Achtung! E-Mail Spammer verteilen massenhaft Ransomware!

[HyBird]

Hallo Boardis!

Zur Zeit bekomme ich ständig Kundenrechner mit einer besonderen Malware.
Diese wird zur Zeit durch E-Mailspam verbreitet.
Das Muster ist immer gleich.
Man erhält die Bestätigung über die Bestellung einer Ware oder Dienstleistung.
Im Text ist dann die Rede davon das der Rechnungsbetrag (200-6500 Euro)
vom Konto oder der Kreditkarte abgebucht wird. Die Rechnung oder bestätigung
ist angeblich im Anhang! Manche E-Mails Dieser Art sind
sogar mit eurer Persönlichen Anrede ausgestattet!
Wer den Inhalt in der angehängten ZIP Datei öffnet, wird Erleben, das sämtliche
Dokumente, Bilder, Musik, Videos usw. verschlüsselt werden.
Alle Dateien werden unbrauchbar!
Nach einem Reboot heißt einen Der Rechner mit diesem oder einem änlichen
Bild Willkommen. Und fordern dann Lösegeld um die Daten wieder zu Entschlüsseln.
Also Haltet die Augen auf! Und Warnt alle eure nicht Nerds in der Familie und im Freundeskreis!
Denn alle aktuellen Antivirenprogramme erkennen die neuesten Varianten nicht!!!!

Gruß Marco

 

[HabNeFritzbox]

Meinst etwa solche eine Mail wo der genannte § Unfug ist mit 2 Zahlen und Buchstaben ohne Gesetz und Absatz?
Im Anhang ist eine 2012.zip und als Emailsignatur keine korrekte Firmenangaben zum Gerichtsstand ect.

Sehr geehrte Damen und Herren,

unser Versandzentrum hat Ihre Bestellung mit der Bestell Nummer 73050756461 zur Lieferung an Hermes Versand übergeben.

In der beigefügten Datei befindet sich die Abrechnung und Empfängeradresse als PDF-Datei.
Ihre Rechnung wurde laut dem § 7d 5b aus Sicherheitsgründen mit Ihrem privaten Passwort verschlüsselt.

Ihr Passwort lautet-: haus


Sie können die Rechnungsbestätigung immer selbständig über online Webseite abrufen.

Folgende Informationen werden gebraucht:

- Ihre E-Mail-Adresse und die Bestellnummer oder
- die Vertrags-Nr. und die Serien-Nr.

Artikelnummer: 76765219085
Geräte Serien-Nr.: 33925883361
Buchungssumme 346,60 EU

Die Buchung erfolgt in Die 1-3 Tagen von Ihrem Onlinebank-Konto.

Ihre Bestellung ist hiermit fertig.

Mit besten Grüßen

Ihr Kundenservice

 

[HyBird]

Jupp so Änlich!

Oder So!

Vielen Dank für Ihr Vertrauen

Guten Tag Markus,

Sie haben heute bei der Partnersuche Heartbooker die Premiummitgliedschaft erworben. Der Betrag in Höhe von 262,19 EUR wird in den kommenden Tagen von Ihrem Konto entzogen. Die Abbuchung erfolgt durch MicroPayment GmbH.

Sie sind jetzt für die nächsten 6 Monate Premiummitglied und können in vollem Umfang die Premiumleistungen von Heartbooker nutzen.
Entnehmen Sie die Zahlungsdetails bitte dem Anhang, dort finden Sie auch die Bestelldetails und Premiumdienstvorteile. Falls Sie die Premiummitgliedschaft nicht mehr wünschen, mailen Sie die Widerrufung, mit der im Anhang beigelegten Wiederrufungserklärung an [email protected]

Wir wünschen Ihnen viel Erfolg!


Mit freundlichen Grüßen,

Ihre Anna Stein
Heartbooker Serviceteam

-------------------------------------
Heartbooker GmbH

Christburgerstr.4
10405 Berlin, Deutschland

Phone : +49-30-41573225
eMail : [email protected]
Web : http://www.heartbooker.de

Geschäftsführer: Mirko Riedel
Inhaltlich Verantwortlicher gemäss § 6 MDStV: Mirko Riedel
Datenschutzbeauftragter: Guido Szelinsky
Ust-ID-Nr.: DE261092734
Amtsgericht Berlin/Charlottenburg
Handelsregister: HRB 115112 B

Und dort war mein Kunde (wirklich ein Markus) wirklich Mitglied. Als er die Rechnung.pdf.exe
Öffnete (denn das exe wird ja ausgeblendet bei den Windows Standardeinstellungen -- Danke Microsoft)
war es das mit den Jahrelang gesammelten Bildern und der Musik.

Auch diese Mail ist nicht Schlecht aber dem potentiellen Opfer fiel auf das die Mail nicht ganz schüssig ist.
Aber auch hier wieder persönliche Anrede mit Vor und Nachnamen. Der Nachname wurde von mir gekürzt.

[email protected] schrieb:

    Hallo Marc S.,

    Danke für Ihren Einkauf bei computeruniverse.de, nachfolgend finden Sie Ihre Einkaufsbestätigung.

    Deine Transaktionsnummer: 214349856327 
    Artikel: Nokia 5258944066   790,85 Euro
    Rechnungsname: Marc S[I][COLOR="#008000"][...][/COLOR][/I]

    Zahlungsmethode: Bankeinzug	

    Versandadresse und detaillierte Zahlungsdetails finden Sie wegen Sicherheitsgründen im Anhang.

    Die Buchung wurde autorisiert und wird innerhalb 3 Tage abgeschrieben. 
    Artikeldetails und Widerspruch Hinweise finden Sie im Zusatzordner in der E-Mail.


    Ihr Supportteam

    Konsolenprofis GmbH
    Bergstieg 16 
    83240  Hamburg

    Telefon: (+49) 821 5098003
    (Mo-Fr 8.00 bis 18.00 Uhr, Sa 10.00 bis 18.00 Uhr)
    Gesellschaftssitz ist Kiel
    Umsatzsteuer-ID: DE216989010
    Geschäftsfuehrer: Daniel Kübels

Ihr seht also das ganze ist hervorragend gemacht. So manch einer wird neugierig und öffnet den Anhang doch!
Ein Entschlüsselungstool gibt es bis heute nicht.
Und wer zahlt wird seine Daten auch nicht wiedersehen. Ein Backup der wichtigen Daten sollte man immer
Vorrätig haben. Und das am besten auf einer Externen Platte die nicht am Rechner angeschlossen ist!
Denn es werden alle Laufwerke einschließlich Netzlaufwerke Verschlüsselt.
Und noch ein Foto von dem Datenmüll der übrig Bleibt!

 

[Elsi29]

Ich bekomme seit Wochen in regelmäßigen Abständen von der Telekom mit einer Datei namens "Rechnung.pdf.exe".

Da ich Telekom Kunde bin und meine echte Rechnung als PDF Dokument bekomme, ist die gefakte von der echten E-Mail kaum zu unterscheiden, da die Fake E-Mails täuschend echt aussehen.

Die gleiche Masche, dass man sich noch einmal mit seinem Benutzernamen und Passwort bei Amazon, Paypal, DHL, etc. einloggen soll.

 

[Rohrnetzmeister]

Mein Arbeitskollege gehört auch zu den Opfern.

 

[Sandra-T]

So neu ist die Masche nicht mehr, aber irgendwelche Leute fallen immer drauf rein...

Gruß
Sandra

 

[HyBird]

Mitte April ging es los mit dem Mist! Also ist das IMHO noch neu.

 

[Novize]

Mitte April ....

Ja, aber Mitte April vor einigen Jahren.
Es variiert nur der angebliche Dienstleister, der abbuchen würde, die Masche ist jedoch seit Jahren identisch.

 

[RalfFriedl]

Die aktuelle Email mag neu sein, das Prinzip selbst nicht.
Der Grund dafür, dass der Anhang nicht von einem Virenscanner erkannt wird, ist vermutlich die Verschlüsselung. War der Anhang der Email aus #3 auch verschlüsselt?
Es sollte klar sein, dass die Übertragung nicht sicherer wird, wenn man den Anhang verschlüsselt, aber den Schlüssel in der gleichen Email mit sendet.

 

[HyBird]

Letzt endlich ist das eine Warnung. Ob jemand Notiz davon nimmt ist mir ziemlich Latte. Dem Profi passiert das Öffnen der Mails vielleicht nicht, aber wenn der Partner nicht so versiert ist, oder der Nachwuchs eine solche Mail an Land zieht, sehe ich das Ende ganzer Datenbestände. Und mal ehrlich, die meisten User können mit dem Begriff Backup nicht mal was anfangen, geschweige denn haben eins. Wenn es dann mal so weit ist fangen alle an zu Weinen.

@Novitze: Die Masche ist Steinalt! Richtig! Aber bisher waren meine Mails auf Englisch oder in einem Deutsch was jeder Beschreibung spottete.
Das jedoch eine persönliche Anrede vorhanden, und das Deutsch einigermaßen in Ordnung ist ist ebenfalls neu.
Und die Höhe des Auftragswertes macht die "Unwissenden" Noch neugieriger, und erhöht den Druck sich diese Anhänge an zu sehen.

@RalfFriedel: In diesen Mails waren Unverschlüsselte ZIP Anhänge. Der Droppercode ändert sich mit jeder neuen Spamwelle!
Mittlerweile enden die Executables als .pif datei welche unsichtbar ist.
Allerdings habe ich noch eine gefakte DHL Mail mit Verschlüsselter ZIP Datei gesehen. Das Passwort war im Text
Angegeben.

 

[Novize]

Fühle Dich doch nicht gleich angegriffen. Klar ist es gut, immer wieder mal vor diesem Wahnsinn zu warnen. Deshalb habe ich es ja auch nicht in die Spaßecke verschoben bzw geschlossen :hehe:
Die Zielgruppe ist hier wohl nicht so deutlich vorhanden wie in anderen Foren, die die Technikaffinität gerade hier wohl recht hoch ist, aber wer weiß, vielleicht rettet es die eine oder andere Person und schon war die Botschaft erfolgreich.

 

[effmue]

Guude,

...und weitere Informationen und "Ansätze" zur Fehlereingrenzung/-behebung liefert natürlich dazu aktuell --> Heise