Trojaner kommt als Zollanweisung

Nach Angaben von Avira lautet die Betreffzeile der Spam-Mails: “Parcel requires declaration”. Im Text der Mail selbst soll der Empfänger davon überzeugt werden, das angehängte vermeintliche Zollformular auszufüllen.

Der Text lautet:
“Good day, We have received a parcel for you, sent from France on July 9. Please fill out the customs declaration attached to this message and send it to us by mail or fax. The address and the fax number are at the bottom of the declaration form.
Kind regards,
Lucinda Addison
Your Customs Service”

Der Dateianhang der E-Mail trägt laut Avira den Namen Bill-Tax.zip. Das Archiv enthält die Datei Bill_TaxN89798742344.exe. Windows zeigt bei der Datei das Symbol eines Word-Dokuments an und bietet so eine Tarnung. Der Trojaner ist bei den Experten bekannt. Sie gaben ihm die Bezeichnung Tr/Spy.ZBot.dkx. Er legt bei der Ausführung eine Kopie von sich selbst im Windows-Verzeichnis unter dem Namen ntos.exe ab. Er versteckt sich nach dem Systemstart mit Rootkit-Funktionen, indem er Code in die Windows-Systemdatei winlogon.exe injiziert.

Auch verbindet er sich zu einem Server im Web und “lauscht auf eingehende Pakete”, teilte Avira mit. Der Trojaner spioniert den Anwender aber auch aus und lädt weitere Komponenten nach.