Storm på vej tilbage i gear
Efter en uge i et meget lavt gear tyder alt på, at Storm gruppen netop nu er ved at skrue op for offensiven.
De første indikationer tyder på, at deres tema fortsat er relateret til NFL (amerikansk fodbold), men at de denne gang vil anvende domænenavne istedet for flade IP adresser i deres forsøg på at få modtagere af spammails til at klikke på det inkluderede link.
Vi har set et stort antal domæner, som er blevet oprettet i dag (torsdag den 13.9.2007) under estdomains med navne som f.eks. freeNFLtracker.com.
Vi kan se af de første bølger at indholdet vil være nogenlunde nedenstående:
Get me into the game!
Know every player and every stat, with this years Real-time NFL Tracker.
http://free[mellemrumindlagt af CSIS]NFLtracker.com/
Hvis modtageren vælger at klikke på ovenstående link vil man sendes til en falsk NFL baseret webside, hvor alle aktive links peger på den skadelige Storm kode.
Vi anbefaler, at man allerede nu begynder at filtrere på dette indhold.
Domænet freeNFLtracker.com anvender forøvrigt fast flux DNS og eftersom den er hostet hos Estdomains (hvor navne serverne også er fast flux) bliver det meget vanskeligt at suspendere domænet. Ved fast flux er det karakteristisk at et lookup giver en ny IP adresse. Og det er præcis hvad der sker her.
Andre domæner man bør holde et vågent øje med omfatter nflgametracker.com og nflgamestracker.com.
Den seneste Storm kode opnår følgende antivirus detektion:
Antivirus Version Last Update Result
AhnLab-V3 2007.9.13.0 2007.09.12 -
AntiVir 7.6.0.10 2007.09.13 Worm/Storm.tcq
Authentium 4.93.8 2007.09.13 -
Avast 4.7.1043.0 2007.09.13 -
AVG 7.5.0.485 2007.09.13 -
BitDefender 7.2 2007.09.13 Trojan.Peed.IJA
CAT-QuickHeal 9.00 2007.09.13 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.09.13 -
DrWeb 4.33 2007.09.13 Trojan.Packed.142
eSafe 7.0.15.0 2007.09.13 Suspicious Trojan/Worm
eTrust-Vet 31.1.5134 2007.09.13 Win32/Sintun.AF
Ewido 4.0 2007.09.13 -
FileAdvisor 1 2007.09.13 -
Fortinet 3.11.0.0 2007.09.13 -
F-Prot 4.3.2.48 2007.09.13 -
F-Secure 6.70.13030.0 2007.09.13 Tibs.gen134
Ikarus T3.1.1.12 2007.09.13 -
Kaspersky 4.0.2.24 2007.09.13 Packed.Win32.Tibs.bv
McAfee 5119 2007.09.13 Tibs-Packed
Microsoft 1.2803 2007.09.13 TrojanDropper:Win32/Nuwar.gen!lds
NOD32v2 2529 2007.09.13 -
Norman 5.80.02 2007.09.13 Tibs.gen134
Panda 9.0.0.4 2007.09.13 -
Prevx1 V2 2007.09.13 -
Rising 19.40.32.00 2007.09.13 -
Sophos 4.21.0 2007.09.13 Mal/Dorf-D
Sunbelt 2.2.907.0 2007.09.13 VIPRE.Suspicious
Symantec 10 2007.09.13 Trojan.Packed.13
TheHacker 6.1.10.186 2007.09.13 -
VBA32 3.12.2.4 2007.09.13 -
VirusBuster 4.3.26:9 2007.09.13 -
Webwasher-Gateway 6.0.1 2007.09.13 Worm.Storm.tcq
der hører et billede til som kan ses på følgende adresse:
kilde:
http://csis.dk/dk/nyheder/nyheder.asp?tekstID=629