Status of invoice A2176506-69 von Angelina Figgins ([email protected]) bringt Locky Ransomware!
Am Mittwoch, den 20. September 2017 wurde durch unbekannte Dritte die folgende betrügerische E-Mail in englischer Sprache versendet. Achtung: Die .rar-Datei enthält eine .vbs-Datei, welche die Ransomware „Locky“ (Verschlüsselungs- und Epressungstrojaner) ausführen würde! Klicken Sie deswegen nicht auf den Link!
Betreff: Status of invoice A2176506-69
Absender: Angelina Figgins ([email protected])Hello,
Could you please let me know the status of the attached invoice? I appreciate your help!
Best regards,
Angelina Figgins
Tel: 206-575-8068 x 100
Fax: 206-575-8094
*NEW* [email protected]
Achtung: Es handelt sich um eine betrügerische E-Mail! Die E-Mail stammt nicht von den genannten Absendern! Klicken Sie nicht auf den Link!
Die E-Mails bringen ein .rar – Archiv mit. Dieses kann unterschiedliche Namen haben:
A2173147-72.rar
A2176506-69.rar
Darin enthalten ist eine .vbs-Datei, ebenfalls mit unterschiedlichen Namen:
20080920_441014.vbs
20080920_627189.vbs
Das Script würde etwa so beginnen:
Von den Adressen wie
- digiviews.co.uk/RSkfsNR7?
- 68.171.49.151/RSkfsNR7?
würde das Script eine ausführbare Datei nachladen. Diese bekommt ebenfalls unterschiedliche Dateinamen:
LzxKfK.exe
oydVPz.exe
Laut Virustotal liegt die Erkennungsrate für die ausführbaren Dateien bei 24/64! Hierbei handelt es sich um den Verschlüsselungs- und Erpressungstrojaner „Locky“. Öffnen Sie daher nicht das JavaScript!
Die aktuelle „Locky“-Version benennt seit heute alle Dateien in *.ykcol um:
4A56HXPB-8NM0-5FUW-03536D1A-4484335CFC9E.ykcol
4A56HXPB-8NM0-5FUW-0D6E55CF-0AB46D3F45A3.ykcol
4A56HXPB-8NM0-5FUW-2713587E-C0DCEAC59C64.ykcol
4A56HXPB-8NM0-5FUW-399BCB0A-64F168054149.ykcol
4A56HXPB-8NM0-5FUW-447264C9-11BD6A29BDC9.ykcol
4A56HXPB-8NM0-5FUW-49D9C6CD-B6F7B0038393.ykcol
4A56HXPB-8NM0-5FUW-627E8AC0-52556B26E7D0.ykcol
4A56HXPB-8NM0-5FUW-738C69E4-66B416DC3234.ykcol
4A56HXPB-8NM0-5FUW-9279DA01-DEE9A70642C9.ykcol
4A56HXPB-8NM0-5FUW-93F3DB2C-F827D01A783A.ykcol
4A56HXPB-8NM0-5FUW-977866A1-3AFD8C6660B2.ykcol
4A56HXPB-8NM0-5FUW-D294F879-F62CF7530CDF.ykcol
4A56HXPB-8NM0-5FUW-E868DBB1-0F99ED6274AE.ykcol
Daneben produziert „Locky“ zwei Dateien, die auf die Verschlüsselung hinweisen:
ykcol.bmp
ykcol.htm
Nach Ende der Verschlüsselung werden beide Dateien automatisch geöffnet:
=$|$=-=.
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More information about RSA and AES can be found here:
http://en.wikipedia.org/wiki/RSA_(cryptosystem)
http://en.wikipedia.org/wiki/Advanced_Encryption_StandardDecrypting of your files is only possible with the private key and decrypt program, which is on our secret server.
To receive your private key follow one of the links:If all of this addresses are not available, follow these steps:
1. Download and install Tor Browser: https://www.torproject.org/download/download-easy.html
2. After a successsful installation, run the browser and wait for initialization.
3. Type in the address bar: g46mbrrzpfszonuk.onion/*****
4. Follow the instructions on the site.!!! Your personal identification ID: ******* !!!
#__ -*+
.–=-*-$|—_-
Außerdem tauscht „Locky“ den Bildschirmhintergrund gegen die ykcol.bmp – Datei aus:
Die verlinkte Internetseite zeigt im TOR-Browser folgende Erpressung:
