Feldstudie.net

Neue Malware zum Ausspähen von World of Warcraft, Forenaccounts, etc. – Trojan-GameThief.Win32.WOW.ihr

// April 29th, 2009 // IT, Kaspersky, Security

Kürzlich kam mir eine neue Schadsoftware unter die Augen (danke Daniel). Der Installer tarnte sich als neue Version des Flashplayer, welche von einer ‘Pseudo-Adobe’-Seite herunter geladen werden konnte. Die Domain und der Pfad zu der Datei wurde möglichst identisch zur Downloadseite von Adobe und dem originalen Flashplayer aufgebaut.

Nach Informationen eines Kollegen von Malwarecrawler.com wurden die infizierten Rechner durch diese Schadsoftware in ein scheinbar chinesisches Botnetz eingefügt. Der Trojan-GameThief.Win32.WOW.ihr sendet u.a. World of Warcraft Accountdaten, World of Warcraft Foren-Logins, Battle.net-Daten, etc. mittels bestimmter URL-Parameter und eines User-Agents an die Domain www.baoma9954.com. Der Zugriff auf das Botnetz findet über ein Webinterface statt. Die Clients des Botnetzes werden verkauft und zum Versenden von SPAM genutzt. Weitere Informationen finden sich auf ThreadExpert.

Hier der Report von VirusTotal:

Complete scanning result of "flashplayer.exe", processed in VirusTotal at 04/29/2009 13:20:24 (CET).

[ file data ]
* name..: flashplayer.exe
* size..: 57344
* md5...: 33c3b79b150c0f4489cf55d032da9951
* sha1..: 929d8139566cd84b9ed276c0810a1dc9cc71c763
* peid..: Armadillo v1.71

[ scan result ]
a-squared   4.0.0.101/20090429   found [Trojan.Win32.WOW!IK]
AhnLab-V3Â Â Â 5.0.0.2/20090429Â Â Â found nothing
AntiVir   7.9.0.156/20090429   found [TR/PSW.Wow.ihr]
Antiy-AVLÂ Â Â 2.0.3.1/20090429Â Â Â found nothing
Authentium   5.1.2.4/20090427   found nothing
Avast   4.8.1335.0/20090428   found nothing
AVGÂ Â Â 8.5.0.287/20090429Â Â Â found nothing
BitDefender   7.2/20090429   found [Trojan.PWS.OnlineGames.KBYN]
CAT-QuickHeal   10.00/20090429   found nothing
ClamAVÂ Â Â 0.94.1/20090429Â Â Â found nothing
Comodo   1141/20090429   found nothing
DrWeb   4.44.0.09170/20090429   found nothing
eSafe   7.0.17.0/20090427   found nothing
eTrust-Vet   31.6.6482/20090429   found nothing
F-Prot   4.4.4.56/20090427   found nothing
F-Secure   8.0.14470.0/20090429   found [Trojan-GameThief.Win32.WOW.ihr]
Fortinet   3.117.0.0/20090429   found [W32/Agent.KTBL!tr.dldr]
GData   19/20090429   found [Trojan.PWS.OnlineGames.KBYN]
Ikarus   T3.1.1.49.0/20090429   found [Trojan.Win32.WOW]
K7AntiVirus   7.10.719/20090429   found nothing
Kaspersky   7.0.0.125/20090429   found [Trojan-GameThief.Win32.WOW.ihr]
McAfee   5599/20090428   found nothing
McAfee+Artemis   5599/20090428   found [Artemis!33C3B79B150C]
McAfee-GW-Edition   6.7.6/20090429   found [Trojan.PSW.Wow.ihr]
Microsoft   1.4602/20090429   found nothing
NOD32Â Â Â 4042/20090429Â Â Â found [Win32/PSW.WOW.NJU]
Norman   6.00.06/20090428   found nothing
nProtect   2009.1.8.0/20090429   found [Trojan/W32.Agent.57344.OV]
Panda   10.0.0.14/20090428   found [Suspicious file]
PCTools   4.4.2.0/20090428   found nothing
Prevx1Â Â Â 3.0/20090429Â Â Â found [Medium Risk Malware]
Rising   21.27.22.00/20090429   found [Dropper.Win32.Mnless.GEN [Suspicious]]
Sophos   4.41.0/20090429   found nothing
Sunbelt   3.2.1858.2/20090428   found nothing
Symantec   1.4.4.12/20090429   found [Trojan Horse]
TheHacker   6.3.4.1.317/20090429   found nothing
TrendMicro   8.950.0.1092/20090429   found nothing
VBA32Â Â Â 3.12.10.3/20090429Â Â Â found [suspected of Malware-Cryptor.Win32.General.4]
ViRobot   2009.4.29.1715/20090429   found [Trojan.Win32.PSWWow.57344.N]
VirusBuster   4.6.5.0/20090428   found nothing

[ notes ]
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=33c3b79b150c0f4489cf55d032da9951

Ähnliche Beiträge:

• Mit gekaperten Rechnern bares Geld verdienen! Wer hinter dem erfolgreichen Geschäftsmodel Botnetze steht
• Kaspersky Lab analysiert neue Modifikation von Kido / Conficker / Downadup
• Entfernen von hartnäckiger Schadsoftware
• Kaspersky – Technologie für Kampf gegen immer ausgeklügeltere Malware
• Kaspersky Lab entdeckt 25millionsten Schädling