Have a wonderful Christmas and a joyous New Year! von Schindler Christian ([email protected]) oder Great Holidays! von Dieter Baral ([email protected]) oder All the best in Coming Year! von Hermann Bauer GmbH ([email protected]) bringen das Trojanische Pferd ‚Emotet‘!
Am Mittwoch, den 27. Dezember 2017 wurden durch unbekannte Dritte die folgenden betrügerischen E-Mails mit angeblichen Weihnachts- und Neujahrsgrüßen in englischer Sprache versendet. Achtung: Die E-Mail stammt nicht von den Absendern! Klicken Sie nicht auf den Link und öffnen Sie nicht das Word-Dokument! Ein Makro im Word-Dokument lädt das Trojanische Pferd (‚Emotet‘) nach, welches den PC infiziert!
Betreff: Have a wonderful Christmas and a joyous New Year!
Absender: Schindler Christian ([email protected])Wishing you a season of joy and looking forward to continued success in 2018.
Here is your eGift Card:
http://ardenplumbing.com/Christmas-card/Sincerely Yours,
Schindler Christian
Achtung: Es handelt sich um eine betrügerische E-Mail! Klicken Sie nicht auf den Link! Die Nachricht stammt nicht von dem Absender.
Hier zwei weitere Beispiele:
Betreff: Great Holidays!
Absender: Dieter Baral ([email protected])Wishing you a Christmas, filled with fun and party and a Happy New Year!!!
Here is your gift card:
http://www.indiaosvision.com/Christmas-Gift-Card/Best Regards,
Dieter Baral
Betreff: All the best in Coming Year!
Absender: Hermann Bauer GmbH ([email protected])Greetings (Vorname Nachname),
Wishing you a Marry Christmas and a Happy New Year! I hope it’s your best year ever.
Your Christmas card is here
My Best,
Hermann Bauer GmbH
Vermutlich seit dem 2. Weihnachtstag wird der Trojaner „Emotet“ wieder verbreitet. Hier das Beispiel des Vortages sowie Vormittages:
- Weihnachtsgrüße von Freunden (Christmas Gift Card) mit Link? Achtung: Warm greetings and best wishes for Christmas and the New Year! von [email protected] ([email protected]) bringt das Trojanische Pferd ‚Emotet‘!
- All the best in Coming Year! (Your Holidays eCard.doc) von [email protected] ([email protected]) bringt die bösartige Software ‚Emotet‘!
Der Link in den E-Mails verweist auf die Adressen
- ardenplumbing.com/Christmas-card/
- www.indiaosvision.com/Christmas-Gift-Card/
- cfi-diecasting.com/Happy-Holidays-Card/
Von den Adressen wird eine Microsoft Word – Datei geladen:
Your Holidays eCard.doc
Your Gift Card.doc
Happy Holidays Card.doc
Öffnen Sie nicht die Dateien!
Die .doc-Datei enthält ein bösartiges Makro! Die Microsoft Word – Datei würde so aussehen:
Office
This document is protected
1 If the file opens in Protected View, click Enable Editing, and then click Enable Content.
2 You are attempting to open a file that was created in an earlier version of Microsoft Office.
3 Check the file permissions for the document or drive.
Das gefälschte Dokument behauptet, die Bearbeitung sowie Inhalte müssten aktiviert werden, damit das Dokument betrachtet werden kann. Das stimmt aber nicht! Es handelt sich um eine gefälschte Information! Klicken Sie weder auf „Bearbeitung aktivieren“, noch auf „Inhalt aktivieren“.
Das bösartige Makro würde von der Adresse bigeggdrop.com/WpDpV1/ eine Datei nachladen und ausführen.
Nach der Ausführung legt sich das Programm (mit unterschiedlichen Namen) in AppData/Local/Microsoft/Windows und trägt sich in die Registry ein, um bei jedem PC-Start ausgeführt zu werden:
Schlüsselname: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Name: windowagent
Daten: „C:\Users\user\AppData\Local\Microsoft\Windows\windowagent.exe“
Die Erkennungsrate für die ausführbare Datei liegt laut Virustotal bei 15/68! Führen Sie das Programm daher nicht aus!
Nach der Infektion nimmt das Programm sowohl mit der IP-Adresse
- 87.106.247.42:8080
Kontakt auf.