Mutierte Trojaner-Mail: Anhang ist ein PDF

Die aktuelle Trojanerwelle trägt immer interessantere Früchte. Neu im Sortiment: der Anhang ist eine PDF anstatt des üblichen .ZIP Archives.

Sind dieser kleinen Mutation: eine PDF soll den Empfänger ein sicheres Gefühl geben.

PDF = Virenfrei?

Ein PDF Dokument gilt weitläufig als virenfrei und somit vertrauenswürdig. Genau diese Annahme wird hier ausgenutzt. Das gesamte PDF sieht in etwa so aus wie das folgende Bild, kann jedoch variieren.

Teilweise befindet sich ein “ebay” Logo in dem Dokument, manchmal auch an dieser Stelle ein DHL-Logo oder eben gar kein Logo. Auch die jeweiligen Überschriften der Mails können leicht unterschiedlich sein, sind jedoch tendenziell inhaltlich gleich.

Postsendung zu Ihrer Bestellung 14472227084
Ankündigung – Sendung 43716375737

Dieses PDF, welches sich nun im Anhang befindet, ist grundsätzlich frei von Malware, das muss man deutlich sagen. Hier wird lediglich der Vertrauensvorschuss auf die Scheinsicherheit ausgenutzt. Nach dem öffnen der Datei bietet sich das klassische Bild des DHL-Trojaners:

Der Adobe Reader hat die Datei ordnungsgemäß geöffnet und man findet einen alten Bekannten als Inhalt wieder:

Sehr geehrte Kunden,
wir berichten über die Sendung 003994756218. Diese Sendung wurde erfolgreich an DHL übergeben. Auslieferung ist voraussichtlich am Donnerstag, den 07.05., etwa zwischen 15:00 und 20:30 Uhr.
Aktueller Status zu Ihrer DHL-Sendung steht hier zur Verfügung.
Viele Grüße Ihre DHL

Hier steckt nun der Trick

Der Link zur Malware ist nicht, so wie sonst üblich, in der Mail geschrieben, sondern in einem Dokument, welches als vertrauensvoll eingestuft wird, verpackt. Die erschwert es einem Spamfilter ungemein, diese Mail als Spam aufgrund eines dubiosen Links zu identifizieren.

Glücklicherweise warnt der Adobe Reader:

Der Reader weist deutlich darauf hin, dass man hier auf einen Ort in Netz wechselt. Bitte auch an dieser Stelle die Einstellungen beachten, da man mit dem Setzen eines Hakens eine Dauereinstellung wählt.

In diesem Fall führt der Link direkt auf eine Datei, welche sich lädt.

Bei dieser Datei handelt es sich nun um die .zip Datei mit schadhaftem Inhalt. Bitte nicht öffnen und erst recht nicht den Dateiinhalt ausführen!

In die Falle getappt?

1) Wer den Dateianhang öffnet bzw. geöffnet hat und den Inhalt auch ausgeführt hat (das ist der kritische Punkt!) , sollte als erstes einmal den PC von seinem Virenscanner untersuchen lassen.

2) Ändere alle Passwörter zu sozialen Netzwerken, Onlineshops usw.

Bitte auch vorsichtshalber Bank oder Kreditkarteninstitut benachrichtigen.

Dein Mail-Account versendet selber diese Mails?

Solltest Du Unmengen an Fehlermeldungen bekommen, dass Deine E-Mails nicht beim Empfänger angekommen sind (und das im Minutentakt), dann ist Dein Rechner infiziert und in einem Botnet aktiv. Auch hier umgehend den PC prüfen und gegebenenfalls einen Experten vor Ort zu Rate ziehen.