Hoax-Info Service | Weblog | Archiv

31.05.07PermaLink
Letztes Update für Firefox 1.5 und Seamonkey 1.0.x

Die nähere Zukunft gehört Firefox 2.0

Für die bislang noch mit Sicherheits-Updates gepflegte Versionslinie 1.5 des Mozilla-Browsers Firefox ist mit der Version 1.5.0.12 soeben die letzte Aktualisierung erschienen. Zugleich hat Mozilla auch Firefox 2.0.0.4 bereit gestellt. In beiden Versionen haben die Entwickler einige Sicherheitslecks gestopft. Die Unterstützung für Version 1.5 wird wie angekündigt nunmehr eingestellt. Mit Firefox 1.5.0.12 soll Nutzern dieses Versionszweigs eine direkte, unkomplizierte Umstiegsmöglichkeit auf die neuere 2.0-Linie angeboten werden. Dazu sollen sie in ein paar Wochen einen automatischen Update-Hinweis erhalten.
Ebenfalls in neuer Version ist die Web-Suite Seamonkey erschienen. Die Version 1.1.2 ist auf dem Stand von Firefox 2.0.0.4. Sie enthält neben dem Browser auch ein Mail-und News-Programm (vergleichbar mit Thunderbird) sowie den Chat-Client Chatzilla und den HTML-Editor Composer. Der Versionszweig 1.0.x (entspricht Firefox 1.5) wird mit der parallel dazu erschienenen Version 1.0.9 (entspricht Firefox 1.5.0.12) eingestellt.
Auch für Mozillas Mail-Programm Thunderbird endet die Unterstützung des Versionszweigs 1.5 mit dem gerade erschienenen Sicherheits-Update auf Version 1.5.0.12. Wie beim Browser Firefox wird nur noch die 2.0-Linie weiter gepflegt.

→Download-Links

24.05.07PermaLink
Suche nach Madeleine

Kettenbriefe sollen helfen

Derzeit kursiert eine Reihe unterschiedlicher Kettenbrief-Mails, in denen zur Mithilfe bei der Suche nach der in Portugal mutmaßlich entführten Madeleine aufgerufen wird. Das vier Jahre alte britische Mädchen ist seit Anfang Mai spurlos verschwunden. Bereits jetzt können sich die Ermittler allerdings kaum noch vor gut gemeinten, aber wenig hilfreichen Hinweisen retten. Die meisten der kursierenden Kettenbrief-Mails sind gänzlich ungeeignet, enthalten fehlerhafte Informationen und/oder keine Angaben zu einer Anlaufstelle, wo man ggf. einen Hinweis melden könnte.
Gleichzeitig sind etliche bestenfalls als dubios zu bezeichnende Websites eröffnet worden, auf denen vorgeblich um Spenden für Suche nach Madeleine geworben wird. Mutmaßlich werden hier lediglich Bank- und Kreditkartendaten abgegriffen (Phishing) oder das gespendete Geld in die eigene Tasche gesteckt. Die offizielle Website ist www.findmadeleine.com
Übrigens: am 25. Mai 2007 ist der Internationale Tag des vermissten Kindes.

Google: News zu Madeleine

24.05.07PermaLink
Handy im Notfall

Kettenbrief: Telefonbucheintrag „ICE“ / „IN“

Derzeit kursieren vor allem in Österreich, aber auch in Deutschland Kettenbrief-artige E-Mails, in denen ein Notfalleintrag im Telefonbuch des Mobiltelefons propagiert wird. Unter den Namen „ICE“ (In Case of Emergency) bzw. „IN“ (Im Notfall) soll man die Rufnummer von im Notfall zu verständigenden Angehörigen eintragen. Garniert wird dieser Vorschlag oft mit dem Hinweis, die Weiterleitung erfolge „auf Anraten des Zivilschutzes“.
Es handelt sich hierbei nicht um einen klassischen Hoax (Falschmeldung), denn nach den Terroranschlägen in der Londoner U-Bahn im Jahr 2005 wurde in England tatsächlich eine solche ICE-Kampagne gestartet. Der Nutzen für Rettungskräfte vor Ort ist allerdings umstritten. In Deutschland und Österreich wird bislang kaum dafür geworben - und ein Kettenbrief ist wohl kaum der geeignete Weg dazu. Das Rote Kreuz in Österreich erwägt eine „IN“-Initiative für die Fußball-EM 2008 für Gäste aus dem Ausland.

Wikipedia | Rotes Kreuz (.at) | dt. IN-Homepage | Arbeiter-Samariter-Bund (8/2009)

23.05.07PermaLink
Mahnung vom Anwalt - die fünfte

Vorgebliche Mahnschreiben mit frischer Malware

Nachdem heute Morgen zunächst alte Malware mit neuem Mail-Text verbreitet wurde, gibt es inzwischen die gleichen Mails auch mit frischer Malware im Gepäck. Die E-Mails tragen einen Betreff wie z.B. „Erstattung einer Anzeige“, „Mahnung, Aktenzeichen: 844441/22“, „Forderung, Aktenzeichen: 148264/55“, „Aktenzeichen: 287805/34“ oder „Rechtsanwalt-Thieler“. Der Anhang besteht aus einer ZIP-Datei mit Dateinamen wie "Anlage56.zip" und enthält eine knapp 29 KB große "Anagle.exe". Dieses Trojanische Pferd lädt weitere Malware ("temp.exe") aus dem Internet nach. Diese installiert eine "ipv6monl.dll" im System32-Verzeichnis von Windows als BHO im IE. Die beiden nachgeladenen Dateien sind derzeit identisch mit den bereits aus den vorherigen Mails (s.u.).

Erkennung durch Virenscanner: + Details aus-/einklappen | E-Mail ansehen

  MD5: 3da36df39a2c083bc38ce0e2666a4314 | Größe: 29184 Bytes

Antivirus	Malware-Name
AntiVir	TR/Dldr.iBill.AU
Avast!	-/-
AVG	-/-
Bitdefender	-/-
ClamAV	Trojan.Downloader-7454
Command	-/-
Dr Web	DLOADER.Trojan (probably)
eSafe	Trojan/Worm [101]
eTrust	-/-
Ewido	-/-
F-Prot	W32/Downloader2.EJY
F-Secure	Trojan-Downloader:W32/Nurech.BQ
Fortinet	-/-
G Data AVK 2007	Trojan-Downloader.Win32.Delf.awi
Ikarus	Trojan-Downloader.Win32.Nurech.bp

Antivirus	Malware-Name
Kaspersky	Trojan-Downloader.Win32.Delf.awi
McAfee	-/- (Generic Downloader.ab)*
Microsoft	-/-
Nod32	Win32/TrojanDownloader.Nurech.BG
Norman	-/-
Panda	Generic Worm (W32/Nurech.AD.worm)*
QuickHeal	-/-
Rising	-/-
Sophos	Mal/Behav-105
Spybot S&D	-/-
Symantec	-/-
Trend Micro	-/-
VBA32	-/-
VirusBuster	-/-
WebWasher	Trojan.Dldr.iBill.AU

  ( )* noch nicht in offiziellen Virensignaturen enthalten | Quelle: AV-Test, Stand: 23.05.07, 23 Uhr

22.05.07PermaLink
Wieder falsche Mails vom Anwalt

Vierte Welle vorgeblicher Mahnungen mit Malware im Gepäck

Heute schwappten zum vierten Mal größere Mengen vorgeblich von RA Tank kommender E-Mails in die Mailboxen. Die Mails kommen mit einem Betreff wie z.B. „AZ: 655803/69“, „Forderung AZ: 370329/06“ oder „Aktenzeichen: 920242/60“. Der Anhang ist ein RAR-Archiv mit einen Dateinamen wie "Anlage_zum_Mahnung.rar" oder "Original_Invoice.rar". Darin steckt ein 29 KB großes Trojanisches Pferd mit dem Dateinamen "O_Mahnung_Sign17174724535187871.pdf.exe". Es lädt ggf. weitere Malware aus dem Internet nach, die eine DLL namens "ipv6monl.dll" im System32-Verzeichnis von Windows ablegt und als BHO im Internet Explorer registriert.
Update: Es werden inzwischen auch andere Mail-Varianten verbreitet. Anderer Anwalt (Thieler), geringfügig anderer Inhalt, die enthaltene Malware ist jedoch trotz anderer Dateinamen identisch.
Update 2: Die vorgeblich von RA Thieler kommenden Mails gibt es inzwischen auch mit frischer Malware, s.o.

→Erkennung durch Virenscanner | E-Mail ansehen | neuere E-Mail ansehen

12.05.07PermaLink
Weitere Mails vom Kriminaldirektor

Dritte Runde der vorgeblichen Onlinedurchsuchungen

Die, soweit bekannt, dritte Welle vorgeblich vom LKA in Mainz stammender E-Mails schwappt in der Nacht zum Samstag in die Mailboxen. Der Betreff lautet z.B. „Aktenzeichen ????????“ oder auch „Bericht-[????????] Onlinedurchsuchung“, als gefälschte Absenderangabe dienen z.B. Adressen wie "Kriminaldirektor <support@bka.de>" oder auch "Herbert Klein <zv11personalgewinnung@bka.bund.de>". Bitte rufen Sie in dieser Sache nicht beim LKA in Mainz an - da kommen die Mails nicht her. Das Trojanische Pferd im Anhang steckt diesmal nicht in einem ZIP-Archiv sondern ist eine unkomprimierte SCR-Datei (Dateityp: Bildschirmschoner). Wird die Datei geöffnet, lädt sie weitere Malware aus dem Internet nach, die eine eine DLL namens "ipv6monl.dll" im System32-Verzeichnis von Windows ablegt und als BHO (Browser Helper Object) im Internet Explorer registriert. Sie soll eingegebene Zugangsdaten fürs Online-Banking ausspionieren.

→Erkennung durch Virenscanner | E-Mail ansehen

10.05.07PermaLink
Vorgebliche Google Webmastertools

Dümmlicher Scherz in einer Spam-Mail

In heute Spam-artig verbreiteten Mails wird den Adressaten mitgeteilt, ihre Website würde wegen Verstößen gegen Googles Richtlinien aus dem Index entfernt. Die Mails kommen mit einem Betreff wie „Entfernung Ihrer Webseite www.???????.de aus dem Google Index“. Darin wird auf ein angebliches "Google Webmastertool" im Anhang verwiesen. Dieser besteht (soweit überhaupt vorhanden) aus einem nur 182 Bytes großen ZIP-Archiv namens "google webmastertools.zip". Darin steckt eine gleichname EXE-Datei mit einer Größe von gerade 32 Bytes. Es handelt sich hierbei jedoch nicht um ein ausführbares Programm sondern um eine Textdatei, eine Art Pseudo-Batch mit dem Inhalt „cmd.exe c\:clear complete harddisc“. Da das so nicht funktionieren kann, handelt es sich offenkundig um einen etwas dümmlichen Scherz. Diese Datei als Trojanisches Pferd zu bezeichnen wäre eindeutig zu viel der Ehre.

E-Mail ansehen

09.05.07PermaLink
Neue Mails wg. vorgeblicher Onlinedurchsuchung

Neue Malware lädt alte Malware

Seit gestern werden erneut Mails Spam-artig verbreitet, die vorgeblich vom LKA Rheinland-Pfalz kommen. Darin heißt es, wie schon am 5. Mai, der Rechner des Empfängers sei mit Hilfe des "Bundestrojaners" einer "Onlinedurchsuchung" unterzogen worden. Im Anhang fände man ein Durchsuchungsprotokoll. Dieser Anhang besteht jedoch aus einem Trojanischen Pferd in einer ZIP-Datei. Es ist als "Aktenzeichen.pdf.exe" oder "Aktenzeichen.doc.exe" im ZIP-Archiv enthalten und lädt ggf. einen weiteren Schädling aus dem Internet nach, der identisch ist mit dem vom 5. Mai (s.u.).

Erkennung durch Virenscanner: + Details aus-/einklappen | E-Mail ansehen

  MD5: 7b3dc8ed3a14892fd2ac850b0f415496 | Größe: 21504 Bytes

Antivirus	Malware-Name
AntiVir	TR/Dldr.iBill.AR
Avast!	-/-
AVG	-/-
Bitdefender	Trojan.Downloader.Nurech.BE
ClamAV	Trojan.Downloader.Nurech-7
Command	-/-
Dr Web	DLOADER.Trojan
eSafe	-/-
eTrust	-/-
Ewido	Downloader.Nurech.bp
F-Prot	-/-
F-Secure	Trojan-Downloader.Win32.Nurech.bp
Fortinet	-/-
G Data AVK	Trojan-Downloader.Win32.Nurech.bp
Ikarus	Trojan-Downloader.Win32.Nurech.bp

Antivirus	Malware-Name
Kaspersky	Trojan-Downloader.Win32.Nurech.bp
McAfee	Downloader-AAP
Microsoft	TrojanDownloader:Win32/Nurech.gen!B
Nod32	Win32/TrojanDownloader.Nurech.BG
Norman	-/-
Panda	Trj/Alanchum.VL
QuickHeal	-/-
Rising	-/-
Sophos	Mal/Behav-105
Spybot S&D	-/-
Symantec	-/- (Downloader)*
Trend Micro	TROJ_SMALL.IAU
VBA32	-/-
VirusBuster	-/-
WebWasher	Trojan.Dldr.iBill.AR

  ( )* noch nicht in offiziellen Virensignaturen enthalten | Quelle: AV-Test, Stand: 09.05.07, 18 Uhr

08.05.07PermaLink
Patch Day: alle sieben kritisch

Microsoft stopft 19 Sicherheitslücken

Microsoft hat heute sieben Security Bulletins veröffentlicht, von jedes mindestens eine als kritisch eingestufte Sicherheitslücke behandelt. Betroffen sind der Internet Explorer (neues, kumulatives Sicherheits-Update), Microsoft Office -besonders Word und Excel- sowie die Windows-Server, in denen die RPC-DNS-Schwachstelle behoben wird. Ferner werden kritische Anfälligkeiten in Exchange und in der Krypto-Schnittstelle CAPICOM ausgeräumt. Neben der Beseitigung dieser insgesamt 19 Sicherheitslücken gibt es noch eine neue Version von Microsofts kleiner Wurmkur (MRT).

→MS Download-Links

05.05.07PermaLink
Vorgebliche Online-Durchsuchungen

Falscher Bundestrojaner in falschen LKA-Mails

Heute werden massenhaft Spam-Mails mit einem Trojanischen Pferd verbreitet, in denen die Empfänger mit einer angeblichen Strafanzeige erschreckt werden sollen. Als vorgeblicher Absender ist das Landeskriminalamt Rheinland-Pfalz angegeben - bitte rufen Sie nicht dort an. Der Betreff der Mails lautet „Onlinedurchsuchung [zahl]“ oder „Aktenzeichen [zahl]“. Das ZIP-Archiv im Anhang enthält eine Datei "Aktenzeichen.exe" (20 KB) mit PDF-Symbol. Dabei handelt es sich um ein Trojanisches Pferd, das weitere Malware aus dem Internet nachlädt. Diese landet als "lo.exe" und "ipv6monl.dll" im System32-Verzeichnis von Windows. Die DLL wird als BHO im IE registriert und soll eingegebene Zugangsdaten für Online-Dienste ausspionieren.

Erkennung durch Virenscanner: + Details aus-/einklappen | E-Mail ansehen

  MD5: 5fa75bd573906341b9f04490babbf616 | Größe: 20480 Bytes

Antivirus	Malware-Name
AntiVir	TR/Dldr.iBill.AP
Avast!	-/-
AVG	Downloader.Generic4.IOF
Bitdefender	-/-
ClamAV	Trojan.Fakebill-1
Command	W32/Downloader.gen2
Dr Web	DLOADER.Trojan
eSafe	-/-
eTrust	-/-
Ewido	-/-
F-Prot	W32/Downloader.gen2
F-Secure	Trojan-Downloader.Win32.Nurech.bm
Fortinet	-/-
G Data AVK	Trojan-Downloader.Win32.Nurech.bm
Ikarus	Win32.Outbreak

Antivirus	Malware-Name
Kaspersky	Trojan-Downloader.Win32.Nurech.bm
McAfee	-/- (Downloader-AAP)*
Microsoft	TrojanDownloader:Win32/Nurech.gen!B
Nod32	Win32/TrojanDownloader.Nurech.BG
Norman	-/-
Panda	Generic Trojan (Trj/Cimuz.BE)*
QuickHeal	-/-
Rising	-/-
Sophos	Mal/Behav-105
Spybot S&D	-/-
Symantec	-/- (Downloader)*
Trend Micro	TROJ_SMALL.IAU
VBA32	-/-
VirusBuster	Trojan.DL.Nurech.BY
WebWasher	Trojan.Dldr.iBill.AP

  ( )* noch nicht in offiziellen Virensignaturen enthalten | Quelle: AV-Test, Stand: 05.05.07, 17 Uhr

03.05.07PermaLink
Vorschau auf den kommenden Patch Day

Microsoft kündigt sieben Security Bulletins an

Am kommenden Dienstag, den 8. Mai, ist wieder Patch Day bei Microsoft. Es sind sieben Security Bulletins nebst Sicherheits-Updates angekündgt, davon mindestens vier mit dem maximalen Schweregrad "kritisch". Neben Windows (2) und MS Office (3) werden auch MS Exchange und BizTalk (CAPICOM) mit je einem Bug-Fix vertreten sein. Auch die seit ein paar Wochen bekannte DNS-Lücke soll behandelt werden. Wie immer wird es auch eine neue Version von Microsofts kleiner Wurmkur (MSRT) geben.

Microsoft Security Bulletin Advance Notification, Mai 2007 (dt.) | →MS Download-Links

03.05.07PermaLink
Mindfactory AG: Vielen Dank fur den Kauf

Vorgebliche Auftragsbestätigung mit gefährlichem Link

Heute werden Spam-artig Mails verbreiten, in denen sich vorgeblich eine Mindfactory AG für den Einkauf in ihrem Shop bedankt. Der Betreff lautet „Betreff: Vielen Dank fur den Kauf“. Ein Link zu einer von mehreren verschiedenen Web-Seiten bei Geocities.com soll angeblich die Einsichtnahme in Kontobilanz und "Kaufzettel" ermöglichen, schaufelt jedoch über einen versteckten iFrame und darin enthaltene Javascript-Malware eine "update.exe" auf den Desktop. Diese installiert im System32-Verzeichnis eine "ipv6monl.dll", die als BHO im IE registriert wird und eingegebene Zugangsdaten ausspionieren soll.

→Erkennung durch Virenscanner | E-Mail ansehen

01.05.07PermaLink
Interessanter Angebot von "Berliner Airlines"

Spam-Mails mit Malware-Link

Wie bereits in der letzen Woche werden heute Spam-Mails verbreitet, die vorgeblich ein Aktionsangebot der "Berliener Airlines" (sic!) bewerben, Betreff der Mails: „Interessanter Angebot von 'Berliner Airlines'“. Man soll für 20 Euro zu allen Zielen in der EU fliegen können. Ein Anhang ist nicht dabei, jedoch ein Link auf eine Website mit südkoreanischer Domain (.kr). Beim Abruf dieser Seite wird ein versteckter iFrame von einem Server in Malaysia geladen, der ein Trojanisches Pferd mit dem Dateinamen "update.exe" einschleusen soll (was bei Benutzung des Internet Explorers auch klappt). Dieser Schädling legt im System32-Verzeichnis von Windows eine Datei namens "ipv6monl.dll" an, die er als BHO (Browser Helper Object) im Internet Explorer registriert. Damit können eingegebene Zugangsdaten ausspioniert werden.

→Erkennung durch Virenscanner | E-Mail ansehen