Spam: Emirates, Your eReceipt Details

markusg

Your eReceipt Details

Wer eine Mail mit dem Betreff "Your eReceipt Details"
erhält, sollte diese an uns weiterleiten.

From: CustomerService@emirates.com(gefälschter Absender)
Subject: Your eReceipt Details


Your eReceipt Details




Dear Customer,Thank you for choosing Emirates! Please find your E-Ticket attached with this email.We wish you a pleasant journey!Regards, EmiratesPlease
do not reply to this message using the "reply" address. However, your feedback is important to us.Please click on the link(Customer Satisfaction Survey)if
you would like to provide information regarding your customer service experience today.If you do not receive your eTickets as a PDF attachment, please
check your computer settings or alternatively you can re-print your eTickets online by going to
'Manage my existing booking' section.
*



es hängt an:
eTicket-Emirates-0894285765012.pdf.zip
Rund 33,4KB groß

Scanergebniss der Exe Datei:
https://www.virustotal.com/file/01f9...is/1360749093/
MD5: 8b1586afea7b0f3a7b47689b0864bea7
SHA1: 51a0214588ef6ad0c7082e8b1e8da3f0673ac992
Detect: 29 / 45

Win32/Inject.C!generic (TotalDefense)
Trojan.Generic.KD.857630 (MicroWorld-eScan)
Trojan.Generic.KD.857630 (nProtect)
Generic BackDoor.u (McAfee)
Trojan.Inject (Malwarebytes)
W32/Trojan3.ESZ (F-Prot)
Backdoor.Trojan (Symantec)
BKDR_ANDROM.JWS (TrendMicro-HouseCall)
Win32:Malware-gen (Avast)
Trojan.Win32.Inject.fbmn (Kaspersky)
Trojan.Generic.KD.857630 (BitDefender)
Troj/Inject-AEC (Sophos)
Heur.Suspicious (Comodo)
Trojan:W32/Zbot.BBGZ (F-Secure)
Trojan.Win32.Generic!BT (VIPRE)
Worm/Gamarue.EB.3 (AntiVir)
BKDR_ANDROM.JWS (TrendMicro)
Artemis!8B1586AFEA7B (McAfee-GW-Edition)
Win32.Troj.Generic.a.(kcloud) (Kingsoft)
Worm:Win32/Gamarue.I (Microsoft)
Trojan.Generic.KD.857630 (GData)
W32/Trojan3.ESZ (Commtouch)
ASD.Prevention (AhnLab-V3)
Backdoor.Trojan (PCTools)
Win32/TrojanDownloader.Wauchos.A (ESET-NOD32)
Suspicious (Rising)
Trojan-Spy.Zbot (Ikarus)
W32/Zbot.ANM!tr (Fortinet)
SHeur4.BASB (AVG)


Es handelt sich um den bereits bekannten: Backdoor.Andromeda.
Eine Kopie der Malware wird ins System gedroppt und über folgenen Registry Key gestartet:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
"10006" C:\DOKUME~1\ALLUSE~1\LOCALS~1\Temp\msexxazmu.pif

HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run
"{EA1178B6-687E-CA32-BA95-58EB2E5E1C2E}"
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Oculq\segety.exe

Hierbei handelt es sich um einen Banking Trojaner (Zbot)
https://www.virustotal.com/file/e536...is/1360695724/
die Malware verbindet zu:

dudebox.pl/image.php

dyndin.ru/image.php[

linebench.ru/image.php

petblog.pl/image.php

diese ist in der Lage, sensible Daten zu stehlen, und weitere Malware nachzuladen.

Bitte beachten!
- Wer eine solche, oder ähnliche verdächtige Mail erhält, möge diese an uns weiterleiten. http://markusg.trojaner-board.de
- Mails, die man erhält, immer gründlich lesen.
- wer den Anhang ausgeführt hat, bitte ein Thema hier im Forum eröffnen.

__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet