image

Vals document Intrum Justitia bevat kwaadaardige macro

dinsdag 4 november 2014, 17:23 door Redactie, 36 reacties

Er vindt op dit moment een spamcampagne plaats waarbij e-mails worden verspreid die zogenaamd van het Haagse incassobureau Intrum Justitia afkomstig lijken, maar in werkelijkheid een Word-document met kwaadaardige macro bevatten. Daarvoor waarschuwt beveiligingsbedrijf MXLab.

De e-mails hebben als onderwerp "Den Haag – Intrum Incasso", "Den Haag Incasso Nederland.", "INCASSO NEDERLAND." en "*INCASSO* NEDERLAND." In de e-mail zelf staat dat de ontvanger een aanmaning heeft ontvangen en die direct via iDeal kan betalen. Daarvoor moet online worden ingelogd. "Staan er geen inloggegevens op uw aanmaning? Neem dan contact op via het telefoonnummer in de brief", aldus de e-mail.

Het bericht bevat als bijlage een zip-bestand. Dit zip-bestand bevat weer een doc-bestand, hoewel het doc-bestand bij sommige e-mails direct als bijlage was toegevoegd. In het Word-document zit een kwaadaardige macro verstopt die, mits toegestaan, malware op de computer downloadt. Het doc-bestand met de kwaadaardige macro werd op het moment dat de e-mails rondgingen door 2 van de 53 virusscanners op VirusTotal herkend.

Reacties (36)
04-11-2014, 17:32 door [Account Verwijderd] - Bijgewerkt: 04-11-2014, 17:34
[Verwijderd]
04-11-2014, 17:50 door Anoniem
Nog schrikbarender is dat mensen het nog steeds niet zelf kunnen (in)zien.....

TheYOSH
04-11-2014, 22:53 door Anoniem
Vooral ontvangers in het Verenigd Koninkrijk krijgen de laatste maanden veel gespamde Word macro malware.


Als het goed is moet het automatisch uitvoeren van macro's standaard uitstaan.
05-11-2014, 08:48 door Anoniem
Misschien wel handig om deze pagina ook even te vermelden:

http://office.microsoft.com/nl-nl/word-help/macro-s-in-office-documenten-in-of-uitschakelen-HA010031071.aspx

Gaat over de Macro instellingen van Access 2007, Excel 2007, InfoPath 2007, PowerPoint 2007, Publisher 2007, Visio 2007, Word 2007.

Onno
05-11-2014, 09:14 door Anoniem
Het lijkt op de crypto locker variant die er bij zit.
Eerste belletje al binnen...
05-11-2014, 09:58 door Anoniem
Door Picasa3: Schrikbarend hoor, die lage detectiegraad van de virusscanners.

Vergeet niet dat VirusTotal alleen het on-demand module van AVs kan gebruiken. De betere producten hebben nog een aantal modules aan boord die malware kunnen detecteren die wel door de primaire scanner heenkomt. Echter, 26 uur na bekendheid op VirusTotal zou je wél harde detectie in de basismodules verwachten...

https://www.virustotal.com/en/file/25129e0663910755e0daf8eec9319637e4e351ed979dcd86a462577e837f6563/analysis/
05-11-2014, 12:50 door johanw
Die incassoboer is sowieso vals. Maar afgezien daarevan, ik heb geen MS Office op mn PC staan, alleen LibreOffice. Geen vervelende ribbon en dit soort rommel werkt er ook nooit onder.
06-11-2014, 10:08 door Chasalin
Heb de mail ook ontvangen, met als afzendadres 'bdiu@inkasso.nl'.
Op moment van ontvangen herkende VirusTotal het bestand met 5/54 (nu 9/54)
Het zou al helpen als instanties, zoals in dit geval inkasso.nl (die op mij overigens ook niet 100% kosjer overkomt) SPF records zouden gebruiken...
06-02-2015, 14:54 door Anoniem
Even een update. Dit intrum virus is geupdate. Vreet alles van excel aan. momenteel nog niet de bron gevonden maar alle bestanden zijn aangepast naar o.a lilenamexlxs.cpyywoc. maar ook jpg.pdf en vele anderre bestanden zijn omgeschreven.
Omat wij aan een netwerk hangen ook de server bestanden en niet meer te openen.

Wees gewaarschuuwd.
08-02-2015, 17:27 door JB-007
Er is alweer zo'n spam mail aan het rondgaan.
Het lijkt ontzettend veel op de originele maar als je Postbos met een o inplaats van een u kan spellen dan ben je al goed op weg.
En verder moet je niet op het factuurnummer klikken, want daar zit nou juist de adder onder!!!!!!

Dus nogmaals wees weer gewaarschuwd
26-02-2015, 08:41 door Anoniem
IK heb er vandaag dus ook weer een ontvangen, maar mensen wees een eerlijk een ZIP bestand als bijlage.
Wie houdt hier wie voor de gek.
26-02-2015, 23:58 door Anoniem
Volgende fake e-mail ontvangen. Bijlage is een zip. Niet openen!!!!
Behandeld door   : Vodafone Libertel B.V.
Direct tel. nr.      : 088 - 452 71 31

Openstaande vordering, BELANGRIJK!

Geachte mevrouw/heer.

In de bijgevoegde factuur verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij 
de gelegenheid om het verschuldigde bedrag van €97,50 met rente binnen 14 dagen te voldoen op
ons IBAN-rekeningnummer NL50ABNA0471467217 t.n.v. St. Derdengeleden Intrum Justitia Nederland B.V. 
onder vermelding van het referentienummer.

Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een 
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
Voor directe betaling en meer informatie over deze vordering gaat u naar onze websitewww.intrum.nl
U kunt hiervoor de gegevens gebruiken die op de factuur staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia
27-02-2015, 17:09 door Anoniem
Gisteren ook ontvangen ook niet handig dat vodafone er geen melding van maakt bij al zijn gebruikers.
06-03-2015, 10:23 door Zeeuwsmeisje
Helaas ben ik d'r ingetrapt. Gebeurt me normaal nooit, maar deze zat wel erg goed in elkaar. Ik ben klant van Vodafone en heb voor m'n bedrijf zelf weleens Intrum ingeschakeld. Was te snel met klikken. Heb nu achter al m'n bestanden .inwerlm staan en ze zijn niet meer te gebruiken. Heeft iemand een oplossing om dit terug te draaien? De AVG vond zojuist 1 Trojaans paard daarnaast ga ik proberen de pc terug te zetten naar een eerdere datum. Wat als dat het probleem niet oplost (wat ik verwacht)? Hoop dat iemand de gouden tip heeft.
Dank alvast!
09-03-2015, 11:41 door Henk Kelder
Zojuist kreeg ik ook dat Virus per email.

Voorzichtig als ik benheb ik nergens op geclicked maar eerst eens goed gekeken.

Twijfel, ik heb accounts bij Vodafone, en kids niet altijd hun rekeningen betalen. En via mijn werkgever - het kwam op zakelijk mail binnen - ook telefoon bij Vodafone

Dus de zip naar mijn bureaublad gekopieerd en met WinRAR uitgepakt.
Zag meteen dat er een .exe in zat dus foute boel.

Alleen vreemd genoeg bleek de exe toen al gestart.
Ik vermoed dat WinRAR dat op eigen houtje gedaan heeft want ik heb het zeker niet gedaan...

Processen gekilled en verwijderd gekregen.
Bleek in de achtergrond ook een process geinstalleerd vanuit mijn TEMP dir.

Toch verschillende bestande gecryplocked :-(

Nu bezig met systeemherstel om zeker te zijn dat er niet iets in de registry verstopt is en daarna de aangetaste bestanden gaan zoeken en herstellen vanaf backups, die ik gelukkig wel heb.

WinRAR flicker ik er maar af.
25-03-2015, 16:12 door Anoniem
Gisteren ook gekregen en erin getrapt. Alle bestanden op mijn computer hebben een andere extensie gekregen. Ze zijn niet meer te openen; als ik de *.fcbjrvk, wegdoe in bestanden, zodat ze hun originele naam terug hebben; kan ik ze niet meer openen. Bestand beschadigd. Alle bestanden zijn geïnfecteerd.
14-04-2015, 21:51 door Anoniem
vandaag een mail gekregen met een zip bestand. gelukkig gaf AVG virus scanner aan dat het bestand een virus kon bevatten. Mail nu verwijderd.
29-05-2015, 12:14 door Anoniem
Mijn vrouw heeft op haar computer eergisteren een bijlage van een mail van intrum justitia geopend (het had de vorm van een pdf-bestand) Computer geblokkeerd en alle bestanden voorzien van de extensie IPAAXN en onbruikbaar geworden. Het verwijderen van de extensie heeft geen zin. Is hier een oplossing voor?
02-06-2015, 09:27 door Anoniem
Ook op de zakelijke mail binnen de gemeente bij team schuldhulpverlening hebben we een dergelijke mail gekregen. Wij hebben zeer regelmatig te maken met Intrum Justitia voor onze klanten, maar ook wij twijfelden. Telefoonnummer is vals, dus dat was voor ons de doorslag het zipbestand niet te openen.


Bij ons luidt de tekst in de mail:

Behandeld door : TransIP Domein Registratie
Direct tel. nr. : 088 - 452 71 31

Openstaande vordering,
Geachte mevrouw/heer.

In de bijgevoegde factuur verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij
de gelegenheid om het verschuldigde bedrag van €83,50 met rente binnen 14 dagen te voldoen op
ons IBAN-rekeningnummer NL50ABNA0471467452 t.n.v.Intrum Justitia Nederland B.V.
onder vermelding van het referentienummer.

Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
Voor directe betaling en meer informatie over deze vordering gaat u naar onze website www.intrum.nl
U kunt hiervoor de gegevens gebruiken die op de factuur staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia
03-06-2015, 14:59 door Anoniem
Het valt mij op dat veel mensen de verdachte mail gewoon openen en dan al dan niet klikken op van alles.

Als je een mail niet vertrouwt, bekijk dan eerst de bron; elk e-mailprogramma heeft de mogelijkheid de bron te bekijken, zonder de mail te openen. Kijk dan in de header naar de onderste "Received from" en je weet genoeg.

De mail die ik vandaag van "Intrum Justitia" ontving is afkomstig van: Received: from hk.mw51.net ([180.188.194.65])
hk.mw51.net, een niet bestaand domein uit Hong Kong! Het IP-adres is van: Hong Kong Tsuen Wan I-system Technology Limited, dus duidelijk niet van Intrum Justitia.

Dus: mail niet openen maar meteen in het ovalen archief en voor de zekerheid: het archief verbranden.
09-06-2015, 07:48 door Anoniem
Ook ik heb de mail ontvangen.
Wat ik niet begrijp is dat er géén harde aanpak kan komen op basis van het IBAN nummer dat wordt gebruikt.
In principe moet je met dit soort "bewijs"materiaal gewoon naar de desbetreffende bank kunnen bellen, en zo'n rekening laten blokkeren.
Uiteraard helpt dit niet omdat ze waarschijnlijk tal van verschillende "katvangers" zullen hebben.
Echter valt het me wel op dat ze al bijna 1 jaar met hetzelfde IBAN nummer te werk gaan.

Behandeld door : TransIP Domein Registratie
Direct tel. nr. : 088 - 452 71 31

Openstaande vordering,

Geachte mevrouw/heer.

In de bijgevoegde factuur verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij
de gelegenheid om het verschuldigde bedrag van €93,50 met rente binnen 14 dagen te voldoen op
ons IBAN-rekeningnummer NL50ABNA0471467210 t.n.v. St. Derdengeleden Intrum Justitia Nederland B.V.
onder vermelding van het referentienummer.


Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
U kunt hiervoor de gegevens gebruiken die op de factuur staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia


De buitengerechtelijke incassokosten kunnen zijn verhoogd met btw in het geval dat de schuldeiser een niet
btw-plichtige ondernemer is in de zin van art. 7 en 11 van de Wet op de omzetbelasting 1968

Intrum Justitia Nederland BV Handelend onder de naam Intrum Justitia
Postbos 84096 2508 AB Den Haag H.R. Den Haag 27134582
BTW nr. NL008488666B01 Lid van NVI
09-06-2015, 09:59 door Anoniem
Ik heb vanochtend deze mail ontvangen. Ik heb de bijlage geopend, het exe-bestand, maar er is niks gebeurd.
Zou mijn computer alsnog schade hebben of heb ik geluk gehad? En heeft iemand een verklaring waarom ik het kon openen en ik nog steeds toegang heb tot alles?
09-06-2015, 18:09 door Anoniem
Behandeld door : TransIP Domein Registratie
Direct tel. nr. : 088 - 452 71 31

Openstaande vordering,

Geachte mevrouw/heer.

In de bijgevoegde factuur verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij
de gelegenheid om het verschuldigde bedrag van €93,50 met rente binnen 14 dagen te voldoen op
ons IBAN-rekeningnummer NL50ABNA0471467210 t.n.v. St. Derdengeleden Intrum Justitia Nederland B.V.
onder vermelding van het referentienummer.


Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
U kunt hiervoor de gegevens gebruiken die op de factuur staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia


De buitengerechtelijke incassokosten kunnen zijn verhoogd met btw in het geval dat de schuldeiser een niet
btw-plichtige ondernemer is in de zin van art. 7 en 11 van de Wet op de omzetbelasting 1968

Intrum Justitia Nederland BV Handelend onder de naam Intrum Justitia
Postbos 84096 2508 AB Den Haag H.R. Den Haag 27134582
09-06-2015, 19:22 door Anoniem
Ik vertrouwde het niet helemaal en daarom had ik 'm geopend in een virtuele machine.
Vandaag zat er een Factuur90118.PDF.exe bestand in een Factuur90118.zip.
Bij dubbelklikken wordt er het programma dat er in zit geopend. Wat het programma doet, is mij onduidelijk.

In Taakoverzicht kwam er een Factuur90118.PDF.Exe en nezrgth.exe.

Daarna heb ik 'revert to snapshot' uitgevoerd, waardoor de malware weer verdwenen was.
15-06-2015, 07:50 door Anoniem
Helaas hier vandaag op kantoor een niets wetende werkgever die prompt de .exe opent ( niet zo een digitaal iemand ) . PC vertoont nog geen rare fratsen. Wat is de beste manier om het nu aan te pakken.
15-06-2015, 19:16 door Anoniem
Hoe bestanden te uncrypten??
24-06-2015, 01:42 door Anoniem
Vandaag heb ik ook deze mail ontvangen van intrum Justitia, maar virusscanner van AVG heeft de bijlage gelijkt verwijderd.
Alleen ik kan niet begrijpen dat hier nier wordt opgetreden.
29-06-2015, 00:29 door Anoniem
Ik heb de mail ook ontvangen. Mijn MacAfee scanner gaf tijdens het openen van de mail een waarschuwing dus ik heb hem verwijderd. Vervolgens een complete systeemscan uitgevoerd en voor het eerst in 15 jaar heeft de virusscanner daadwerkelijk een virus verwijderd. Een Trojan genaamd Artemis(?). Staat nu in quarantaine. Ik vraag me af of ik verdere actie moet ondernemen. Mijn documenten zijn niet beschadigd...
06-07-2015, 14:02 door Anoniem
ik heb deze mail ook vandaag ontvangen op mijn mailadres in Oudenaarde, België


Behandeld door : TransIP Domein Registratie
Direct tel. nr. : 088 - 452 71 31

Openstaande vordering,

Geachte mevrouw/heer.

In de bijgevoegde factuur verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij
de gelegenheid om het verschuldigde bedrag van €93,50 met rente binnen 14 dagen te voldoen op
ons IBAN-rekeningnummer NL50ABNA0471467210 t.n.v. St. Derdengeleden Intrum Justitia Nederland B.V.
onder vermelding van het referentienummer.


Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
U kunt hiervoor de gegevens gebruiken die op de factuur staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia


De buitengerechtelijke incassokosten kunnen zijn verhoogd met btw in het geval dat de schuldeiser een niet
btw-plichtige ondernemer is in de zin van art. 7 en 11 van de Wet op de omzetbelasting 1968

Intrum Justitia Nederland BV Handelend onder de naam Intrum Justitia
Postbos 84096 2508 AB Den Haag H.R. Den Haag 27134582
BTW nr. NL008488666B01 Lid van NVI
28-10-2015, 13:58 door Anoniem
Ik heb vandaag deze email gehad, het subject is "aandacht waarschuwing". De mail komt met een logo van Intrum Justitia en ziet er heel normaal uit. Dus zonder argwaan te hebben probeerde ik de zip uit de bijlage te downloaden, ik werd pas achterdochtig toen Safari op OS-X halsstarrig weigerde de zip te downloaden en ik ging verderzoeken. Door in Google het vermelde telefoonnummer te zoeken kwam ik op dit forum terecht.

De tekst (zelfs het bedrag van 93,50 euro) is helemaal hetzelfde als die in de reactie hierboven, datum 6 juli 2015.
09-01-2016, 15:59 door Anoniem
Vandaag volgende mail hierover gehad:

Behandeld door : GymStudio
Direct tel. nr. : 088 - 452 71 35

Geachte ......................

In de bijgevoegde bijlage verwijzen wij u naar de eerder ontvangen herinnering(en). Wij stellen u hierbij
de gelegenheid om het verschuldigde bedrag van €108,72 met rente binnen 7 dagen te voldoen op
ons IBAN-rekeningnummer t.n.v. St. Derdengelden Intrum Justitia Nederland B.V.
onder vermelding van het referentienummer.

Blijft betaling uit, dan zijn wij genoodzaakt cliënt te adviseren om over te gaan tot het opstarten van een
gerechtelijke procedure. De kosten die hieruit voortvloeien zullen geheel voor uw rekening komen.
Voor directe betaling en meer informatie over deze vordering gaat u naar onze website www.intrum.nl
U kunt hiervoor de gegevens gebruiken die op de bijlage staan vermeld. U kunt hier
ook terecht voor overige vragen.

Hoogachtend,

Intrum Justitia
09-04-2016, 22:31 door Anoniem
Blijkbaar is er een nieuwe groep "wanbetalers" aangeboord. Heb een mail ontvangen of ik even € 989,- op wil hoesten binnen 12 dagen. Nee dus, nu niet en nooit. Laat ze de schuldeiser maar aan het werk zettenn. Ben nooit BTW-plichtig geweest en kan me niet voorstellen dat er nu ineens achterstallige BTW zou moeten worden betaald over WBB en AOW uitkering.
23-04-2016, 16:32 door Anoniem
ook wij ontvingen een dergelijke mail met een bedrag van maar liefst EURO 4500!!
Pas op!
04-07-2016, 19:27 door Anoniem
Vandaag hebben wij ook een e-mail ontvangen van maar liefs €11248,43 van GymStudio

Ben alert.
12-12-2016, 15:04 door Anoniem
Op 8 december jl. ook ontvangen. Ze zijn dus nog steeds bezig.
14-12-2016, 19:42 door Anoniem
Zojuist ontvangen, ben blij dat mensen dit topic gebruiken om ervaringen te delen. DEZE BENDE MOET OPGEPAKT WORDEN
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.