a picture for you, a photos for you oder Bill for papers 13-12-2016
Am Dienstag, den 13. Dezember 2016 wurden durch unbekannte Dritte die folgenden E-Mails in englischer Sprache versendet:
Betreff: a photos for you
scanned
Betreff: a picture for you
resized
Betreff: Bill for papers 13-12-2016
Achtung: Es handelt sich um betrügerische E-Mails! Diese laden die Ransomware „Locky“ nach, die das Computersystem verschlüsselt und Lösegeld fordert. Klicken Sie daher nicht auf die Anlagen und führen Sie die darin enthaltenen Dateien nicht aus!
Bei allen Anlagen handelt es sich um ZIP-Archive. Während die .zip-Dateien
- 2016-12-7105.zip
- 2016-12-69367.zip
eine .jse-Datei enthalten:
- 2016-12-50333.jse
- 2016-12-84127.jse
bringt die „Bill.zip“ eine .wsf-Datei mit:
- 790-ICPE0445.wsf
- 804-OJWG0026.wsf
In allen Fällen wird von unterschiedlichen Domains eine Datei nachgeladen:
- winawoof.com/knby545?pCxyKc=XFmGFsGxbw
- rktest.net/knby545?pCxyKc=XFmGFsGxbw
- prototypingjob.com/jht76gh?cNRRDcjj=aaYrvknR
- remontim.pl/jht76gh?zAbHaY=NxmCfJMgXP
Die Datei wird als .dll-Datei auf dem Computer abgespeichert. Es handelt sich dabei um „Locky“ (Verschlüsselungs- und Erpressungstrojaner), der alle Dateien verschlüsselt und in .osiris umbenennt. Während Virustotal z. B. für die glWAxkauz1.dll aus den angeblichen Fotos eine Erkennungsrate von 10/54 zeigt, liegt die Erkennungsrate aus der Rechnung (Bill.zip) bereits bei 29/56.
Nach der Verschlüsselung werden die typischen Hinweise als Bild (.bmp) und als Internetseite (.htm) angezeigt:
