Die Nurech-Familie ist die Aktivste der letzten Wochen und Monate. Mit E-Mails, die angeblich von IKEA, dem BKA, der GEZ, von Amazon, Ebay oder TMS-Logistik stammen hat er es immer wieder in die Schlagzeilen geschafft.

Seit einigen Stunden läuft die neueste Welle, die einen sehr einfachen Trick versucht. Die E-Mails enthalten als Absender einen – meist englischen – Vornamen. Der Dateianhang ist eine 8.516 Bytes große ZIP Datei (MD5: D41D8CD98F00B204E9800998ECF8427E), deren Name aus 5 Ziffern besteht. Die darin enthaltene Datei heißt “Vertrag.doc.exe” (MD5: CA0B6A262396CC85869455150F8EF94F) und hat – anders als die Dateiendung .DOC vermuten lässt – ein PDF-Logo.

Der Text der Nachricht lautet lapidar:

> Hiermit erhalten Sie die angeforderten Unterlagen

> mfG

Solche einfachen Tricks sind aber oft besonders erfolgreich. Halten Sie also Ihre Finger und die Maus in Zaum. Wer die Datei ausführt aktiviert einen Trojan-Downloader, der von verschiedenen Seiten im Internet weitere Malware nachlädt, die ein Rootkit installiert und den Rechner in ein Botnetz integriert.

G DATA erkennt die Schädlinge als Trojan-Downloader.Win32.Nurech.bk.