FW: Order Status #823324

Am Montag, den 21. März 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:

Dear (Empfänger),

We would like to thank you for your recent order.

Order Status updated on: 21/03/2016
Your Customer ID: 823324
Your Order ID: 17E9680125-M-2016
Invoice Number: 6497548

Delivery Note:
We received your order and payment on 17/03/2016

Your order details are attached.

Best regards,
Loraine Payne
Chief Executive Officer

 

Die Nummer im Betreff sowie die Nummern im Text der E-Mail sind unterschiedlich. Auch der Absendername ändert sich. Diese lauten z. B.

• Ava Shepherd
• Bobbi Hardy
• Claudia Leach
• Darren Wright
• Filiberto Parks
• Greta Kirk
• Helene Cooley
• Irvin Allen
• Jody Hanson
• Jordon Riley
• Karl Haley
• Kate Fox
• Kristy Horton
• Lilian Jimenez
• Loraine Payne
• Mari Gould
• Mark Pearson
• Matt Summers
• Porter Mueller
• Richard Holder
• Shawna Dorsey
• Shely Rocha
• Trisha Bryant
• Tuan Wright

 

Der E-Mail ist eine .zip – Datei beigefügt. Diese lautet z. B.

• details-order_588446.zip
• order_details_905845.zip
• status_order_790252.zip
• thank_you_order_460484.zip

 

In der .zip – Datei sind zwei unterschiedliche Dateitypen enthalten. Einige Dateien haben folgenden Dateinamen:

• bootmgr
• bootmgr_1
• bootmgr_2
• bootmgr_3

Die anderen Dateien haben die Endung .js:

• confirmation_43330.js
• inv_1d49a388.js
• inv_627027f.js
• mail_8e157f44.js
• scanned_doc_e25db99.js
• urgent_0ac28.js
• wire_8b4aa.js

 

Das JavaScript lädt von unterschiedlichen Domains den Verschlüsselungs- und Erpressungstrojaner „Locky“ nach. Für die .zip – Datei zeigt Virustotal eine Erkennungsrate von 8/57. Für die .js – Datei zeigt Virustotal eine Erkennungsrate von 4/57 und für die nachgeladene .exe – Datei zeigt Virustotal eine Erkennungsrate von gerade mal 2/56, wobei darin noch keine Hinweise auf „Locky“ zu finden sind.

 

Nach der Verschlüsselung der Dateien zeigt Locky seine typische Meldung, allerdings am Anfang und am Ende um Sonderzeichen ergänzt:

=|=|~+
_$+=-|~–=+-|.~_
|$~~+|*|.~~+.=
~|$+.=+-..
!!! WICHTIGE INFORMATIONEN !!!!

Alle Dateien wurden mit RSA-2048 und AES-128 Ziffern verschlüsselt.
Mehr Informationen über RSA können Sie hier finden:
http://de.wikipedia.org/wiki/RSA-Kryptosystem
http://de.wikipedia.org/wiki/Advanced_Encryption_Standard

Die Entschlüsselung Ihrer Dateien ist nur mit einem privaten Schlüsseul und einem Entschlüsselungsprogramm,
welches sich auf unserem Server befindet, möglich.
Um Ihren privaten Schlüssel zu erhalten, folgen Sie einem der folgenden Links:
1. http://32kl2rwsjvqjeui7.tor2web.org/***
2. http://32kl2rwsjvqjeui7.onion.to/***
3. http://32kl2rwsjvqjeui7.onion.cab/***

Sollte keine der Adressen verfügbar sein, folgen Sie den folgenden Schritten:
1. Laden Sie einen Tor Browser herunter und installieren diesen: https://www.torproject.org/download/download-easy.html
2. Starten Sie den Browser nach der erfolgreichen Installation und warten auf die Initialisierung.
3. Tippen Sie in die Adresszeile: 32kl2rwsjvqjeui7.onion/***
4. Folgen Sie den Anweisungen auf der Seite.

!!! Ihre persönliche Identifizierungs-ID lautet: *** !!!
~$|~~.-*~._+_
$+$|$–=~=+|~
-*==-*+.~$-

 

Die verlinkte Internetseite sieht wie folgt aus:

 

Das Bundesamt für Sicherheit in der Informationstechnik bietet eine Broschüre „Ransomware: Bedrohungslage, Prävention & Reaktion“ zum Download an.

Kommentar(e)