Account report, payment copy und Equipment receipts

Am Mittwoch, den 14. September 2016 wurden durch unbekannte Dritte diverse E-Mails in englischer Sprache versendet, die den Verschlüsselungs- und Erpressungstrojaner „Locky“ mitbringen. Klicken Sie daher nicht auf die Anlagen und öffnen Sie diese nicht!

 

Account report von Freeman Butler ([email protected])

20160914_account_report

Dear (Benutzer), we have detected the cash over and short in your account.

Please see the attached copy of the report.
Best regards,
Freeman Butler
e-Bank Manager

Dateianlage:

  • 3ebcd768203.zip

darin enthalten:

  • Account report 2A99A900.wsf
  • Account report 2A99A900 (copy).wsf

lädt nach:

  • ecadxyst.net/c47vp
  • citmowra.in/103k7o

Speichert auf dem PC als:

aZzKTbkZs.dll

Erkennung durch Virustotal: 23/57

 

 

payment copy von Boyd de carteret ([email protected]) oder Rebecca shipton ([email protected])

20160914_payment_copy

Best Regards,

_________

Boyd de carteret

Dateianlage:

  • PID0037173.zip
  • PID501177998346.zip

darin enthalten:

  • O1QUB2637.wsf
  • HN7A1830.wsf

lädt nach:

  • feechka.ru/wdxwxoa?bCJoGw=aibuIwEBsb
  • limret.com/nlkeycd?bCJoGw=aibuIwEBsb
  • daseolchi.com/adiwwcn?ErFqyDIaVAo=qAuldd
  • yourmdb.com/gdysrxv?bCJoGw=aibuIwEBsb
  • gotous.com/ugvprfv?ErFqyDIaVAo=qAuldd
  • limret.com/nlkeycd?ErFqyDIaVAo=qAuldd

Speichert auf dem PC als:

  • GKdHxJOF1.dll
  • GKdHxJOF3.dll
  • iiVdqI2.dll
  • iiVdqI3.dll

Erkennung durch Virustotal: 32/56

 

 

 

Equipment receipts von Maxine Ford ([email protected])

20160913_equipment_receipts

Good day (Benutzer), Lynn asked you to file the office equipment receipts.
Here is the photocopying equipment receipts purchased last week.

Please send him the complete file as soon as you finish.
Best regards,
Maxine Ford

Dateianlage:

  • 4a7efa1a97.zip

darin enthalten:

  • Equipment receipts D59E5F (copy).wsf
  • Equipment receipts D59E5F.wsf

lädt nach:

  • latexuchee.net/c4i03t

Speichert auf dem PC als:

  • Ruq6WWinT7.dll

Erkennung durch Virustotal: 31/57

 

Nach der Verschlüsselung werden die typischen Meldungen als Internetseite (.html) und Bild (.bmp) angezeigt:

20160914_locky_html

20160914_locky_bmp

 

Die Erpressung in der verlinkten Seite fordert 2 BitCoin:

20160914_locky_tor

Kommentar(e)

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.