Fax transmission: -5438758667-4219531604-2016032184112-44406.tiff von FX Service
Am Montag, den 21. März 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:
Please find attached to this email a facsimile transmission we
have just received on your behalf(Do not reply to this email as any reply will not be read by
a real person)
Die E-Mail kommt angeblich von der eigenen Domain. Sie enthält angeblich ein Telefax, dessen Nummer sich unterscheidet. Die Anlage soll laut Betreff ein TIFF sein, lautet aber wie folgt:
- F-0466901301-2294129952-2016032161882-18966.zip
- F-5438758667-4219531604-2016032184112-44406.zip
- F-3962995624-0222260620-2016032134448-19688.zip
- F-0913929004-5672758548-2016032150251-14532.zip
- F-8824774728-4743220012-2016032205473-14131.zip
- F-9313276766-5492436118-2016032107963-28045.zip
In den .zip – Archiven sind JavaScript (.js) enthalten:
- UAO4331925407.js
- XFZ2228102903.js
Das JavaScript lädt von verschiedenen Domains aus dem Verzeichnis /wp-content/plugins/hello123/89h766b.exe, teilweise aber auch direkt aus dem Root-Verzeichnis /89h766b.exe den Verschlüsselungs- und Erpressungstrojaner Locky nach.