Εάν είσαστε από αυτούς που βασίστηκαν στον e-commerce γίγαντα, γνωστό και ως Amazon, για την αγορά των χριστουγεννιάτικων δώρων, θα πρέπει να προσέξετε τα emails που θα λάβετε (ή λάβατε) από την εταιρεία. Η EdgeWave ανακάλυψε μία νέα malspam καμπάνια που στέλνει email για την επιβεβαίωση κάποια ανύπαρκτης παραγγελίας σε τυχαίους χρήστες.
Τα email φαίνονται να είναι αρκετά πειστικά, και περιλαμβάνουν ως θέμα τα “Your Amazon.com order,” “Amazon order details” και “Your order 162-2672000-0034071 has shipped.”, δηλαδή ίδια με αυτά που χρησιμοποιεί η εταιρεία.
Σύμφωνα με το BleepingComputer, όταν οι παραλήπτες ανοίγουν το email, βλέπουν ένα ακριβές αντίγραφο από το template που χρησιμοποιεί η ίδια η Amazon, αλλά χωρίς τα στοιχεία του αντικειμένου. Έτσι το πρώτο πράγμα που σκέφτεται να κάνει κανείς είναι να πατήσει στο “Order Details” για να μάθει περισσότερες πληροφορίες.
Ωστόσο οι ανυποψίαστοι χρήστες βρίσκονται σε πολύ μεγάλο κίνδυνο. Πατώντας το“Order Details”, κατεβάζουν ένα doc αρχείο με όνομα “order_details.doc”, στο οποίο για να δουν το περιεχόμενο πρέπει να πατήσουν το “Enable Content”. Οι χρήστες που θα φτάσουν σε αυτό το σημείο, δίνουν την δυνατότητα σε ένα macro να εκτελεστεί. Το Macro εκτελεί ένα powershell command το οποίο με την σειρά του κατεβάζει και εκτελεί το Emotet Banking Trojan.
Τέλος οι ερευνητές της EdgeWave παρατήρησαν ότι το Emotet Banking Trojan ξεκίνησε να εκτελείται ως “keyandsymbol.exe” παρόλο που το όνομα του Trojan είναι “mergedboost.exe”. Οι servers που διατηρούν το banking trojan (όπου και συνδέονται οι μολυσμένοι χρήστες για να το κατεβάσουν) βρίσκονται στο Houston και στο Lansing.
Είναι σημαντικό ΠΡΙΝ πατήσουμε οτιδήποτε σε ένα email το να σιγουρευτούμε για την προέλευσή του, αλλά και για το περιεχόμενο του.
