NUEVO MAIL MALICIOSO QUE ADJUNTA FICHERO .PDF.TAR

Aparentando contener un “confirming” (confirmación de un pago) se recibe un mail conteniendo un fichero TAR (empaquetado similar a los 7ZIP) con el siguiente texto:

___________________

Date sent: Wed, 17 Jul 2018 10:05:14 +0300
From: Confirming.bbva@bbva.com
To: Notification@bbva.com
Subject: BBVA-Confirming Cesión de Créditos

Muy Sres. Nuestros:

Nos complace adjuntarles información relativa a Cesión de Créditos.

Este mensaje se envía automáticamente desde BBVA como medio informativo a través del correo electrónico facilitado.

Reciban un cordial saludo.
Banco Bilbao Vizcaya Argentaria, S.A.
Por favor, no responda a este correo ya que este es un correo automatizado sólo para notificaciones. Si tiene cualquier pregunta o sugerencia puede ponerse en contacto con nosotros en:

Teléfono: 902555511
Fax: 902555512
Email: ANTICIPOSBBVAF@BBVA.COM

Si usted es cliente de BBVA podrá operar y realizar consultas a través de www.bbvanetcash.com o www.bbvanetoffice.com . Si usted no es cliente de BBVA lo podrá realizar cómodamente a través de www.BBVAnetadvance.com .

ANEXADO: Cesión de Créditos.PDF.tar —> Conteniendo Cesión de Créditos.PDF.exe malicioso

Aviso Legal:

Este mensaje es solamente para la persona a la que va dirigido. Puede contener información confidencial o legalmente protegida. No hay renuncia a la confidencialidad o privilegio por cualquier transmisión mala/errónea. Si usted ha recibido este mensaje por error, le rogamos que borre de su sistema inmediatamente el mensaje así como todas sus copias, destruya todas las copias del mismo de su disco duro y notifique al remitente. No debe, directa o indirectamente, usar, revelar, distribuir, imprimir o copiar ninguna de las partes de este mensaje si no es usted el destinatario. Cualquier opinión expresada en este mensaje proviene del remitente, excepto cuando el mensaje establezca lo contrario y el remitente esté autorizado para establecer que dichas opiniones provienen de GrupoBBVA. Nótese que el correo electrónico vía Internet no permite asegurar ni la confidencialidad de los mensajes que se transmiten ni la correcta recepción de los mismos. En el caso de que el destinatario de este mensaje no consintiera la utilización del correo electrónico vía Internet, rogamos lo ponga en nuestro conocimiento de manera inmediata.

______________

total ofrece el siguiente informe:

Por lo que parece, se trata de un cazapasswords que tras ejecutarlo queda residente (TROJAN STEALER PSW) y que pasamos a controlar a partir del ELISTARA 39.49 de hoy

Como siempre decimos, NO SE DEBEN EJECUTAR FICHEROS NI IMAGENES NI ENLACES RECIBIDOS EN MAILS NO SOLICITADOS, y recalcamos que los ficheros pueden tener doble extensión, como en este caso .PDF.TAR o .PDF.EXE , siendo esta segunda extension no visible si no se configura el sistema para ver todas las extensiones, y resultando ser la segunda (la que no se muestra basicamente) la que se ejecuta cuando se pulsa en dichos ficheros.

Esperamos que lo indicado les sea de utilidad

saludos

ms, 17-7-2018