Nach Öffnen der Datei wird die Windows Registry modifiziert und im Internet Explorer ein Dienst integriert, der Port 80 freigibt und auf einen Trojan-Downloader verweist –(G DATA erkennt diesen als Downloader.Win32.Agent.crz). Das Schadprogramm wird unbemerkt vom Anwender im Hintergrund geladen.

1. Die E-Mail ist leicht an der Betreffzeile zu identifizieren:

'Here is it'
'Hot game'
'Hot pictures'
'Something hot'
'You ask me about this game,
Here is it'

2. Unterschiedliche Variationen des Mailtextes:

Good Day, dear Friend!

Monica T. sent you animated card. You can check this in your attachment.

Best regards,

Your Funny Cards.

------------------------------------

Good morning, dear!

Jane sent you animated card. You can check this in your attachment.

Best regards,

Your Funny Cards.

------------------------------------

Hello, dear!

Barbara S. sent you animated card. You can check this in your attachment.

Best regards,

Your Funny Cards.

+++++++++++++++++++++++++++++++++++++++

3. Dateianhang:

iloveyou.zip, 19.340 Bytes, MD5: D9473ADDD98616AB9A0C8614701491DF enthält: iloveyou.exe, 20.992 Bytes , MD5: 8BCA29CBA410AA9EAF16F8CE280FB7E0, G DATA erkennt das Schadprogramm als Trojan-Downloader.Win32.Agent.crz

4. Prozesse

Wenn man die Datei ausführt, werden folgende Dateien

%System32%\drivers\runtime.sys
%System32%\drivers\netdtect.sys

und folgende Registry-Einträge erzeugt "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\runtime"

und dort folgende Werte eingetragen

ImagePath = "%System32%\drivers\runtime.sys"
Type = "1"
Start = "3"

Es wird ein Dienst eingerichtet und ein Prozess in den Internet Explorer integriert.
Es wird versucht folgende IP Adressen auf Port 80 TCP zu erreichen:
66.246.72.173
67.18.114.98
208.66.194.241

Quelle: Pressemitteilung G DATA Software AG