Merry Christmas to you! von [email protected] ([email protected]), Happy New Year! von [email protected] ([email protected]) oder Happy Holidays! von [email protected] ([email protected]) bringen die bösartige Software ‚Emotet‘ (Gift Card.doc, Gift Card for you.doc, Your Holidays Card.doc)!
Am Dienstag, den 02. Januar 2018 wurden durch unbekannte Dritte die folgenden betrügerischen E-Mails mit angeblichen Weihnachts- oder Neujahrsgrüßen in englischer Sprache versendet. Achtung: Die E-Mail stammt nicht von den darin genannten Absendern! Klicken Sie nicht auf den Link und öffnen Sie nicht das Word-Dokument! Ein Makro im Word-Dokument lädt das Trojanische Pferd (‚Emotet‘) nach, welches den PC infiziert!
Betreff: Merry Christmas to you!
Absender: [email protected] ([email protected])How are you (Vorname Nachname),
Happy Holidays to you. We hope your holidays will be filled with joy and laughter through the New Year.
Link to your eCard
Sincerely,
Achtung: Es handelt sich um eine betrügerische E-Mail! Klicken Sie nicht auf den Link! Die Nachricht stammt nicht von dem Absender.
Hier zwei weitere Beispiele:
Betreff: Happy New Year!
Absender: [email protected] ([email protected])Dear (Vorname Nachname),
Wishing you a Christmas, filled with fun and party and a Happy New Year!!!
Here is your eGift Card
Regards,
Betreff: Happy Holidays!
Absender: [email protected] ([email protected])How are you (Vorname Nachname),
Wishing you a Merry Christmas, very Happy Holiday season and a peaceful and prosperous New Year.
Your Holidays Card is here
Best Regards,
Der Link in den E-Mails verweist auf die Adressen
- booktravelbuzz.com/Your-Gift-Card/
- stockholmtrail.se/Your-eCard/
- arcadiahomes.org/Your-Christmas-Gift-Card/
Von den Adressen wird eine Microsoft Word – Datei geladen:
Gift Card.doc
Gift Card for you.doc
Your Holidays Card.doc
Öffnen Sie nicht die Dateien!
Die .doc-Datei enthält ein bösartiges Makro! Die Microsoft Word – Datei würde so aussehen:
Office
This document is protected
1 If the file opens in Protected View, click Enable Editing, and then click Enable Content.
2 You are attempting to open a file that was created in an earlier version of Microsoft Office.
3 Check the file permissions for the document or drive.
Das gefälschte Dokument behauptet, die Bearbeitung sowie Inhalte müssten aktiviert werden, damit das Dokument betrachtet werden kann. Das stimmt aber nicht! Es handelt sich um eine gefälschte Information! Klicken Sie weder auf „Bearbeitung aktivieren“, noch auf „Inhalt aktivieren“.
Die drei im o. g. Word-Dokument enthaltenen Makros sehen so aus:
Das bösartige Makro würde von der Adresse metricinvestmentsgroup.com/bAtOQlC/ eine Datei nachladen und ausführen.
Nach der Ausführung legt sich das Programm (mit unterschiedlichen Namen) in AppData/Local/Microsoft/Windows und trägt sich in die Registry ein, um bei jedem PC-Start ausgeführt zu werden:
Schlüsselname: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Name: windowagent
Daten: „C:\Users\user\AppData\Local\Microsoft\Windows\windowagent.exe“
Die Erkennungsrate für die ausführbare Datei liegt laut Virustotal bei 20/67! Führen Sie das Programm daher nicht aus!
Nach der Infektion nimmt das Programm sowohl mit der IP-Adresse
- 91.121.45.118:443
Kontakt auf.