GData: Malwarebomben wieder als UPS-Pakete unterwegs Options

von FeithComp vom 18.11.2020 - 202 Hits -

Die Experten der G Data Security Labs warnen vor gefälschten Zustellungsbenachrichtigungen des Paketdienstes UPS. Im Anhang von Mails, die angeblich von UPS stammen, wird der Empfänger darauf hingewiesen, dass eine Paketsendung nicht zugestellt werden konnte. Der Empfänger wird anschließend aufgefordert, eine im Anhang befindliche Rechnung auszudrucken, um das Paket in Empfang zu nehmen.

Im Anhang von Mails, die angeblich von UPS stammen, wird der Empfänger darauf hingewiesen, dass eine Paketsendung nicht zugestellt werden konnte. Der Empfänger wird anschließend aufgefordert, eine im Anhang befindliche Rechnung auszudrucken, um das Paket in Empfang zu nehmen.


Der Anhang, der zunächst den Anschein eines gewöhnlichen Word-Dokuments erweckt, entpuppt sich bei genauerem Hinsehen als ausführbare .EXE-Datei, was allerdings durch die Verwendung eines Word-Icons und die Verschleierung der Dateiendung zunächst nicht ersichtlich ist.

Bei der Datei handelt es sich um einen Downloader, der von einem russischen Server weitere Schadsoftware nachlädt.


Details der E-Mail:

Betreff: Tracking Number [11-stellige Zufallszahl]

Absender: United Postal Services [Unterschiedliche Vornamen]

Nachricht:

---------------------------------------


Unfortunaly we couldn’t carry you the postal parcel sent on 28, October at the right time as there is an incorrect recipient’s address.


To take your package back you should print the copy of invoice that is in the added file


[Unterschiedliche Namen]

Manager UPS

---------------------------------------



Anhang: UPS_letterN314617.zip



enthält:



Datei: UPS_letterN314617.doc[80Leerzeichen].exe

Größe: 34816 Bytes

MD5: B614604C6885A9DD881B90D78020C536



Lädt von [Adresse entfernt] weitere Daten



In der Registry des befallenen Systems werden Änderungen an folgenden Schlüsseln vorgenommen:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

[Kommentar schreiben]

Ich möchte eine Frage im Forum stellen