Order Confirmation 2303991 Hexstone Ltd

Am Montag, den 12. Dezember 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:

Betreff: Order Confirmation 2303991 Hexstone Ltd

Die E-Mail kommt mit unterschiedlichen Nummern im Betreff und Dateinamen. Diese lautent z. B.

• Ord236103.dzip
• Ord124419997.dzip
• Ord1075988174.dzip

Im ZIP-Archiv ist eine .jse-Datei enthalten. Auch hier ist die Nummer unterschiedlich, beginnt aber mit „Receipt“ oder „Scan“:

• Receipt(327).jse
• Receipt(450).jse
• Scan(623).jse
• Scan(869).jse

Von diversen Domains wird eine Datei nachgeladen:

• www.kroyme.com/874ghv3?nlyJYnQkWaY=uIqfjj
• tvctraffic.com/874ghv3?hycFjlX=oGiPAd
• autorijschoolpedro.nl/874ghv3?hycFjlX=oGiPAd
• omnibusiness-solutions.com/874ghv3?hycFjlX=oGiPAd
• hooli.com.au/874ghv3?yyBOTAsfknP=jRRFgU
• mynamepixs.com/874ghv3?nlyJYnQkWaY=uIqfjj
• www.pspmrsmag.com/874ghv3?MzlUhQeeV=RRXavLjhgw
• megapowercash.com/874ghv3?PooOJU=OIHhccCdod
• tutorarabia.com/874ghv3?KhhKfVpet=kFXOFADlS
• zocaloalminuto.com/874ghv3?qDMfIpIQmbc=WXpdcqEKGla
• dreamtheatre.co/874ghv3?qDMfIpIQmbc=WXpdcqEKGla
• envisorusa.com/874ghv3?qVAILL=SgKgbROPT
• democro.com/874ghv3?yyBOTAsfknP=jRRFgU
• rewoza.smartsme.tv/874ghv3?PooOJU=OIHhccCdod

Die Datei wird als .dll-Datei auf dem System angelegt. Die Dateinamen lauten z. B.

• AiOzztua2.dll
• KbKOXj1.dll
• qYMpJD1.dll

Es handelt sich dabei um die Ransomware „Locky“ (Verschlüsselungs- und Erpressungstrojaner). Klicken Sie daher nicht auf die Anlage und führen Sie diese nicht aus! Virustotal zeigt eine Erkennungsrate von 20/55.

„Locky“ benennt die Dateien bei der Verschlüsselung in *.osiris um. Außerdem nimmt er mit der IP-Adresse 176.121.14.95/checkupdate Kontakt auf. Nach der Verschlüsselung zeigt „Locky“ die typischen Meldungen an:

.*|+|$=.*_|+|*|**

!!! WICHTIGE INFORMATIONEN !!!!

Alle Dateien wurden mit RSA-2048 und AES-128 Ziffern verschlüsselt.
Mehr Informationen über RSA können Sie hier finden:
http://de.wikipedia.org/wiki/RSA-Kryptosystem
http://de.wikipedia.org/wiki/Advanced_Encryption_Standard

Die Entschlüsselung Ihrer Dateien ist nur mit einem privaten Schlüsseul und einem Entschlüsselungsprogramm, welches sich auf unserem Server befindet, möglich.
Um Ihren privaten Schlüssel zu erhalten, folgen Sie einem der folgenden Links:

Sollte keine der Adressen verfügbar sein, folgen Sie den folgenden Schritten:
1. Laden Sie einen Tor Browser herunter und installieren diesen: https://www.torproject.org/download/download-easy.html
2. Starten Sie den Browser nach der erfolgreichen Installation und warten auf die Initialisierung.
3. Tippen Sie in die Adresszeile: g46mbrrzpfszonuk.onion/*********
4. Folgen Sie den Anweisungen auf der Seite.

!!! Ihre persönliche Identifizierungs-ID lautet: ************** !!!
*_.*=
-+|* _*=| _ +
=*=+|$_=-a=-=$

 

Kommentar(e)