Paket angekommen! von DHL Paket!
Am Montag, den 22. Februar 2016 wurde durch unbekannte Dritte die folgende E-Mail in deutscher Sprache versendet:
Guten Tag,
Ihr Paket id60763759 ist empfangsbereit.
Diese e-mail ist eine Mitteilung für die Ankunft.
Lieferung durch den Absender gezahlt.
Die Hohe der Versicherungspaket € 1.340.Um das Sendung zu bekommen , bitte drucken Sie das angehangte Dokument und prasentieren Sie in einem Lagerhaus.
===
Herzliche Grüße
Ihr DHL Team
Der E-Mail ist ein .zip-Archiv beigefügt, welches eine .js-Datei (JavaScript) enthält. Von einer .asia-Domain wird die Datei 5.exe geladen und als qj74an8l.scr auf dem PC abgelegt bzw. dort zur Ausführung gebracht. Laut Virustotal liegt die Erkennungsrate per 22.02.2016 erst bei 9/55.
Nach der Infektion des Computers wird von einer weiteren .asia-Domain die Datei „certutil.exe“ nachgeladen. Diese Datei ist Virustotal zwar bereits seit 2012 bekannt, die Datei wird aber nicht als Virus erkannt (Erkennungsrate 0/55).
Bei den nachgeladenen Dateien handelt es sich um das gleiche Trojanischen Pferd wie in der Telekom-Rechnung vom 23.02.2016. Die Betrugsmasche im Online-Banking ist daher ebenfalls identisch (siehe „Ihre Telekom Festnetz-Rechnung Jan 2016 der Telekom Deutschland GmbH„).