Achtung: gefälschte E-Mails amerikanischer Banken bringen die bösartige Software ‚Emotet‘: z. B. eBill Due Date Is Approaching von PaymentCenter ([email protected]@cobracenter.cl) oder Information von Citibank ([email protected]@unistal.com)

Am Mittwoch, den 03. Oktober 2018 (Tag der Deutschen Einheit) wurden durch unbekannte Dritte die folgenden betrügerischen E-Mails in englischer Sprache versendet. Achtung: Die E-Mails stammen nicht von den darin genannten Absendern (Banken)! Klicken Sie nicht auf die Links und öffnen Sie nicht die Microsoft Word-Dokumente! Ein Makro im Word-Dokument lädt das Trojanische Pferd (‚Emotet‘) nach, welches den PC infiziert! Teilweise wird anschließend auch ein Online-Banking-Trojaner nachgeladen!

Betreff: eBill Due Date Is Approaching
Absender: PaymentCenter ([email protected]@cobracenter.cl)

Bill Pay Alert

Bank of America

Dear client:

Your eBill for is due by 10/05/2018 and we noticed you haven’t made the payment yet.

If you still need to pay, please schedule it now. If you already paid, then you can disregard this email.

Recipient: *******6472

Account: *******2877

Amount: 790.40

Deliver By Date: 10/05/2018

Download and View This e‑Bill

Achtung: Es handelt sich um eine betrügerische E-Mail! Die E-Mail stammt nicht von dem darin genannten Absender! Öffnen Sie nicht die Anlage!

Neben der o. g. E-Mail gibt es auch noch folgende Variante:

Betreff: Information
Absender: Citibank ([email protected]@unistal.com)

i CONFIRMATION

Citi® American Airlines AAdvantage

Account ending in 1239

i

We’ve resolved your dispute

Good Morning,

We’re pleased to let you know that your dispute has been resolved ― you’ll see the credit in the next two business days – it’ll be listed with your account activity on your statement. This credit is permanent.

We included the below transaction details for the dispute on account ending in 1239 for your reference.

Download transaction details

Citi is at your side before, during and after every purchase.

Your Citi Team

Die E-Mails kommen mit einem Link auf eine Microsoft Word – Datei:

  • kozlovcentre.com/US/Attachments/102018
  • thecontemporaries.org/EN_US/Attachments/10_18

file-988610882824533.doc

FORM-4016049168.doc

Öffnen Sie nicht die Microsoft Word-Datei! Die .doc-Datei enthält ein bösartiges Makro! Die Microsoft Word – Datei würde so aussehen:

Office 365

This document created in online version of Microsoft Office Word

To view or edit this document, please click ‚Enable editing‘ button on the top of the yellow bar, and then click ‚Enable content‘

Das gefälschte Dokument behauptet, die Bearbeitung sowie Inhalte müssten aktiviert werden, damit das Dokument betrachtet werden kann. Das stimmt aber nicht! Es handelt sich um eine gefälschte Information! Klicken Sie weder auf „Bearbeitung aktivieren“, noch auf „Inhalt aktivieren“.

Das bösartige Makro würde von der Adresse

  • studio2321.com/9QT9H0mr

eine Datei nachladen und ausführen.

 

Nach der Ausführung legt sich das Programm (mit unterschiedlichen Namen) in AppData/Local/Microsoft/Windows und trägt sich in die Registry ein, um bei jedem PC-Start ausgeführt zu werden:

Schlüsselname: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Name: convstarta
Daten: „C:\Users\user\AppData\Local\Microsoft\Windows\convstarta.exe“

Die Erkennungsrate für die ausführbare Datei liegt laut Virustotal bei 17/68! Führen Sie das Programm daher nicht aus!

Nach der Infektion würde die bösartige Software mit der IP-Adresse 76.170.143.9:8080 Kontakt aufnehmen!

Kommentar(e)

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.