956.html

Zitat:

Bitte beachten Sie:
Technisch versierten Nutzern bieten wir unser kostenloses 1&1 Forum an. Hier können Sie sich mit anderen 1&1 Kunden austauschen.
Auch im Trojaner Forum finden Sie Informationen zu diesem und weiteren Themen.

:daumenhoc

Was zum Lesen:

BleepingComputer: Gootkit malware returns to life alongside REvil ransomware

Malwarebytes: German users targeted with Gootkit banker or REvil ransomware

Zitat:

German users were being targeted via compromised websites.

Sehr informativ. Was ich noch nicht gefunden habe, ist an/mit welchem Merkmal die Provider die Verseuchung mit Gootkit erkennen.

Jetzt auch auf deutsch:
https://heise.de/-4976043

Zitat:

Banking-Malware Gootkit ist zurück und hat es auf PCs in Deutschland abgesehen

Das CERT-Bund und verschiedene Sicherheitsforscher warnen vor Trojaner-Attacken. Infektionen sind aber nicht ohne Weiteres möglich.

Auch hier wird nicht erwähnt, dass Provider User auf eine Infektion hinweisen.

Wenn man den Link im Artikel anklickt
https://twitter.com/certbund/status/1330231816796729347
Dann weiterführenden Link
https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/BotNetze/WeitereBotNetze/Gootkit.html
Dort auf https://www.bsi-fuer-buerger.de/BSIF...onsbeseitigung
steht dort:

Zitat:

Nachdem es Ende 2016 gelungen war, das Botnetz zu zerschlagen, konnten potenziell Betroffene dank einer engen Kooperation zwischen Internetprovidern und dem BSI anhand von Informationen aus einem sogenannten Sinkhole Server gewarnt und zur Bereinigung ihrer Systeme aufgefordert werden. Sie wurden dazu sogar persönlich von ihren Internetprovidern angeschrieben –

Ich schätze bei Gootkit ist es ähnlich wie damals 2016

Zitat:

ich habe eine eMail von der Telekom erhalten das mein Rechner eine gootkit Infektion hätte.
Habe mit der Telekom gesprochen und sie sagten das etwas in deren Honyspots Liste aufgetaucht sei das die öffentliche IP hatte die meinen Anschluß zugeordnet werden konnte.

Soll wohl Honypot heißen. Erklärt IMHO nicht, wie betroffene Anschlüsse ermittelt werden.

Die Fakeforen-Einträge(man vgl. den Malwarebytes-Report) sind mitunter kurios.

https://i.ibb.co/Bgvr59G/waffelmuster.png

Die meisten Seiten, die ich gesehen habe, sind für den deutschen "Markt" aber eher irrelevant.

https://i.ibb.co/R9WLPL4/korea.png

Die Erkennung der scripts ist...
https://www.virustotal.com/gui/file/11da9ac9bdcbf173ac92700e4796aae2785689ded2589aad130f8f6b210e167d/detection
https://www.virustotal.com/gui/file/7dab0e43a11bd8709c0791aa6a12eae09b639a4877b2d7adf02e19482f75b135/detection
https://www.virustotal.com/gui/file/58288f0ca737c3b2af88086d17e94ef913395d3e45c7e9c0bcf57ea89ada9595/detection
https://www.virustotal.com/gui/file/799e04fe216a6480c369c16aca8bc2a269e294bb46eb0bf2da186bc7173de3e5/detection

Und was hat das mit dem Thema des Thread zu tun ?

Zitat:

Zitat von webwatcher (Beitrag 1744285)

Und was hat das mit dem Thema des Thread zu tun ?

Naja, diese gefakten Foreneinträge seh ich da im Zusammenhang. Aber das ist ja auch keine neue Info.
Dass die Erkennungsraten gerade bei JavaScript-Malware totaler Müll sind, wussten wir ja auch schon vorher (Firehooker-Thread)

Infektionsquellen

Die manipulierten sites burnedtreasures[.]com und bobgoodphotographystudios[.]com liefern diverse Themen und sind leider bei Google-Suchen nach diesen Themen oft auf der ersten Seite zu finden.
Gut möglich, dass die, die jetzt Hilfe suchen, auf so etwas hereingefallen sind.

Code:

hxxp://www.burnedtreasures[.]com/?p=16343" title="Viebrock Musterhaus neugraben"

hxxp://www.burnedtreasures[.]com/?p=16342" title="Vertragen sich griechische landschildkröten und breitrandschildkröten"

hxxp://www.burnedtreasures[.]com/?p=16341" title="Vertrag von versailles wiki"

hxxp://www.burnedtreasures[.]com/?p=16340" title="Vertrag tagesmutter nrw"

hxxp://www.burnedtreasures[.]com/?p=16339" title="Vertrag mit unterschiedlichem datum"

hxxp://www.burnedtreasures[.]com/?p=16338" title="Unechter Vertrag zugunsten dritter annahmeverzug"

hxxp://www.burnedtreasures[.]com/?p=16337" title="Transfermarkt Vertragsende 2019"

hxxp://www.burnedtreasures[.]com/?p=16336" title="Wahlzettel eu wahl 2019 österreich Muster"

hxxp://www.burnedtreasures[.]com/?p=16335" title="Teppich rund grün Muster"

hxxp://www.burnedtreasures[.]com/?p=16334" title="Telekom Vertrag ändern in prepaid"

hxxp://www.burnedtreasures[.]com/?p=16333" title="Telekom ag tarifvertrag"

hxxp://www.burnedtreasures[.]com/?p=16332" title="Tarifvertrag wach- und sicherheitsgewerbe mecklenburg-vorpommern 2020"

hxxp://www.burnedtreasures[.]com/?p=16331" title="Tarifvertrag medizinische fachangestellte 2019 stundenlohn"

hxxp://www.burnedtreasures[.]com/?p=16330" title="Tarifvertrag ig metall tabelle"

hxxp://www.burnedtreasures[.]com/?p=16329" title="Tarifvertrag friseurhandwerk brandenburg"

hxxp://www.burnedtreasures[.]com/?p=16328" title="Tarifvertrag eg 6 tv-l"

hxxp://www.burnedtreasures[.]com/?p=16327" title="Tarifvertrag bayern urlaubsgeld"

hxxp://www.burnedtreasures[.]com/?p=16326" title="Tarifvertrag ahd/dhv"

hxxp://www.burnedtreasures[.]com/?p=16325" title="Tanja liermann Musterring"

hxxp://www.burnedtreasures[.]com/?p=16324" title="Stulpen wellenmuster stricken"

https://bobgoodphotographystudios[.]com/2020/08/was-ist-ein-igz-tarifvertrag/

https://bobgoodphotographystudios[.]com/2020/08/waffelmuster-in-reihen-stricken/

https://bobgoodphotographystudios[.]com/2020/08/vhv-versicherung-vertragserfullungsburgschaft/

https://bobgoodphotographystudios[.]com/2020/08/vertragen-ratten-milch/

https://bobgoodphotographystudios[.]com/2020/08/unterscheidung-werkvertrag-dienstvertrag/

https://bobgoodphotographystudios[.]com/2020/08/hemd-mit-totenkopf-muster/

https://bobgoodphotographystudios[.]com/2020/08/teppich-mit-palmblatt-muster-kreuzwortratsel/

https://bobgoodphotographystudios[.]com/2020/08/telekom-telefonisch-vertrag/

https://bobgoodphotographystudios[.]com/2020/08/telefonvertrag-rucktritt/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-vpk-niedersachsen/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-sicherheitsgewerbe-mv/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-metall-und-elektroindustrie-hessen-download/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-ig-metall-nrw-mehrarbeit/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-friseur-nrw-auszubildende/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-e-8-tv-l/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-bayer-berlin/

https://bobgoodphotographystudios[.]com/2020/08/tarifvertrag-2020/

https://bobgoodphotographystudios[.]com/2020/08/tagesmutter-vertrag-fristlos-kundigen/

https://bobgoodphotographystudios[.]com/2020/08/studentenwerk-vertrag/

https://bobgoodphotographystudios[.]com/2020/08/steuerbescheinigung-dividende-muster/

Von "alleine" kommt keine Malware auf die Rechner... die Nutzer müssen schon "aktiv" dazu helfen... es ist wie immer... die größte Schwachstelle sitzt vor dem Gerät... :D

Zitat:

Zitat von M-K-D-B (Beitrag 1744320)

Von "alleine" kommt keine Malware auf die Rechner... die Nutzer müssen schon "aktiv" dazu helfen... es ist wie immer... die größte Schwachstelle sitzt vor dem Gerät... :D

Das ist richtig, aber bei arglistiger Täuschung kann man einem User nichtmal einen Vorwurft machen zB wenn er sich von vlc.de was lädt. Es will einfach nicht in meinen Kopf rein, dass Google immer noch diese Schrottseite im Suchergebnis hat. Und auch nicht, dass der Firefox oder ein anderer Browser vor dieser Seite unmittelbar vorm Betreten warnt wie es sonst üblich bei Betrugsseiten ist. :mad:

Zitat:

Zitat von M-K-D-B (Beitrag 1744320)

Von "alleine" kommt keine Malware auf die Rechner... die Nutzer müssen schon "aktiv" dazu helfen... es ist wie immer... die größte Schwachstelle sitzt vor dem Gerät... :D

Kann/sollte auch ein normaler Anwender den Betrug erkennen?

Nehmen wir diesen Thread:
https://www.trojaner-board.de/200470-laut-telekom-angeblich-gootkit-befallen.html

Zitat:

Zitat von M-K-D-B

Nach allem, was ich bisher weiß:
Entweder kam es per E-Mail als Anhang oder du hast von einer Seite etwas heruntergeladen (auch .zip Archiv) und beim Entpacken wurde die Schadsoftware ausgeführt.

Beim Entpacken passiert da nichts, das script muss ausgeführt werden.

Hier ist die offensichtliche Infektionsquelle:
2020-11-12 13:07 - 2020-11-12 13:07 - 000001559 _____ C:\Users\Luana\Downloads\anerkenntnis_der_klageforderung_muster.zip

Dazu kann man schnell eine manipulierte Seite finden.

https://i.ibb.co/6FdHbQS/auinmedia.png
https://innovatemedia[.]com.au/anerkenntnis-der-klageforderung-muster/

Eine australische Seite, die sich auf Deutsch mit deutschem Recht beschäftigt, ist schon seltsam.
Das dann angezeigte Fakeforum

https://i.ibb.co/v12btpz/auforum.png

wirkt auch nicht gerade vertrauenserweckend, aber da kommt wieder der normale Anwender ins Spiel.
Außerdem ist das social engineering in diesem Fall wirklich ungewöhnlich.