Order 38775608 (Acknowledgement)
Am Donnerstag, den 03. November 2016 wurden durch unbekannte Dritte die folgenden E-Mails in englischer Sprache versendet:
Betreff: Order 38775608 (Acknowledgement)
Please find document attached
Die E-Mail kommt mit unterschiedlichen Nummern im Betreff und ganz unterschiedlichen Absendernamen / -adressen. Es ist immer ein .zip-Archiv beigefügt, welches unterschiedliche Dateinamen hat:
- Tz4919511.zip
- Rt12371.zip
- qvQ73142387.zip
- ZExOr4218974.zip
- ru2891567.zip
- Ve0311742.zip
- ObhiWxM42846850.zip
- WXGrE6603249.zip
- mfZzj24349.zip
- FE1721656.zip
- pCbC38775608.zip
Die Archive enthalten eine .vbs-Datei:
- byExo9682-0006.vbs
- iSfcj728-3333.vbs
- xMzCU4574-23107.vbs
- RbgaS4023-28117.vbs
- TWHgEa8387-0932.vbs
- efqHc4628-1138.vbs
- DzvfL8411-12138.vbs
- whGUM1098-3139.vbs
- rCKXIU6354-3563.vbs
- ELWPQN1306-2116.vbs
- nDGQE4261-01116.vbs
Das Script lädt von unterschiedlichen Domains eine Datei:
- casadalocacao.com/i9jnrc
- belusadba.ru/i9jnrc
- almaks-mr.ru/i9jnrc
- carbonfiber.ro/i9jnrc
- awaelschool.com/i9jnrc
- coachatelier.nl/i9jnrc
- christophflueck.ch/i9jnrc
- agorarestaurant.ro/i9jnrc
- dornovametoda.sk/i9jnrc
- bogaziciradyo.com/i9jnrc
- edu-net.ro/i9jnrc
- albakrawe-uae.com/i9jnrc
- chandrphen.com/i9jnrc
Diese Datei wird mit der Endung .44 auf dem System gespeichert. Es handelt sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Virustotal zeigt eine Erkennungsrate von 15/55.
Bei der Verschlüsselung werden viele Dateien in .thor umbenannt. Außerdem wird ein Hinweis auf die Verschlüsselung sowohl als Internetseite wie auch als Bild geöffnet:
Die Erpressung sieht dann wie folgt aus:
