Trojan in "Privato12"

[Wip3out]

Attenzione

E' tutto il giorno che seguo questa mail sui NG e su altri forum.
Si diffonde con questo testo in italiano

ciao,


mi hann o trasmesso questo documento che

contiene alcune informazioni su di te.

ho preferito proteggerl o con password visto quel che c'è scritto.


la password per aprire lo zip è "privato12",
quando hai unzippato troverai un altro file Office cryptato.

aprilo con un doppio click

In allegato c'è un file ZIP criptato con password (e quindi gli AV non riconosceranno il virus all'interno). Dentro c'è un file che sembra un DOC ma è un EXE. Se viene installato il trojan comincia ad inviare mail tramite smtp sulla porta 25. Da una prima analisi fatta da un altro utente sembra prendere gli indirizzi da Outlook. Non si serve di Outlook per inviare le mail ma non usa un suo server smtp. Iniva direttamente alla porta, quindi qualche AV si farà fregare. Norton per esempio visto che si intromette nel traffico vi segnalerà i messaggi in uscita tramite l'iconcina in basso. Prende l'indirizzo dei server smtp da Outlook ma non riesce a prendere anche le user e pass in caso di server con accesso tramite le stesse.


Attualmente viene riconosciuto da pochi AV. Questa è l'attuale situazione da VirusTotal



State attenti.

[andorra24]

Stamattina c'era un utente che si lamentava di aver ricevuto questa email:
http://www.hwupgrade.it/forum/showthread.php?t=1138095

[Wip3out]

Infatti mi sembrava di ricordare di aver letto qualcosa anche qui su HW...