Wrong tracking number
Am Montag, den 31. Oktober 2016 (Halloween) wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:
Betreff: Wrong tracking number
It looks like the delivery company gave us the wrong tracking number.
Please contact them as soon as possible and ask them regarding the shipment number 302856 information attached.
Die englische E-Mail kommt mit unterschiedlichen Nummern. Sie bringt eine Datei wie z. B. „tracking_number_21cc1d495.zip“ oder „tracking_number_0e7f03c9.zip“ mit, die eine .vbs-Datei enthält (z. B. „tracking number 45913CF0 PDF.vbs“ oder „tracking number D36F3B PDF.vbs“).
Diese Dateien würden von unterschiedlichen Domains eine Datei nachladen wie z. B.
- wayneboyce.com/u5ahu
- eijsvogel.nl/gpbka1n2
- elgrandia.com.mx/ginlp2f
- waynesinew.com/67egbs
Die nachgeladene Datei wird als .dll-Datei auf dem Computer gespeichert und ausgeführt (z. B. „4hkxEG2ZEZkE0.dll“). Es handelt sich dabei um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Virustotal zeigt eine Erkennungsrate von 37/56.
Der Trojaner versucht auch noch mit der IP-Adresse 95.163.107.41/linuxsucks.php Daten auszutauschen. Während der Verschlüsselung werden viele Dateien in .thor umbekannt. Nach der Verschlüsselung erscheinen die typischen Hinweise:
