Order #8377095
Am Donnerstag, den 08. Dezember 2016 wurde durch unbekannte Dritte die folgende E-Mail in englischer Sprache versendet:
Betreff: Order #8377095
Hello (Empfänger), your order #8377095 for $63395663020883924971526033313959986602320888714777242903696389043392345473435266047073149765543032555267049242545303636063604319880829073113379710388349725670608948064266307661428851804182713440247653273170456502841683047863646914657832688181441425101970718431120315868727530647255984277386167005436605473490129155032596902383588501636591575254439249589895675205227765933363393118836415075770016573296806151556233399192832297864469539931721204686072890498085670706331772613826243374372282256186170545195472174128178680837037819550158495201817069302821754915926689784818668033097629470257108988937871924575733562516419510095054368585989898629953761077166439756799617102296028248034982330850452279872404671326 is delivered the destination.
Sending you the receipt. Please pay it prior to next week.The receipt is in the attachment.
—–
Best Wishes,
Rupert Webster
Delivery Manager
Die E-Mail behauptet, eine Bestellung über einen enorm großen Betrag sei versendet worden und man hätte eine Woche, um die Ware zu bezahlen.
In der Anlage „order-8377095.zip“ ist aber ein JavaScript „~4VL3RH3ZJ2XE1535F23AIE88.js“ enthalten, welches von diversen Domains eine Datei nachlädt:
- file4hosti.info/rwydy
- travicoperu.com/xyis4o7
- travelcompru.com/vuj6bs
- umanware.it/3zp7d
- unusualfinds.com/4gqrbb7d4t
Die Datei wird mit einem neuen Namen und der Endung „.zk“ auf dem Computer abgespeichert (z. B. eNW9fRRvf.zk). Es handelt sich dabei um die Ransomware „Locky“ (Verschlüsselungs- und Erpressungstrojaner), der das System verschlüsselt und viele Dateiformate in .osiris umbenennt. Virustotal zeigt eine Erkennungsrate von 17/56. Klicken Sie daher nicht auf die Anlage und führen Sie nicht das JavaScript aus!
Am Ende nimmt die Ransomware noch mit der IP-Adresse 185.46.11.236/checkupdate Kontakt auf. Außerdem werden die typischen Hinweise als Bild und Internetseite geöffnet:
4