Robisz zakupy w Niemczech? 21 marca i 4 kwietnia uważaj na e-maile z fakturami

Kaspersky Lab informuje o długofalowej kampanii cyberprzestępczej, w ramach której do użytkowników wysyłane są sfałszowane faktury – głównie w języku niemieckim – zawierające szkodliwe programy. Niebezpieczne wysyłki prowadzone są cyklicznie, 4. i 21. dnia miesiąca.

Jeżeli otrzymasz fakturę 21 marca lub 4 kwietnia, zachowaj szczególną ostrożność. Z drugiej strony, autorzy mogą zmienić datę faktury, dlatego lepiej mieć się na baczności przez cały czas fot. Pascal Thauvinmateriały prasowe

Internet

Kradnie, niszczy, szantażuje. Co potrafi dzisiejszy malware?

Wiadomości e-mail są wysyłane przez cyberprzestępców z wielu różnych kont pocztowych i zazwyczaj posiadają temat informujący o opóźnieniu w opłacie faktury lub przypominający o zbliżającym się terminie płatności. Tematy i treści tych wiadomości napisane są najczęściej w języku niemieckim. E-maile zawierają dokument PDF - z rzekomą fakturą - który w rzeczywistości jest szkodliwym programem. Jego zadaniem jest pobranie na komputer kolejnych zagrożeń zdefiniowanych wcześniej przez cyberprzestępców.

Jak dochodzi do infekcji?

Cyberprzestępcy włożyli wiele wysiłku w zamaskowanie szkodliwego programu wewnątrz wysyłanych plików PDF, a do infekcji dochodzi, gdy użytkownik otworzy załącznik w nieuaktualnionej wersji programu Adobe Reader. Szkodliwy PDF został przechwycony przez unikatową technologię ZETA Shield opracowaną przez Kaspersky Lab. Szkodliwy program odpowiedzialny za pobieranie kolejnych zagrożeń jest wykrywany przez produkty Kaspersky Lab jako Trojan.Win32.Yakes.cngh. Gdy szkodliwy program jest aktywny w systemie, na ekranie komputera mogą się pojawiać fałszywe, niemieckojęzyczne powiadomienia programu Adobe Reader.

Od kiedy aktywna jest ta kampania?

Pierwsze wiadomości zawierające sfałszowane, zainfekowane faktury wysyłane w języku niemieckim pojawiły się już w listopadzie 2012 r. Zaskakująca jest regularność, z jaką cyberprzestępcy wysyłają te e-maile - jest to 4 lub 21 dzień miesiąca. Mimo że znaczna większość najświeższej wysyłki (z 4 marca 2013 r.) pochodziła z niemieckich adresów IP, w poprzednich odsłonach kampanii wykorzystywano wiele innych lokalizacji, łącznie z Afryką Południową, Stanami Zjednoczonymi, Australią i Japonią.

"Wszystko wskazuje na to, że mamy do czynienia z dobrze zaplanowaną i przemyślaną kampanią, która nie zakończy się w najbliższym czasie" - ostrzega Ben Goodwood, ekspert z Kaspersky Lab. "Dlatego, jeżeli 21 marca lub 4 kwietnia - a także w kolejnych miesiącach - otrzymasz wiadomość e-mail z fakturą, potraktuj ją ze wzmożoną czujnością".

Przykładowy e-mail od oszustówmateriały prasowe

Przeszłość

Przeglądając nasze wcześniejsze informacje zwrotne, firma Kaspersky zauważyła podobne schematy w dniach 4 i 21 kilku miesięcy.

Luty 2013

21 lutego zablokowaliśmy ogromną liczbę e-maili zawierających bardzo podobny załącznik PDF. Tym razem w nazwach załączników znajdował się wyraz "Rechnung" (co oznacza "faktura") oraz data (np. Rechnung_201302.pdf oraz 2013_02rechnung.pdf). Nadawcy pochodzili z bardzo różnych państw, w tym z Afryki Południowej, Stanów Zjednoczonych, Australii i Japonii. Tym razem nazwy komputerów wymieniane w nagłówkach e-maili wyglądały na wygenerowane losowo (np. ydopsgf i bxahwdkw) i - co ciekawe - nagłówki zawierały również odwołanie do domeny zeus3.hostwaycloud.com.

Odszyfrowany JavaScript dla tego exploita był prawie identyczny z próbką powyżej, jednak szkodliwe oprogramowanie było pobierane z kilku adresów URL:

allgaeu-heimatwerk.de/biznessler/typo3/sysext/t3skin/host.exe

corcagnani.de/host.exe

kkc-hannover.de/modules/mod_search/helper.exe

capital-success.de/pg/helper.exe

Styczeń 2013

4 stycznia próbka miała nazwę Rechnung201301.pdf, a szkodnik był pobierany z następujących adresów URL:

kohnle-gros.de/css/styleneu.exe

fairdealshop.co.uk/modules/mod_newsflash/helper.exe

emct.org.uk/downloads/server-stats.exe

Listopad 2012

21 listopada próbka miała nazwę RECHNUNG000201211.pdf i pobierała szkodnika z: