Wenn Sie hier auf Links zu eBay klicken und einen Kauf tätigen, kann dies dazu führen, dass diese Website eine Provision erhält.

Trojaner eBay.a

Verbreitung:*****
Schaden: *****

Zurzeit ist der Trojaner eBay.a per E-Mail unterwegs. In einer angeblichen Zahlungsaufforderung versucht der Trojaner, sich auf dem betreffenden System zu installieren. Die E-Mail kommt mit einer gefälschten Absender-Adresse von eBay.
Der Text verweist auf den Anhang der E-Mail, den man öffnen und ausdrucken soll. Wenn man den Anhang aber öffnet, erscheint keine Rechnung, sondern der Trojaner kapert Ihr System.

Die E-Mail hat folgendes Aussehen

Absender: "eBay Collections", "eBay Finance", "eBay Kundensupport".

Betreff: "Ihre eBay.de Gebuehren".

Dateianhang: "eBay-Rechnung.pdf.exe" und ein PDF-Symbol.

Größe des Dateianhangs: 20.480 Bytes.

E-Mail-Text: Unterschiedlicher Text.

Betroffene Betriebssysteme: Alle Windows-Versionen

Installation auf dem System

Kopien seiner selbst werden hier erzeugt:
• %WINDIR%Rundll16.exe
• %SYSDIR%scanregw.exe
• C:WINZIP_TMP.exe
• %SYSDIR%Update.exe
• %SYSDIR%Winzip.exe
• %ALLUSERSPROFILE%Start MenuProgramsStartupWinZip Quick Pick.exe

Folgende Dateien werden überschreiben.
Die enthaltene Zeitsynchronisation löst bei folgendem Zeitpunkt aus: Wenn der Tag den folgenden Wert hat: 3

– %alle Verzeichnisse%

Dateiendungen:
• .HTM
• .DBX
• .EML
• .MSG
• .OFT
• .NWS
• .VCF
• .MBX

Mit folgendem Inhalt:
• DATA Error [47 0F 94 93 F4 K5]

Folgende Dateien werden gelöscht:
• %PROGRAM FILES%DAP*.dll
• %PROGRAM FILES%BearShare*.dll
• %PROGRAM FILES%SymantecLiveUpdate*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2003*.exe
• %PROGRAM FILES%SymantecCommon FilesSymantec Shared*.*
• %PROGRAM FILES%Norton AntiVirus*.exe
• %PROGRAM FILES%Alwil SoftwareAvast4*.exe
• %PROGRAM FILES%McAfee.comVSO*.exe
• %PROGRAM FILES%McAfee.comAgent*.*
• %PROGRAM FILES%McAfee.comshared*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2002*.exe
• %PROGRAM FILES%Trend MicroInternet Security*.exe
• %PROGRAM FILES%NavNT*.exe
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.ppl
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.exe
• %PROGRAM FILES%GrisoftAVG7*.dll
• %PROGRAM FILES%TREND MICROOfficeScan*.dll
• %PROGRAM FILES%Trend MicroOfficeScan Client*.exe
• %PROGRAM FILES%LimeWireLimeWire 4.2.6LimeWire.jar
• %PROGRAM FILES%Morpheus*.dll
• %PROGRAM FILES%CAeTrust EZ ArmoreTrust EZ Antivirus*.*
• %PROGRAM FILES%Common Filessymantec shared*.*
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal*.*
• %PROGRAM FILES%Kaspersky LabKaspersky Anti-Virus Personal Pro*.*
• %PROGRAM FILES%McAfee.comAgent*.*
• %PROGRAM FILES%McAfee.comshared*.*
• %PROGRAM FILES%McAfee.comVSO*.*
• %PROGRAM FILES%NavNT*.*
• %PROGRAM FILES%Norton AntiVirus*.*
• %PROGRAM FILES%Panda SoftwarePanda Antivirus 6.0*.*
• %PROGRAM FILES%Panda SoftwarePanda Antivirus Platinum*.*
• %PROGRAM FILES%SymantecLiveUpdate*.*
• %PROGRAM FILES%Trend MicroInternet Security*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2002*.*
• %PROGRAM FILES%Trend MicroPC-cillin 2003 *.*

Der folgende Registryschlüssel wird hinzugefügt um den Prozess nach einem Neustart des Systems erneut zu starten.

– HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
• ScanRegistry = "scanregw.exe /scan"

Die Werte der folgenden Registryschlüssel werden gelöscht:

– HKLMSoftwareMicrosoftWindowsCurrentVersionRun
• CleanUp
• SECUR
• NPROTECT
• ccApp
• ScriptBlocking
• MCUpdateExe
• VirusScan Online
• MCAgentExe
• VSOCheckTask
• McRegWiz
• MPFExe
• MSKAGENTEXE
• MSKDetectorExe
• McVsRte
• PCClient.exe
• PCCIOMON.exe
• pccguide.exe
• Pop3trap.exe
• PccPfw
• tmproxy
• McAfeeVirusScanService
• NAV Agent
• PCCClient.exe
• SSDPSRV
• rtvscn95
• defwatch
• vptray
• ScanInicio
• APVXDWIN
• KAVPersonal50
• kaspersky
• TM Outbreak Agent
• AVG7_Run
• AVG_CC
• Avgserv9.exe
• AVGW
• AVG7_CC
• AVG7_EMC
• Vet Alert
• VetTray
• OfficeScanNT Monitor
• avast!
• PANDA
• DownloadAccelerator
• BearShare

– HKCUSoftwareMicrosoftWindowsCurrentVersionRun
• CleanUp
• SECUR
• NPROTECT
• ccApp
• ScriptBlocking
• MCUpdateExe
• VirusScan Online
• MCAgentExe
• VSOCheckTask
• McRegWiz
• MPFExe
• MSKAGENTEXE
• MSKDetectorExe
• McVsRte
• PCClient.exe
• PCCIOMON.exe
• pccguide.exe
• Pop3trap.exe
• PccPfw
• tmproxy
• McAfeeVirusScanService
• NAV Agent
• PCCClient.exe
• SSDPSRV
• rtvscn95
• defwatch
• vptray
• ScanInicio
• APVXDWIN
• KAVPersonal50
• kaspersky
• TM Outbreak Agent
• AVG7_Run
• AVG_CC
• Avgserv9.exe
• AVGW
• AVG7_CC
• AVG7_EMC
• Vet Alert
• VetTray
• OfficeScanNT Monitor
• avast!
• PANDA
• DownloadAccelerator
• BearShare

Alle Werte der folgenden Registryschlüssel und alle Subkeys werden gelöscht:
• SoftwareINTELLANDeskVirusProtect6CurrentVersio n
• SOFTWARESymantecInstalledApps
• SOFTWAREKasperskyLabInstalledProductsKaspersky Anti-Virus Personal
• SOFTWAREKasperskyLabComponents101
• SOFTWAREMicrosoftWindowsCurrentVersionApp PathsIface.exe
• SOFTWAREMicrosoftWindowsCurrentVersionUninstal lPanda Antivirus 6.0 Platinum

Folgende Registryschlüssel werden geändert:

Verschiedenste Einstellungen des Explorers:
– HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorerAdvanced
Neuer Wert:
• "WebView"=dword:00000000
• "ShowSuperHidden"=dword:00000000

Verschiedenste Einstellungen des Explorers:
– [HKCUSoftwareMicrosoftWindowsCurrentVersionExp lorer
CabinetState]
Neuer Wert:
• "FullPath" = dword:00000001

So schützen Sie Ihr System
Installieren Sie das neueste Update für Ihren Virenscanner und seien Sie vorsichtig gegenüber E-Mails von unbekannten Absendern – besonders gegenüber E-Mails mit Links oder mit Anhang!