Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Nieuwe Locky "Payment History xxxxxxPDF.VBS" campagne
28-10-2016, 14:59 door SecGuru_OTX, 5 reacties
Nieuwe Locky campagne, nu met subject "Payment History".
De ZIP e-mail bijlage bevat een VBS script.
Enkele voorbeelden van de VBS scripts, contacted IP's en DNS request:
https://www.hybrid-analysis.com/sample/f7b0965f51c1afffeb53d8e42da5c385cd9d3fcb84f916279748ee8ac50e610b?environmentId=100
https://www.hybrid-analysis.com/sample/fca8de3ffbcce08e390c0369c4cc2a991bf0aef3fbf00e757626a68c01ec43b0?environmentId=100
https://www.hybrid-analysis.com/sample/8501b76285083e96e0a3b0f312aaa8485117ef34454f2dfaa8cea5a61e5270d0?environmentId=100
De ZIP e-mail bijlage bevat een VBS script.
Enkele voorbeelden van de VBS scripts, contacted IP's en DNS request:
https://www.hybrid-analysis.com/sample/f7b0965f51c1afffeb53d8e42da5c385cd9d3fcb84f916279748ee8ac50e610b?environmentId=100
https://www.hybrid-analysis.com/sample/fca8de3ffbcce08e390c0369c4cc2a991bf0aef3fbf00e757626a68c01ec43b0?environmentId=100
https://www.hybrid-analysis.com/sample/8501b76285083e96e0a3b0f312aaa8485117ef34454f2dfaa8cea5a61e5270d0?environmentId=100
Reacties (5)
Mailtje komt veel binnen inderdaad, bevat de tekst en daarnaast het attachment.
--
The payment history for the firstweek of October 2016 is attached as you
requested.
Please review it and let us know if you have any question.
--
vergelijkbaar mailtje sinds paar minuten ook met titel 'Important - New fax received':
--
*Important document*: For internal use only
The documents are ready.
Check attached file for more information.
[THIS IS AN AUTOMATED MESSAGE - PLEASE DO NOT REPLY DIRECTLY TO THIS EMAIL]
(...)
--
--
The payment history for the firstweek of October 2016 is attached as you
requested.
Please review it and let us know if you have any question.
--
vergelijkbaar mailtje sinds paar minuten ook met titel 'Important - New fax received':
--
*Important document*: For internal use only
The documents are ready.
Check attached file for more information.
[THIS IS AN AUTOMATED MESSAGE - PLEASE DO NOT REPLY DIRECTLY TO THIS EMAIL]
(...)
--
28-10-2016, 21:46 door
SecGuru_OTX
De run lijkt nu te zijn opgehouden, ik zie nu heel veel Locky SCAN, PRINT, DOC, IMG varianten voorbijkomen.
Allen met .wsf bestanden.
Meer info (hashes, IP's en URL's): https://otx.alienvault.com/pulse/5813a87aaa96ef65ef8c8e47/
Allen met .wsf bestanden.
Meer info (hashes, IP's en URL's): https://otx.alienvault.com/pulse/5813a87aaa96ef65ef8c8e47/
Onderstaand een post met alle IOC's. Het is overbodig om te melden dat je de url's in de pastebin post NIET moet openen, dit zijn daadwerkelijk besmette links. Om misbruik te voorkomen kun je alle IOC's blokkeren, NIET openen.
http://pastebin.com/wH3CkfAn
http://pastebin.com/wH3CkfAn
Door SecGuru_OTX: http://pastebin.com/wH3CkfAn
Hee die guru, even een bericht vanaf een andere computer. Bedankt voor de pastebin download links! Ik heb direct het bestand "7fg3g" gedownload en met dubbelklik geopend. Wat nu?
29-10-2016, 21:23 door
SecGuru_OTX
Door Anoniem:
Door SecGuru_OTX: http://pastebin.com/wH3CkfAn
Hee die guru, even een bericht vanaf een andere computer. Bedankt voor de pastebin download links! Ik heb direct het bestand "7fg3g" gedownload en met dubbelklik geopend. Wat nu?Dan kun je mooi gaan spelen met Locky
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Wij zoeken een Junior DevOps Engineer!
Ben jij nieuwsgierig, leergierig en klaar om je te verdiepen in de wereld van DevOps? In deze functie krijg je alle ruimte om te groeien. Je werkt met de nieuwste technologieën en krijgt intensieve begeleiding van ervaren security professionals zodat je je in korte tijd kunt ontwikkelen tot een volwaardige DevOps Engineer. Je werkt in Den Haag en werkt samen met een team dat kennis, humor en uitdaging moeiteloos weet te combineren. Are you ready for a challenge?