A/C 000008897 – Overdue Invoice
Am Freitag, den 25. November 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet. Achtung: Der Anhang lädt den Verschlüsselungs- und Erpressungstrojaner „Locky“ nach, der alle Dateien verschlüsselt und dabei in .zzzzz umbenennt!
Betreff: A/C 000008897 – Overdue Invoice
Absender: BOUCHER, JESSIE ([email protected])Good Morning,
Please see attached invoice
The balance of ¡384.11 is overdue for payment, please can you confirm a payment date?
Kind Regards,
JESSIE Wood on behalf of Gail Russell
Credit Services
Macmillan Distribution MDL
Direct Line 0044 1256 302661
Direct Fax 0044 1256 363223
[email protected]
www.macmillandistribution.co.uk
Die englische E-Mail bringt ein ZIP-Archiv „Documents Requested.zip“ mit. Darin enthalten ist ein .vbs-Script („VCurLHC2249.vbs“). Dieses Script lädt von der Domain square100.com/8yneev eine Datei nach und speichert diese mit der Endung .55 und .552 auf dem Rechner:
- KdHiXioeQ.55
- KdHiXioeQ.552
Es handelt sich dabei um die Ransomware „Locky“, die alle Dateien verschlüsselt und anschließend in .zzzzz umbenennt. Virustotal zeigt eine Erkennungsrate von 23/56.
Nach der Verschlüsselung werden die Dateien „-INSTRUCTION.html“ und „-INSTRUCTION.bmp“ geöffnet, die „Locky“ zuvor auf dem Desktop anlegt:
Im TOR-Browser würde die genannte Adresse folgende Forderung anzeigen:
