Attention Required
Nachdem die Ransomware „Locky“ (Verschlüsselungs- und Erpressungstrojaner) heute früh bereits Dateien nach „.zzzzz“ umbenannt hat, verschlüsselt er die Dateien mit dieser E-Mail vom Donnerstag, den 24. November 2016 wieder in „.aesir“.
Betreff: Attention Required
Dear (Empfänger), our HR Department told us they haven’t received the receipt you’d promised to send them.
Fines may apply from the third party. We are sending you the details in the attachment.Please check it out when possible.
Die E-Mail kommt mit einem .zip-Archiv als Anlage. Im Dateinamen ist der Empfängername (der Teil vor dem @-Zeichen enthalten) wie z. B. „receipt_(Empfänger).zip“.
Das ZIP-Archiv enthält ein JavaScript z. B. mit dem Namen „7V9M7ELHP0420HK.js“. Dieses lädt von verschiedenen Domains eine Datei nach
- facerecognition.com.ba/tzoc3
- 4006600592.com/rqk0umu
- joelbodhi.com/r94yyaty
- wilson.ro/gghar9s
- orantpamir.net/rtss2coyh
und speichert sie als .dll-Datei (z. B. ZDpv3toE5N.dll) auf dem Computer ab. Es handelt sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Virustotal zeigt eine Erkennungsrate von 26/56.
Der Trojaner verschlüsselt viele Dateien und nennt diese in „.aesir“ um. Danach zeigt er die bekannten Hinweise an:
