Nieuws
image

KPN waarschuwt voor phishingmail met ransomware

dinsdag 8 maart 2016, 14:02 door Redactie, 33 reacties
Laatst bijgewerkt: 08-03-2016, 16:04

KPN waarschuwt internetgebruikers voor een phishingmail die al een aantal dagen wordt verstuurd en een kwaadaardige rar-bijlage met ransomware bevat. De e-mail heeft als onderwerp "Uw factuur internetdiensten" en zou van no-reply@kpnmail.nl afkomstig zijn.

Volgens de e-mail heeft de ontvanger een factuur van enkele honderden euro's. Meer informatie zou via de meegestuurde e-mailbijlage zijn te vinden. Het gaat om een rar-bestand met de naam Factuur gevolgd door een lang getal. In het rar-bestand bevindt zich een gelijk genaamd bestand eindigend op .pdf.exe. Omdat Windows standaard geen bestandsextensies laat zien, zouden gebruikers kunnen denken dat het om een pdf-document gaat, terwijl het in werkelijkheid een uitvoerbaar bestand is. Van de 55 virusscanners op VirusTotal wisten er 10 de kwaadaardige bijlage te detecteren. De uiteindelijke malware werd door 4 van de 55 virusscanners herkend.

Uit de naamgeving van de verschillende anti-virusbedrijven wordt niet duidelijk om wat voor malware het precies gaat, maar Mark Loman van beveiligingsbedrijf Surfright meldt dat het om de CTB-Locker-ransomware gaat, die bestanden voor losgeld versleutelt. CTB-Locker is in het verleden vaker gebruikt om Nederlandse internetgebruikers aan te vallen. Op Twitter sloegen verschillende gebruikers alarm vanwege de e-mail. KPN laat weten dat het geen berichten vanuit een kpnmail-account verstuurt en adviseert de e-mail te verwijderen.

Image

Reacties (33)
08-03-2016, 14:33 door Anoniem
Kreeg zojuist de factuur (wel echte factuur) van KPN. Niet zo handige timing lijkt, schrok even dat ik ook gepakt was maar valt mee :-)
KPN stuurt uit kpn.com domein.
08-03-2016, 14:59 door Anoniem
vreemd dat ze een *.rar bestand gebruiken i.p.v. een *.zip bestand wat door vrijwel iedereen geopend kan worden.
08-03-2016, 15:01 door Anoniem
Interressant dat Loman's werkgever (Sophos) het niet detecteert:

https://www.virustotal.com/nl/file/c17c7a041df85fc5d64aec6be90cb3cf1236d4593e56a38c9f0c65c82fbe04b4/analysis/1457444874/
08-03-2016, 16:28 door Anoniem
Het lijkt op phishing, maar dat is het niet. Dit is "gewoon" social engineering om malware te laten openen.
08-03-2016, 17:11 door Anoniem
Zie https://en.wikipedia.org/wiki/Phishing

Phishing is the attempt to acquire sensitive information such as usernames, passwords, and credit card details (and sometimes, indirectly, money), often for malicious reasons, by masquerading as a trustworthy entity in an electronic communication.

Komt toch aardig overeen.
08-03-2016, 17:20 door Anoniem
KPN laat weten dat het geen berichten vanuit een kpnmail-account verstuurt en adviseert de e-mail te verwijderen.
Waarom zetten ze dan geen SPF -all op dat domein!?!

b.
08-03-2016, 20:42 door Anoniem
Door Anoniem:
KPN laat weten dat het geen berichten vanuit een kpnmail-account verstuurt en adviseert de e-mail te verwijderen.
Waarom zetten ze dan geen SPF -all op dat domein!?!

b.

Je kunt alleen een strakke SPF policy voor een domein hanteren als je erg zeker bent dat alle mail met dat domein als afzender vanaf de set toegelaten mailservers verstuurd wordt.

Een mogelijke reden is als je veel klanten hebt die @kpnmail.nl als afzender ingesteld hebben maar dat via andere mailserver (gmail , eigen hosted servertje etc) naar buiten sturen. Die gebruikers dupeer je die heel erg met een strakke SPF policy.
08-03-2016, 23:30 door Briolet - Bijgewerkt: 08-03-2016, 23:43
Door Anoniem: [Je kunt alleen een strakke SPF policy voor een domein hanteren als je erg zeker bent dat alle mail met dat domein als afzender vanaf de set toegelaten mailservers verstuurd wordt.

Een mogelijke reden is als je veel klanten hebt die @kpnmail.nl als afzender ingesteld hebben maar dat via andere mailserver (gmail , eigen hosted servertje etc) naar buiten sturen. Die gebruikers dupeer je die heel erg met een strakke SPF policy.

Dat ligt er aan van welke kant je het bekijkt. Volgens mij help je de gebruikers juist als je het door hun gebruikte domein beter beschermt. Ze moeten dan wel de smtp instellingen in hun mailserver instellen.

Toevallig overkwam mij dat een paar maand geleden. Een van mijn mail accounts heeft ook plots een SPF policy ingevoerd (soft fail) waardoor mijn mail een hogere spamscore kreeg. Nu stuur ik die mail via hun smtp server i.p.v. mijn eigen.

Ziggo gebruikt ook al tijden een SPF record. Bij die provider zitten ook vee 'minder technische gebruikers' die hier geen probleem mee hebben. Staat wel op 'soft fail'.
09-03-2016, 09:43 door Anoniem
Door Anoniem: Zie https://en.wikipedia.org/wiki/Phishing

Phishing is the attempt to acquire sensitive information such as usernames, passwords, and credit card details (and sometimes, indirectly, money), often for malicious reasons, by masquerading as a trustworthy entity in an electronic communication.

Komt toch aardig overeen.

Nee, het komt niet overeen. Er wordt niet om een wachtwoord gevraagd of credit card nummers. Dat is wel phishing.

Het laten openen van malware is geen phishing.
09-03-2016, 10:27 door Anoniem
Door Anoniem: vreemd dat ze een *.rar bestand gebruiken i.p.v. een *.zip bestand wat door vrijwel iedereen geopend kan worden.

Een rar bestand zou door een spamfilter heen kunnen komen, een zip bestand minder snel
09-03-2016, 11:26 door Anoniem
Deze mails gaan al weken rond. Vreemd dat KPN nu pas haar klanten inlicht.

Als ze dan toch hun klanten willen waarschuwen:

Ik kreeg gisteren voor KPN en Ziggo Nederlandstalige phishing mails binnen met het verzoek de automatische incassogegevens opnieuw aan te leveren en daarna alle bankaccountgegevens.

Domeinnamen van de phishing sites lijken niets met KPN of Ziggo te maken te hebben maar gehacked te zijn. Phishing pagina's op de site zijn wel aangemaakt in de stijl van bijvoorbeeld KPN en daarna van de gekozen bank.
09-03-2016, 11:40 door devias
Door Anoniem:
KPN laat weten dat het geen berichten vanuit een kpnmail-account verstuurt en adviseert de e-mail te verwijderen.
Waarom zetten ze dan geen SPF -all op dat domein!?!

b.

Een betere vraag: Waarom gebruiken ze geen DMARC? Dat is al meerdere jaren uitgekrisalliseerd en zou hiertegen beschermen.
09-03-2016, 13:24 door Anoniem
Door devias:
Door Anoniem:
KPN laat weten dat het geen berichten vanuit een kpnmail-account verstuurt en adviseert de e-mail te verwijderen.
Waarom zetten ze dan geen SPF -all op dat domein!?!

b.

Een betere vraag: Waarom gebruiken ze geen DMARC? Dat is al meerdere jaren uitgekrisalliseerd en zou hiertegen beschermen.


DMARC indicatie dat DKIM / SPF gebruikt moet worden vereist dat alle mail door "de" uitgaande mailservers voor het domein verloopt.

Als je met de situatie zit dat veel mensen het domein als afzender gebruiken via andere mailservers sturen die mensen opeens allemaal "spam" volgens hun (dmarc controlerende) ontvangers.

Dat is een mogelijke verklaring waarom voor een end-user access provider "ff spf/dkim/dmarc" niet zo simpel is.
09-03-2016, 14:06 door Anoniem
Door devias:
Een betere vraag: Waarom gebruiken ze geen DMARC? Dat is al meerdere jaren uitgekrisalliseerd en zou hiertegen beschermen.

Voor (sub)domeinen waarvan ik weet dat ze nooit mail versturen zet ik altijd SPF -all (en sinds kort DMARC reject) omdat dan al voor data kan worden gereject.
Ik realiseerde me even niet dat kpnmail.nl wordt gebruikt door klanten van KPN en dan is -all misschien te strak... alhoewel ik er een groot voorstander van ben dat mail via de "juiste" server wordt verstuurd.
Als je mail verstuurd via bijv. gmail en het antwoord op je kpnmail adres wilt, kun je beter Reply-To gebruiken.

b.
13-03-2016, 20:20 door Anoniem
Ik heb geen KPN account en toch krijg ik phishing mails KPN,waar halen die hufters je mailadres vandaan.
14-03-2016, 18:28 door Anoniem
Ook ik krijg vele mails die echt lijken, ik weet dat ik een vast bedrag per maand heb. Je schrikt wel even, maar gelijk de boel verwijderd. Gelukkig ben ik niet nieuwsgierig dat ik daar in trap
18-03-2016, 10:48 door Anoniem
KPN [no-reply@kpnmail.nl] Ook kregen wij hier een nepmail incl rekening terwijl we geen klant zijn bij KPN
21-03-2016, 14:45 door Anoniem
Let op:
In mijn geval (16 maart 2016) was het geen .RAR bestand, maar een net zo gevaarlijk .ZIP bestand!
gr. Erik
06-04-2016, 12:25 door Anoniem
Wij hebben het geopend en alles zit nu op slot. CTB locker op de achtergrond en de PC is geïnfecteerd. Is er iets aan te doen?

Groeten Bas
27-04-2016, 18:03 door Anoniem
Door Anoniem: Kreeg zojuist de factuur (wel echte factuur) van KPN. Niet zo handige timing lijkt, schrok even dat ik ook gepakt was maar valt mee :-)
KPN stuurt uit kpn.com domein.

Je zegt wel dat KPN stuurt vanuit een kpn.com domein maar ik ontving daarstraks onderstaande mail op een account die ik alleen voor mijn stamboomonderzoek gebruik.

Afzender was: noreply@kpn.com
Onderwerp: Uw factuur
Je kunt op de link kpn.nl/zakelijkefactuur klikken om de factuur in te zien. Maar als je daar je cursor boven houd dan zie je dat je geleid wordt naar http://telbiur.com.pl/kpn
Beetje vreemd en zeker aangezien ik helemaal geen zakelijk internet heb, niet bij kpn en ook niet bij een andere provider.
Dus ook met emails afkomstig van kpn.com zou ik eerst goed bekijken en niet klakkeloos klikken op een link die erin staat. Simpel cursor boven de link (zonder klikken uiteraard) en dan zie je links onderin je scherm verschijnen waar je naartoe geleid wordt.

KPN
Factuur Zakelijk Internet

Geachte heer/mevrouw,

Bijgaand ontvangt u uw factuur van KPN.

Hebt u nog vragen?
Kijk op kpn.nl/zakelijkefactuur. U vindt hier uitleg over uw factuur en kunt er chatten met een van onze medewerk ers. Zij helpen u graag.


Met vriendelijke groet,

Joost Steltenpool
Directeur Products & Marketing
Zakelijke Markt
01-05-2016, 23:13 door Anoniem
Ook ik ontving een dergelijke e-mail vanaf een kpn.com-domein, namelijk KPN-betaalafspraak@kpn.com. Inhoudelijk was de e-mail vrijwel gelijk aan het voorbeeld uit het artikel. Verzending vanuit een kpn.com-domein is dus klaarblijkelijk geen garantie dat de e-mail ook afkomstig is van KPN.
05-05-2016, 15:32 door Anoniem
ook ik heb vandaag 5 Mei een soortgelijke mail ontvangen.
Niets mee gedaan uit voorzorg.
Ook KPN-betaalafspraken@kpn.com gebruikt.
06-05-2016, 01:29 door Anoniem
helaas heb ik wel ingelogd en al mijn prive bestanden fotos en pdfs waren inleesbaar in de files waren bestanden gecopeerd op de datum van de aanval en na deleten van deze bestanden was alles onleesbaar
eeerst betalen dan kan je alles repareren met een code was de opracht. jammer voor hen em ij voor hun geen geld
07-05-2016, 10:18 door Anoniem
Vandaag (7 mei '16) ook email ontvangen van "KPN-betaalafspraken@kpn.com". Dit is wel erg verraderlijk daar de hoofsite van de KPN op https://www.kpn.com draait. DUS je ontvangt phishing emails van een KPN domein!!!
07-05-2016, 12:47 door Anoniem
Heb vandaag weer een soortgelijke mail ontvangen ( 05-05-2016 ook al, zie melding 05-05-2016 om 15:32)
Nu alleen een heel oud mailadres gebruikt.
Bovendien gebruik ik geen kpn diensten.
Het blijft oppassen.
19-05-2016, 12:57 door Anoniem
Ik heb ook meerdere mails ontvangen van kpn-betaalafspraak@kpn.com. Maar ook enkelen van kpn.com over facturen en dan een link aanklikken om die te zien. Ik durf ze niet meer te openen....
31-05-2016, 14:34 door Anoniem
Wanneer de CTB locker zich heeft geïnstalleerd op de pc en dit onklaar kan worden gemaakt middels betaling, is mijn vraag hebben mensen betaald? Alle bestanden weer bruikbaar? Ik zou nu 650 euro over moeten maken. Wie heeft ervaring met betalen en de afloop ervan?
14-06-2016, 13:30 door Anoniem
Hallo kreeg zojuist het zelfde mailtje al zie hierboven heb het meteen verwijdert
02-07-2016, 20:35 door Anoniem
Ik heb een vraag.Zelf ben ik niet zo technisch onderlegd wat betreft computers, maar ik kreeg vanavond een mail van KPN " uw factuur".Ik wist dat dit een pishingmail is en zeer zeker niet van de KPN zelf afkomstig is ( ik ben geeneens klant daar), en normaal gesproken gooi ik deze mail meteen weg.
Als emailprogramma gebruik ik " Thunderbird" , en deze is zo ingesteld dat ik moet dubbelklikken op de binnengekomen mail om deze te lezen; bij een enkele klik wordt het onderwerp en afzender blauw gemaakt, en dan je deze bijv. deleten.

Nu wilde ik deze mail doorsturen naar de fraudehelpdesk, en klikte met mijn rechtemuisknop op "doorsturen" .Ik plotseling zag ik, doordat ik deze mail wilde doorsturen, dat Thunderbird deze mail ( maar niet de bijlage) had geopend, waardoor ik kon lezen dat er een bepaald bedrag van in de honderden euro's, openstond,en kon raadplegen op bijgesloten factuur.
Factuur heb ik uiteraard niet geopend, meteen gestopt en deze mail weggegooid.
Mijn vraag is nu ( heb het al eens eerder meegemaakt met hotmail, daar kreeg ik eens een "politievirus" doordat hotmail een pishingmail wel meteen opende, inclusief bijlage), moet ik nu vrezen dat mijn computer gegijzeld gaat worden met ransomware?
De bijlage is bij mij weten niet geopend toen ik de mail wilde doorsturen vanaf mijn gewone email naar fraudehelpdesk.
Ik heb overigens meteen mijn virusscanner Norton erop los gelaten.
19-07-2016, 08:21 door Anoniem
Hoe Kong het dat ik ninja iedere 3 werken het elide nepmailtje ontvang, van dezelfde afzender? Was rom wordt hier niets aan gedaan, is dit niet strafbaar?

Constant Raes
08-08-2016, 21:27 door Anoniem
Help, ik kan niks meer lezen. Ze hebben de boel geblokkeerd, wat kan ik doen.
Binnen 5 uur actie ondernemen, anders ben ik alles kwijt, staat er!
Alles is encrypted

Mvg,
Wesley Landkoer
16-09-2016, 08:59 door Anoniem
Door Anoniem: Vandaag (7 mei '16) ook email ontvangen van "KPN-betaalafspraken@kpn.com". Dit is wel erg verraderlijk daar de hoofsite van de KPN op https://www.kpn.com draait. DUS je ontvangt phishing emails van een KPN domein!!!

Wat ik erg jammer vind van een organisatie als KPN is dat ze de SPF record voor kpn.com niet op orde hebben.
De record ziet er als volgt uit: "v=spf1 ?all" Wat feitelijk betekent dat iedereen een valide sender IP heeft als er vanuit het kpn.com domein wordt gestuurd.
Dus... de hele wereld kan uit naam van kpn.com sturen zonder dat een SPF check ervoor waakt.
Zo geef je in feite de mensen die hier misbruik van maken een 'carte blance' om je domain te misbruiken.
Just my cup of tea...
18-09-2016, 10:15 door Anoniem
Gisteravond (18-9-2016) mail - waarschijnlijk malware - waarin op een bedrieglijk mooie site wordt aangeboden om je WiFi-verbinding te verbeteren. Er wordt alleen gevraagd naar de laatste drie cijfers van je bankrekening, daarna zu het programma de KPN modem restetten. Dat wordt inderdaad geprobeerd, maar mislukt herhaaldelijk. Dan wordt gevraagd om een handmatige resetting. Even verschijnt een beeld waarin een KPN (??)- WiFi versterker wordt aangeboden, maar dat verdwijnt daarna snel met de boodschap dat de WiFi-vebinding uitstekend is en dat resetting niet nodig was (?) Er wordt een klachtenbox aangeboden, maar die zegt dat er nog 1 wachtende voor mij is. Snel afgesloten, hercontrole met antivirus en antispyware, maar geen schade zichtbaar. Wat was dit - ransomware? Of toch een ultime poging om te hacken?
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search