Malware: gefälschte Antivir-Rechnungen

Malware: Erneut falsche Antivir-Rechnungen

Mit dem Versand von Mails mit vorgeblichen Rechnungen über eine angeblich bestellte Version von Antivir gehen Malware-Spammer erneut auf die Suche nach neuen potenziellen Opfern.

Am Samstag sind wieder Spam-artig verbreitete Mails mit vorgeblichen Rechnungen von Aviras Online-Shop Cleverbridge im Umlauf gebracht worden. Wie bereits einige Tage zuvor werden diese Mails mit der gefälschten Absenderangabe “cleverbridge/Avira GmbH.” über ein Botnet verschickt. Die Mails tragen den Betreff “Referenznr.:595169: Ihre Bestellung von Avira GmbH Produkten” und enthalten auch im Text den Hinweis auf die “Referenznummer: 595169″. Diese Nummer findet sich ebenfalls im Dateinamen des Anhangs wieder.

Der Text verweist auf diesen Anhang, der einen Lizenzschlüssel für Antivir Personal Edition Premium mit einer Laufzeit von fünf Jahren enthalten soll. In dem ZIP-Archiv “595169.zip” steckt eine ausführbare Datei namens “HBEDV.KEY.exe”, die 3584 Bytes groß ist. Dabei handelt es sich um ein Trojanisches Pferd. Wird das Programm gestartet, lädt es einen weiteren Schädling aus dem Internet herunter.

Dieser installiert eine Datei namens “ipv6monl.dll” im System32-Verzeichnis von Windows und registriert sie als BHO (Browser Helper Object) im Internet Explorer. Dadurch können online eingegebene Zugangsdaten abgefangen werden, die der Schädling an einen Server im Internet meldet. Ziel der Täter sind sowohl Passwörter für Online-Spiele als auch Anmeldedaten für das Online-Banking.

quelle: pcwelt.de