![\"Telekom](\"\/wp-content\/uploads\/2014\/01\/ishot-140115-194425.png\")
Telekom Rechnung mit Link auf Cridex Malware<\/p><\/div>
\nDer Link verweist nicht auf eine EXE oder ZIP sondern auf ein directory.\u00a0Zur\u00fcckgeliefert wird beim Aufruf aber ein ZIP File. Im ZIP befindet sich eine Executable, die bis vor einigen Stunden noch von keinem AV Hersteller erkannt wurde.
\nAuch jetzt ist die Erkennungsrate noch relativ schlecht.
\nDir URLs kann man in ProxyLogs eventuell an folgenden Strings erkennen<\/p>\n
URL Strings<\/h2>\n
\/volksbank\/
\n\/telekom\/
\n\/vodafon\/
\n\/NTTCable\/<\/p>\n
TLDs<\/h2>\n
Die TLDs waren h\u00e4ufig \u2013 aber nicht immer – \u201c.ru\u201d Domains.<\/p>\n
Sandboxing<\/h2>\n
Die \u00fcblichen Sandboxen haben Probleme mit der Analyse des Samples.<\/p>\n
Virustotal Report<\/h2>\n
https:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/<\/a><\/p>\n TLP Green – nur auf Anfrage<\/p>\n TLP Green – nur auf Anfrage<\/p>\n http:\/\/blog.mxlab.eu\/2014\/01\/14\/fake-email-from-t-mobile-with-online-invoice-for-january-2014-leads-to-malware\/<\/a>[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":" Derzeit rollt eine interessante Mail-Welle durch Deutschland und adressiert vor allem deutsche Unternehmen.\u00a0Es handelt sich wie \u00fcblich um eine Rechnung von “Telekom\/Vodafon\/Volksbank”, die als Link in der Mail hinterlegt ist. Der Link verweist nicht auf eine EXE oder ZIP sondern auf ein directory.\u00a0Zur\u00fcckgeliefert wird beim Aufruf aber ein ZIP File. Im ZIP befindet sich eine Executable, die bis vor einigen Stunden noch von keinem AV Hersteller erkannt wurde. Auch jetzt ist die Erkennungsrate noch relativ schlecht. Dir URLs kann man in ProxyLogs eventuell an folgenden Strings erkennen URL Strings \/volksbank\/ \/telekom\/ \/vodafon\/ \/NTTCable\/ TLDs Die TLDs waren h\u00e4ufig \u2013 aber nicht immer – \u201c.ru\u201d Domains. Sandboxing Die \u00fcblichen Sandboxen haben Probleme mit der Analyse des Samples. Virustotal Report https:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/ YARA Rule (u.a. f\u00fcr FireEye geeignet) rule Malware_Cridex_Generic { meta: description = “Rule matching Cridex-C Malware distributed in a German Campaign, January 2014 (Vodafone, Telekom, Volksbank bills)” author = “F. Roth” date = “2014-01-15” reference = “https:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/” hash = “86d3e008b8f5983c374a4859739f7de4” strings: $c1 = “NEWDEV.dll” fullword $c2 = “COMUID.dll” fullword $a1 = “\\\\>:t; brIs” fullword $a2 = “C:\\\\RcbmbtJK” fullword condition: 1 of ($a*) or all of ($c*) } User Agent – harter Indikator TLP Green – nur auf Anfrage C2 Server TLP […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"Derzeit rollt eine interessante Mail-Welle durch Deutschland und adressiert vor allem deutsche Unternehmen.\u00a0Es handelt sich wie \u00fcblich um eine Rechnung von \"Telekom\/Vodafon\/Volksbank\", die als Link in der Mail hinterlegt ist.\r\n[caption id=\"attachment_774\" align=\"alignnone\" width=\"439\"]YARA Rule (u.a. f\u00fcr FireEye geeignet)<\/h2>\n
\nrule Malware_Cridex_Generic {
\nmeta:
\ndescription = \"Rule matching Cridex-C Malware distributed in a German Campaign, January 2014 (Vodafone, Telekom, Volksbank bills)\"
\nauthor = \"F. Roth\"
\ndate = \"2014-01-15\"
\nreference = \"https:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/\"
\nhash = \"86d3e008b8f5983c374a4859739f7de4\"
\nstrings:
\n$c1 = \"NEWDEV.dll\" fullword
\n$c2 = \"COMUID.dll\" fullword
\n$a1 = \"\\\\>:t; brIs\" fullword
\n$a2 = \"C:\\\\RcbmbtJK\" fullword
\ncondition:
\n1 of ($a*) or all of ($c*)
\n}
\n<\/code><\/p>\nUser Agent – harter Indikator<\/h2>\n
C2 Server<\/h2>\n
Informationen zur Malware-Kampagne<\/h2>\n
![\"Telekom](\"https:\/\/www.nextron-systems.com\/wp-content\/uploads\/2014\/01\/ishot-140115-194425.png\")
<\/a> Telekom Rechnung mit Link auf Cridex Malware[\/caption]\r\nDer Link verweist nicht auf eine EXE oder ZIP sondern auf ein directory.\u00a0Zur\u00fcckgeliefert wird beim Aufruf aber ein ZIP File. Im ZIP befindet sich eine Executable, die bis vor einigen Stunden noch von keinem AV Hersteller erkannt wurde.\r\nAuch jetzt ist die Erkennungsrate noch relativ schlecht.\r\nDir URLs kann man in ProxyLogs eventuell an folgenden Strings erkennen\r\nURL Strings<\/h2>\r\n\/volksbank\/\r\n\/telekom\/\r\n\/vodafon\/\r\n\/NTTCable\/\r\n
TLDs<\/h2>\r\nDie TLDs waren h\u00e4ufig \u2013 aber nicht immer - \u201c.ru\u201d Domains.\r\n
Sandboxing<\/h2>\r\nDie \u00fcblichen Sandboxen haben Probleme mit der Analyse des Samples.\r\n
Virustotal Report<\/h2>\r\nhttps:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/<\/a>\r\n
YARA Rule (u.a. f\u00fcr FireEye geeignet)<\/h2>\r\n
\r\nrule Malware_Cridex_Generic {\r\nmeta:\r\ndescription = \"Rule matching Cridex-C Malware distributed in a German Campaign, January 2014 (Vodafone, Telekom, Volksbank bills)\"\r\nauthor = \"F. Roth\"\r\ndate = \"2014-01-15\"\r\nreference = \"https:\/\/www.virustotal.com\/en\/file\/519120e4ff6524353247dbac3f66e6ddad711d384e317923a5bb66c16601743e\/analysis\/\"\r\nhash = \"86d3e008b8f5983c374a4859739f7de4\"\r\nstrings:\r\n$c1 = \"NEWDEV.dll\" fullword\r\n$c2 = \"COMUID.dll\" fullword\r\n$a1 = \"\\>:t; brIs\" fullword\r\n$a2 = \"C:\\RcbmbtJK\" fullword\r\ncondition:\r\n1 of ($a*) or all of ($c*)\r\n}\r\n<\/code>\r\nUser Agent - harter Indikator<\/h2>\r\nTLP Green - nur auf Anfrage\r\n
C2 Server<\/h2>\r\nTLP Green - nur auf Anfrage\r\n
Informationen zur Malware-Kampagne<\/h2>\r\nhttp:\/\/blog.mxlab.eu\/2014\/01\/14\/fake-email-from-t-mobile-with-online-invoice-for-january-2014-leads-to-malware\/<\/a>","_et_gb_content_width":"","footnotes":""},"categories":[327],"tags":[422,423,424,425,124,426,427,428,429,430,72],"class_list":["post-7039","post","type-post","status-publish","format-standard","hentry","category-alert","tag-anhang","tag-cridex","tag-januar","tag-mail","tag-malware","tag-rechnung","tag-spam","tag-telekom","tag-vodafon","tag-volksbank","tag-zip"],"yoast_head":"\n