Pažnja! Prvoaprilski talas spam-malware-a [Storm worm]

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Dobio sam sumjniv spam. Kaspersky ništa ne detektuje, ali meni tu nešto ne miriše.

From: sotram@goosu.com
Subject: Happy All Fool's Day.



Poruka: Gotcha! All Fool! http://124.121.*75.**

Tamo vas savetuje da pokrenete neki exe fajl.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

hm nisu tu cista posla....

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Zna se onda:
http://www.mycity.rs/Ambulanta/Kako-otvoriti-temu-u-Ambulanti.html

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

helen1 ::Zna se onda:
http://www.mycity.rs/Ambulanta/Kako-otvoriti-temu-u-Ambulanti.html


Nisam aktivirao exe fajl, te iz tog razloga mislim da ne treba da postujem HiJack log

Dopuna: 01 Apr 2008 12:39

Izgleda da je kaspersky požurio



Dopuna: 01 Apr 2008 12:41

Nemojte da vas buni što piše Dc1.exe
fajl se inače zove funny.exe

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

@MRKY
Vidim da si već primio prvoaprilsku čestitku od Russian Busines Networka. Znači krenuo je još jedan spam talas. Biće zanimljivo..
------------

Citat:March 31, 2008 19:45 GMT - " A wave of April Fool's Day related Storm (e)mails have just been sent out. Similar as the other times with a link that points to an IP address... if you receive one of these emails, don't click on the link."




http://www.f-secure.com/weblog/archives/00001410.html

Storm worm dolazi uz spam poruke a neke od subjekta iz tih mailova su:

All Fools' Day
Doh! All's Fool.
Doh! April's Fool.
Gotcha!
Gotcha! All Fool!
Gotcha! April Fool!
Happy All Fool's Day.
Happy All Fools Day!
Happy All Fools!
Happy April Fool's Day.
Happy April Fools Day!
Happy Fools Day!
I am a Fool for your Love
Join the Laugh-A-Lot!
Just You
One who is sportively imposed upon by others on the first day of April
Surprise!
Surprise! The joke's on you.
Today You Can Officially Act Foolish
Today's Joke!

-----------
Imena fajlova karakteristična za ovaj Storm 'talas'..

foolsday.exe
funny.exe
kickme.exe
-------------
http://isc.sans.org/diary.html?storyid=4222


Info o svim dosadašnjim metodama za propagiranje i distribuciju ovog malware-a:
http://www.castlecops.com/p1073287-Another_quot_Storm_quot_Wave.html
----------

Korisni info linkovi:
http://en.wikipedia.org/wiki/Russian_Business_Network
http://rbnexploit.blogspot.com/
http://en.wikipedia.org/wiki/Storm_Worm
http://en.wikipedia.org/wiki/Storm_botnet

Dopuna: 01 Apr 2008 15:24

MRKY ::Nisam aktivirao exe fajl, te iz tog razloga mislim da ne treba da postujem HiJack log
Ova verzija koliko čitam na blic dolazi bez exploita.. ALI.. to ništa ne mora da znači u praksi jer se ovde radi o jednom veoma opakom malware-u čije verzije dosta brzo mutiraju. AV kompanije su bar 2 koraka iza njega. Ništa ne treba prepuštati slučaju. Ovo je jedan komercijalni i veoma sofisticirani primerak malware-a.

Još uvek je ovo sveže da bi se pričalo o nečem konkretnom i pouzdanom. Znam samo da su prošle varijacije Storm Worm-a (npr. halloween edition) bile napisane tako da između ostalog instaliraju i rootkit, koji je efikasno krio kako samog sebe tako i ostale maliciozne fajlove na zaraženom sistemu. Nijedan AV tada nije bio u stanju da full počisti sistem od ovog malware-a. Pouzdane definicije su kasnile po nedelju-dve zavisno od AV vendora.

Čak sumnjam da je moguće pouzdano detektovati Storm samo pomoću HJT-a. Trebalo bi tu uključiti neke druge alate tipa gmer/cachme/ CF.. etc.

btw. Sa koje putanje ti javlja to detekciju KAV? Ne vidim iz tog screenshot-a.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

DEMIAN ::
btw. Sa koje putanje ti javlja to detekciju KAV? Ne vidim iz tog screenshot-a.

U Recycle Bin. Stajaće mi tamo još koji dan ako se u međuvremenu javi kolekcionar

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

'Veoma pametno sa tvoje strane, počev od čitanja spam poruka, kliktanja na linkove u njima, pa do čuvanja malware-a u kanti' Enjoy in game

Kolekcionari kao i AV kompanije su se već dokopali aktuelnih primeraka.