HOY EMPEZAMOS RECIBIENDO MAILS CON REMITENTE SPOOFING, Y ANEXADO MALICIOSO

Ya de entrada vemos mails con un remitente conocido, pero que mirando la IP de donde sale el mail, vemos que no concuerda con el que figura en el encabezamiento, sino que por ejemplo, en los dos primeros hemos visto que sus IP son de Vietnan y de Pakistan, a saber:

Asunto: Emailing – 10008004466

De: “Wade, Joan” <Joan.Wade@dominio destinatario>
Fecha: 19/09/2017 22:14
Para: destinatario

*** This email, and any attachments, is strictly confidential and may be legally privileged. It is intended only for the addressee. If you are not the intended recipient, any disclosure, copying, distribution or other use of this communication is strictly prohibited. If you have received this message in error, please contact the sender. Any request for disclosure of this document under the Data Protection Act 1998 or Freedom of Information Act 2000 should be referred to the sender. [disclaimer id: HCCStdDisclaimerExt] ***

anexado: 10008004466.7z —> conteniendo 10008005335.vbs —> downloader VBS que descarga e instala ransomware de la familia LOCKY (añade ykcol)

IP REAL: 113.179.87.65
Ciudad: Hai Phong, Vietnam

total

______________

y otro por ejemplo, con igual texto enviado desde Pakistan y anexando otro ZIP con otro downloader vbs:

IP real: 202.83.173.238
Ciudad: Islamabad, Pakistan

anexado 10008000496.7z —> 10008004764.vbs —> downloader vbs que descarga e instala ransomware de la familia LOCKY (añade ykcol)

total

Son muchos mas los que nos van enviando y los pasamos a controlar a partir del ELISTARA 37.53 de hoy, que estará disponible en nuestra web a partir del 21/9 prox

saludos

ms, 20.9.2017