Bank Wire Transfer Confirmation Slip von Ag-Pro Companies ([email protected]) bringt eine bösartige Software!
Am Montag, den 18. Dezember 2017 wurde durch unbekannte Dritte die folgende betrügerische E-Mail in englischer Sprache versendet. Öffnen Sie nicht die Anlage! Das Word-Dokument enthält ein Makro, welches eine bösartige Software nachlädt!
Betreff: Bank Wire Transfer Confirmation Slip
Absender: Ag-Pro Companies ([email protected])Hello There,
With regards to the proforma invoice sent to me with your bank details, kindly find attached copy of the transfer slip we made on 12/12/2017 via bank transfer.
Please email me a copy of the Bill of Ladin after ship out….Look forward to doing more business with you.
Thanks
TIM GIBBS | SALES
Ag-Pro Companies
205-466-7163 W | 205-456-1200 C
87221 HWY 278
P.O. Box 548
Snead , AL 35952 | USA | AgProCo.comAg-Pro „Strong on Service“
Achtung: Es handelt sich um eine gefälschte Nachricht! Die Nachricht stammt nicht von der genannten Firma! Öffnen Sie daher nicht das Word-Dokument! In der Anlage ist eine bösartige Software enthalten!
Die E-Mail bringt eine Datei „bank transfer receipt.doc“ mit.
Das Word-Dokument würde so aussehen:
Angeblich ist der Inhalt zu klein dargestellt (man kann ein Formular von Western Union erahnen). Das Makro lädt aber nicht eine größere Version, sondern eine bösartige Software! Öffnen Sie daher nicht die Word-Datei und führen Sie das Makro nicht aus!
Von der Adresse ivolat.com/again/naso/decree.exe würde eine ausführbare Datei geladen. Laut Virustotal liegt die Erkennungsrate bei 19/66!
Diese Datei wird z. B. in das Roaming-Verzeichnis gelegt und per Registry bei jedem PC-Start ausgeführt:
Schlüsselname: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Name: ptk
Daten: C:\Users\user\AppData\Roaming\ptk\ptk.exe
Auf dem System wird auch eine zweite ausführbare Datei angelegt („RND.exe“). Für diese Datei beträgt die Erkennungsrate 43/68!
