E-mail over mislukte afleverpoging verspreidt ransomware
Een Nederlandstalige e-mail die op dit moment wordt verstuurd en stelt dat er een pakket niet kon worden afgeleverd bevat in werkelijkheid ransomware. Dat meldt een onderzoeker van de University of Alabama. De e-mail heeft als onderwerp "Mislukte afleverpoging BT-32084".
Het bericht is zogenaamd van een transportbedrijf afkomstig en laat de ontvanger weten dat er een pakket niet kon worden afgeleverd. Via een link in de e-mail kan er een document worden gedownload om een nieuwe afspraak te maken. Het gaat om een Word-document met een kwaadaardige macro. Macro's staan vanwege veiligheidsredenen standaard in Microsoft Office uitgeschakeld. Het document stelt in zowel het Engels als Nederlands dat de inhoud op een oudere versie van Microsoft Word is gemaakt en de gebruiker macro's moet inschakelen om de inhoud weer te geven.
In werkelijkheid downloaden de macro's ransomware op de computer die bestanden voor losgeld versleutelt. Het gaat om de WildFire Locker-ransomware die 299 dollar voor het ontsleutelen van bestanden vraagt. Op het forum van Security.nl is inmiddels ook een uitgebreid topic over deze e-mails en ransomware. Daaruit blijkt dat veel mensen het bericht hebben ontvangen. Voor zover bekend is het nog niet mogelijk om de door WildFire versleutelde bestanden kosteloos te ontsleutelen.
http://www.bleepstatic.com/images/news/ransomware/w/wildfire-locker/CmH8j5xWAAAR9AG%5B1%5D.jpg
* https://www.security.nl/posting/477256#posting477298
Bedankt.
http://www.bleepstatic.com/images/news/ransomware/w/wildfire-locker/CmH8j5xWAAAR9AG%5B1%5D.jpg
* https://www.security.nl/posting/477256#posting477298
Mwoah, ik denk dat het Nederlandse deel door de Nederlandse taalinstellingen zal komen en dit een variabele is (Powershell get-time retourneert het precies zo).
Bedankt.
.docm
Bedankt.
.docm
In dit geval inderdaad .docm, Microsoft Word Document met Macro's.
Probleem is echter dat als Windows in de standaardinstelling staat, de extensie word weggelaten, & vervangen word door alleen de indicatie Microsoft Word Document.
Bedankt.
.docm
In dit geval inderdaad .docm, Microsoft Word Document met Macro's.
Probleem is echter dat als Windows in de standaardinstelling staat, de extensie word weggelaten, & vervangen word door alleen de indicatie Microsoft Word Document.
Wij zijn al zover gegaan om alle docm bestanden tegen te houden door het gebruikte spamfilter.
Standaard instelling van Windows gebruik ik een login script voor die een registeraanpassing doet.
Bedankt.
.docm
In dit geval inderdaad .docm, Microsoft Word Document met Macro's.
De extensie is echter misleidend, want het gaat om een docm formaat bestand. De cybercriminelen maken handig gebruik van het feit dat MS Word .doc files gewoon opent ook als het feitelijk om een ander formaat gaat, zelfs als daar macro's in zitten. Daarbij was een waarschuwing op z'n plaats geweest, zoals:
De aanvalswijze in het document zelf is overigens uitgebreid beschreven in https://isc.sans.edu/forums/diary/Hiding+in+White+Text+Word+Documents+with+Embedded+Payloads/21227/.
Ca. 2 uur geleden nog eentje, zogenaamd met Excel bijlage maar feitelijk een .zip file met daarin een .js file. Zie https://www.virustotal.com/en/file/9846a455784c6ace28791bca8abd29c029f27bf158001fda46c6ef9debc45b67/analysis/1468332112/ (4/50).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
