Die Antwort von Avast:

Hallo xxxxxxxxxxxxx

Unser Kundendienst hat Ihre Anfrage erhalten.




Die Reaktionszeit kann je nach Abteilung und Art des Problems variieren, jedoch wird Ihnen einer unserer Mitarbeiter möglichst bald antworten.




Die Details Ihrer Anfrage sind anbei für Ihre Unterlagen angeführt:




Ticket-Nr.:


Betreff: Verdächtige Datei(Teslacrypt3)





Sie können hier den Status der Anfrage überprüfen oder online eine Antwort abschicken:







Mit freundlichen Grüßen




Ihr Kundendienst-Team


AVAST Software

Zitat von s0nny

Sogar meine VM mit Win7 ohne Virenprogramm (nur der integrierte Win Defender) hat die Datei erkannt.
Habe die Datei jetzt etwas "reversed engineered", bin aber noch nicht ganz fertig und verstehe auch nicht alles. Was ich aber rausgekriegt habe, sind unter anderem 2 URLs, welche beide auf eine 93.exe zeigen. Virustotal sagt bei einer sie wäre sauber, bei der anderen erkennt er, dass die Seite Malware enthält, genaueres aber nicht.
Die .js lädt das Teil also auch nur nach.

Bin grad noch dabei ein paar Strings zusammenzusetzen, komme aber nicht ganz mit dem WScript-Objekt klar, welches wohl letztendlich die Verbindung aufbaut und Registryeinträge vornimmt (?).
Kennt sich vll jemand damit aus?

Als ich gestern das Zip File von dir entpackt hatte und die Datei darin ausführte, tat sich rein gar nix, war schon darauf gefasst das das verschlüsseln anfing, aber es passierte rein gar nichts. Hab mit den Dingern aber auch keinerlei Erfahrung.

Zitat von purzelbär

Als ich gestern das Zip File von dir entpackt hatte und die Datei darin ausführte, tat sich rein gar nix, war schon darauf gefasst das das verschlüsseln anfing, aber es passierte rein gar nichts. Hab mit den Dingern aber auch keinerlei Erfahrung.

Kannst du mal gucken ob du in %TEMP% eine 2097152.exe liegen hast? soweit ich das verstehe sollte das die im hintergrund geladene exe sein.

Zitat von s0nny

Kannst du mal gucken ob du in %TEMP% eine 2097152.exe liegen hast? soweit ich das verstehe sollte das die im hintergrund geladene exe sein.

Meinst du nicht auch, dass der Dateiname eher durch den Zufall erzeugt wurde?

Zitat von s0nny

Kannst du mal gucken ob du in %TEMP% eine 2097152.exe liegen hast? soweit ich das verstehe sollte das die im hintergrund geladene exe sein.

Ich seh da nichts drin:

Zitat von cosinus

Nun tritt euch doch nicht gleich in die Eier
Purzel, das TB hat hier extra eine Dateiuploadfunktion, auch für Bilder

Ich weiß cosinus aber ich bin den von mir genutzten Bilderhoster seit Jahren gewohnt.