Please note
Am Mittwoch, den 23. November 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:
Betreff: Please note
Dear (Empfänger)
Your tax bill debt due date is today. Please fulfill the debt.
All the information and payment instructions can be found in the attached document.
Best Wishes,
Curtis Nielsen
Tax Collector
Te.: (517) 193-53-30
Die E-Mail kommt mit einem .zip-Archiv als Anlage. Im Dateinamen ist der Empfängername (der Teil vor dem @-Zeichen enthalten) wie z. B. „tax_(Empfänger).zip“.
Das ZIP-Archiv enthält ein JavaScript z. B. mit dem Namen „I1MK5NP59R9FQ81DU.js“. Dieses lädt von verschiedenen Domains eine Datei nach
- furious.pl/9dhiz9vo6
- outercerci.net/fx5q7
- gnnet.co.kr/9mnpz
- puntiporch.net/r9ugx
- enalab.com/chrnqnlu5
und speichert sie als .dll-Datei (z. B. vKBcBbY1owFUr.dll) auf dem Computer ab. Es handelt sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Virustotal zeigt eine Erkennungsrate von 35/56.