Fałszywe faktury z STU ERGO Hestia i biura rachunkowego Tomfis

[Grandalf]

Oszust wysyła emaile z rzekomymi fakturami z tego samego adresu IP łączącego się z serwerem pocztowym dwóch różnych podmiotów. Próbuje podszyć się pod spółkę ubezpieczeniową STU ERGO Hestia SA oraz biuro rachunkowe „Tomfis”:

W jednym z załączników FV_2045.zip znajduje się plik FV_2045.vbs podszywający się pod fakturę w bardzo prymitywny sposób. Jego uruchomienie wyzwala systemowy proces wscript.exe służący do uruchamiania plików skryptowych — łączy się z adresem TCP/198.12.113.17, ale nie pobiera żadnej dodatkowej zawartości. Jest to więc nieudana próba stworzenia downloadera (co mało prawdopodobne) lub rozpoznanie ofiar przed większą kampanią i dlatego zalecamy ostrożność przy otwieraniu tego typu podejrzanych faktur oraz zainstalowanie renomowanego oprogramowania antywirusowego.

Załącznika z drugiej wiadomości nie udało nam się sprawdzić, ponieważ plik został zablokowany na poziomie dostawcy serwera pocztowego przez skanowanie antywirusowe, więc do odbiorcy dotarła zabezpieczona zawartość.

Wiadomość podszywająca się pod biuro rachunkowe wysyłana jest z serwera nazwy.pl:

alt201.rev.netart.pl ([85.128.176.201]:55503)

Wiadomość podszywająca się pod STU Ergo Hestia wysyłana jest z serwera:

rod-zimbra-app01.hestia.polska ([127.0.0.1])

Spamer łączy się z powyższymi serwerami pocztowymi z adresu:

46.246.119.242

Hash załącznika FV_2045.zip po wypakowaniu (załącznik z drugiej wiadomości został zablokowany przez anty-spam zintegrowany z serwerem poczty):

cf613682fbd2076dab02f15ef28b028f7b40cbacd4f6cfc6b840ab9685566b2f

źródło:

Zaloguj lub Zarejestruj się aby zobaczyć!