60922 (Empfänger)

Am Donnerstag, den 24. November 2016 wurde durch unbekannte Dritte die folgende E-Mail versendet:

20161124_60922_empfaenger

Achtung: Über den Anhang wird die Ransomware „Locky“ (Verschlüsselungs- und Erpressungstrojaner) nachgeladen, der alle Dateien auf dem Computer verschlüsselt und dabei in .zzzzz umbenennt!

Während „Locky“ am häufigsten über englische E-Mails versendet wird kommt er aber auch immer wieder mit diesen so gut wie leeren E-Mails, die nur eine Zahl und den Empfängernamen (den Teil der E-Mail-Adresse, der vor dem @-Zeichen steht) im Betreff enthält. Die Nachricht hat eine hohe Priorität und bringt eine Datei „INFO_(Zahl)_(Empfängername).zip“ mit.24

Das beigefügte ZIP-Archiv enthält eine weitere .zip-Datei mit dem Namen „EURO_23841_ZIP.zip“. Darin enthalten ist ein JavaScript „EURO_23841.js“, welches von der Domain www.asmeraled.top/log.php?f=2.dat eine Datei nachlädt („j62qs5vj8g.OcsNLfUh“). Dabei handelt es sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Virustotal zeigt noch eine Erkennungsrate von 0/54.

Nach der Verschlüsselung werden die für „Locky“ typischen Meldungen angezeigt:

20161124_60922_locky_bmp

20161124_60922_locky_html

Kommentar(e)

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.