Trojaner-Board - visa.com Spam: Please respond

Please respond - overdue payment

Wer eine Mail mit dem Betreff
"Please respond - overdue payment"
erhält, sollte diese an uns weiterleiten.

Zitat:

From: "Visa" <Byron_Velez@visa.com>
From: "Visa" <Samuel_Singleton@visa.com>
(immer gefälschte Absender, enden alle auf visa.com)
Subject: [SPAM?] Please respond - overdue payment

Please find attached your invoices for the past months. Remit the payment by 04/29/2013 as outlines under our "Payment Terms" agreement.

Thank you for your business,

Sincerely,
Samuel Singleton

This e-mail has been sent from an automated system. PLEASE DO NOT REPLY.

The information contained in this message may be privileged, confidential and protected from disclosure. If the reader of this message is not the intended recipient, or an employee or agent responsible for delivering this message to the intended recipient, you are hereby notified that any dissemination, distribution or copying of this communication is strictly prohibited. If you have received this communication in error, please notify your representative immediately and delete this message from your computer. Thank you.

Es hängt an:
INVOICE_1892891.zip
(Nummern können varieren).
Rund 104 KB groß.
Virustotal Ergebniss der enthaltenen .EXE Datei:
https://www.virustotal.com/file/581c...is/1367254755/
MD5: 89705d9bb8a613a72a0e0abfc41fbfc4
SHA1: 01ceec286a426e665ba7bc1793fdae173d9d6abf
Detect: 12 / 45

Trojan.GenericKD.969649 (MicroWorld-eScan)
(Suspicious) - DNAScan (CAT-QuickHeal)
Fake-SecTool-FLN!89705D9BB8A6 (McAfee)
Trojan.FakeAlert (Malwarebytes)
W32/Trojan3.CEE (F-Prot)
Trojan-PSW.Win32.Tepfer.jfhz (Kaspersky)
Trojan.GenericKD.969649 (BitDefender)
Heur.Packed.Unknown (Comodo)
Trojan.Packed.196 (DrWeb)
Trojan.GenericKD.969649 (B) (Emsisoft)
Trojan.GenericKD.969649 (GData)
W32/Trojan.VZFB-3811 (Commtouch)

Es handelt sich hierbei um Zeus Gameover

Folgene Autostart Einträge werden erstellt:

HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run {1C9B46F7-F88B-AD7E-FB56-FD56EA1DDE44}
"C:\Documents and Settings\Administrator\Application Data\Lyun\adik.exe"

die Malware verbindet zu:

techsolbowling.com/Ff1.exe

mail.yaklasim.com:8080/ponyb/gate.php

Diese Malware ist in der Lage, sensible Daten zu stehlen.
FTP Zugänge, Banking Daten, sonstige Passwörter.

- Wer eine solche, oder ähnliche verdächtige Mail erhält, möge diese an uns weiterleiten.
markusg - trojaner-board.de
- Mails, die man erhält, immer gründlich lesen.
- wer den Link geöffnet hatt, bitte ein Thema bei uns eröffnen.
http://www.trojaner-board.de/log-analyse-auswertung