Veel spam met ZIP bijlagen (Document2.zip)

Er zijn dagen dat je spam ontvangt en er zijn dagen dat je veel spam ontvangt. De laatste dagen hoor ik om heen heel veel klachten over ontzettend veel spam. Deze spamberichten lijken erg op elkaar en hebben bijna allemaal hetzelfde onderwerp: “Document2“. Ziet uw mailbox er ook zo uit?

Deze grote aantallen spam zijn niet alleen vervelend maar ook nog ontzettend gevaarlijk. Deze e-mails bevatten allemaal een bijlage genaamd “Document2.zip” (er zijn ook andere varianten in de omloop met oplopende nummers van 1 t/m 99). Het ZIP bestand bevat een uitvoerbaar JS (javascript) bestand welke een trojan op je computer installeert. Als je op het javascript bestand klikt lijkt het alsof er niets gebeurt maar op de achtergrond worden er door de “nemucod .JS downloader” 2 dingen gedownload:

1. LOCKY ransomware
2. Wachtwoord stealer

Allereerst worden al je wachtwoorden, inloggegevens en bankgegevens op de PC achterhaald en naar de “cracker” gestuurd. Vervolgens wordt de LOCKY ransomware geïnstalleerd. Deze zorgt ervoor dat alle bestanden op je PC encrypted worden. Je kunt zelf niet meer bij je bestanden. Deze kunnen alleen ontsleutelt worden meteen speciale sleutel welke je kunt kopen voor een bedrag tussen de 200 tot 500 euro aan bitcoins.

Probeer dit bedrag NIET te betalen!! Werk niet mee aan deze frauduleuze praktijken. Daarnaast zijn er veel verhalen bekend dat ook na betaling de bestanden niet altijd succesvol ontsleutelt kunnen worden.

Later meer over het LOCKY virus…

Hoe herken je de “Document2.zip” e-mail?

• De onderwerpregel heeft als onderwerp “Document” met vervolgens een nummer. Vaak is dit “Document2”
• De e-mail lijkt afkomstig van jezelf
• De e-mail bevat geen enkel bericht (body)
• De e-mail bevat een .ZIP bijlage, vaak met de naam “Document” met vervolgens een nummer. Meestal “Document2.zip”

Waarom kunnen deze e-mails niet gestopt worden?
Deze e-mails worden verstuurd vanuit verschillende computers met verschillende IP adressen. Dit botnet is groot en groeit / veranderd sneller dan dat IP adressen op een blacklist worden geplaatst. Daarnaast bevatten de e-mails geen tekst en een relatief generiek onderwerp. Ook het verzend mailadres is gespoofd waardoor het van jezelf lijkt af te komen. Dit zijn zaken die voor een automatische scanner niet frauduleus overkomen en deze laten de e-mail dus door.

Wat kun je zelf doen tegen deze “Document2.zip” spam?
In principe is het lastig om iets tegen deze spam te doen. Als je provider deze doorlaat dan kun je zelf een aantal zaken doen om deze “overlast” te laten stoppen.

• Investeer in spamfilter software en blokkeer bestanden met bijlage genaamd “*Document*.zip
• Investeer in een virusscanner welke je e-mail en e-mail bijlage scant op het moment dat deze ontvangen worden
• Use your common sense… verwijder gewoon e-mails waarvan je zeker weet dat deze niet voor jou bedoeld zijn!