Spam PostNL

[SuperPietje]

Vandaag kreeg ik een mail van zogenaamd PostNL. Er stond in dat een pakket niet bezorgd was en dat ik een boete moet betalen voor elke dag dat het pakket bij PostNL ligt. De alarmbellen gingen bij mij al af op het taalgebruik en de link naar de blijkbaar gehackte wordpress site. Maar het ergste is nog dat mijn voor en achternaam in de mail staan (achternaam staat niet in mijn emailadres) en dat de datum overeenkomt met een pakketje wat ik verstuurd heb.

Ik heb ook al een mail gestuurd naar PostNL en naar de gehackte Wordpress site, en mijn wachtwoord van mijnpakket.nl even gewijzigd. Toch krijg ik de indruk dat ze gehacked zijn als ze dit soort info in de mail staat.

Er staan 2 links in de mail, ik heb er ID eruit gehaald, maar toch opassen met klikken!
http://ibrahimkoc.com/wp-content/themes/twentythirteen/showthread.php?id=
http://postnl-tracktrace.com/unsubscribe.php?id=

Nog meer tweakers deze mail gehad of gezien met persoonlijke info? Zoja dan heeft postnl wel een probleempje denk ik. Screenshot:

[ Voor 1% gewijzigd door NMe op 14-10-2014 22:43 . Reden: Links onklikbaar gemaakt. ]

[hostler]

Ik heb geen track trace spam mails gehad. Kan ook gewoon random zijn, natuurlijk. Hoeft niet direct te beteken dat postnl gehackt is.

Ik heb wel aanbiedingen voor viagra in mijn spam folder

[SuperPietje]

Ja zou random kunnen zijn, maar vind het in dit geval toch iets te toevallig. Vandaar ook mijn vraag of meerdere mensen deze mail met "toevallige" info die klopt gekregen hebben.

[RocketKoen]

Waarschijnlijk is er een site gehackt waardoor jouw email + echte naam is gelekt.
nieuws: 'Ruim miljoen Nederlandse e-mailadressen en wachtwoorden buitgemaakt' - update

Als postnl of mijnpakket was gehackt dan kwam de mail wel van hun echte email adres.

[JOHNDEFIXER]

Ik heb hem gisteren ook gekregen, ik heb ook het vermoeden dat er iets niet klopt.

[jopitan]

Nieuwe ransomware. Nieuwe variant van Cryptolocker. Als ik jullie was zou ik niet naar die website gaan

Cryptolocker is een ransomware die bestanden encrypt en tegen een betaling van 500$ via tor netwerk en bitcoin het weer wil decrypten.

[fieldspaniel]

Hallo,

Mijn vrouw heeft op de link geklikt, een zip bestand binnen gekregen

Mijn virusscanners zien niets, wat te doen ?

Hoor graag

grtz

J

[plizz]

Op mijn pakket van PostNL staat "Er zijn e-mails in omloop met de tekst "heb je niet geleverde pakket" in de titel. Deze mails zijn NIET afkomstig van MijnPakket. Verwijder deze mail zonder op de links te klikken."

[Fish]

fieldspaniel schreef op dinsdag 14 oktober 2014 @ 20:31:
Hallo,

Mijn vrouw heeft op de link geklikt, een zip bestand binnen gekregen

Mijn virusscanners zien niets, wat te doen ?

Hoor graag

grtz

J

Niet openen en weggooien

[fieldspaniel]

Het zip bestand kan ik niet vinden in de downloads ? Heb een blonde vrouw :-)

[cctl01]

fish schreef op dinsdag 14 oktober 2014 @ 20:36:
[...]

Niet openen en weggooien

En die mail en zip file ook.

[ Voor 3% gewijzigd door cctl01 op 14-10-2014 20:38 ]

[Fish]

fieldspaniel schreef op dinsdag 14 oktober 2014 @ 20:37:
Het zip bestand kan ik niet vinden in de downloads ? Heb een blonde vrouw :-)

Gauw haar laten kleuren ...

jij bent ook blond ? het is geen download .. wss staat hij nog ergen in een temp folder ergens

[fieldspaniel]

Inmiddels heb ik het bestand in chrome - downloads gevonden

track_09828390283203.zipOnbekende netwerkfout.
dc668.4shared.cxx/download/ZcBAlKQ2ce/track_09828390283203.zip?lgfp=1000

Het bestand is *.zip is rood gekleurd ?

iemand suggesties, en ja ik was ook blond

[ Voor 79% gewijzigd door fieldspaniel op 14-10-2014 20:59 ]

[fieldspaniel]

Niet op de link klikken graag

[Fish]

fieldspaniel schreef op dinsdag 14 oktober 2014 @ 20:52:
Niet op de link klikken graag

Druk op wijzig en maak die link eens snel niet klikbaar ...
dank je

[ Voor 4% gewijzigd door Fish op 14-10-2014 21:08 ]

[soulrider]

de zip naar virustotal gegooid:
https://www.virustotal.co...fb58/analysis/1413313113/

Detectieverhouding: 9 / 54
(daar zal door de upload wellicht snel verandering in komen want als ik me niet vergis deelt virustotal de bestanden met de anti-virus-ontwikkelaars...)

code:

Virusscanner    Resultaat   Versie
AVG Dropper.Generic9.YDL    20141014
Baidu-International Trojan.Win32.Teerac.cA  20141014
ByteHero    Trojan.Malware.Obscu.Gen.006    20141014
ESET-NOD32  a variant of Generik.MKYACUZ    20141014
Malwarebytes    Trojan.Zbot.CXgen   20141014
McAfee  Artemis!5F2257CB7F25    20141014
Microsoft   Ransom:Win32/Teerac.A   20141014
TrendMicro  HB_Ispi 20141014
TrendMicro-HouseCall    HB_Ispi 20141014

de rest herkent hem niet

(ps: heb de zip naar ginder gegooid, niet de uitgepakte exe)

dus ja: mailtje negeren, gedownloade zip ev. shift+delete
als je de exe hebt uitgepakt en hebt gedraaid: niet herstarten en hopen dat je nog kunt backuppen voordat je niet meer aan je data kunt...

[ Voor 86% gewijzigd door soulrider op 14-10-2014 21:06 ]

[Room42]

• Dat Nederlands
• http://ibrahimkoc.com....???
• Goh, een Russische Registrar... Seems legit, no?

https://who.is/whois/postnl-tracktrace.com


^{En heb jij zelf die E.F.A. Project draaien?}

Kom op! Dit moet echt basiskennis zijn.

edit:

Ik realiseer me nu dat de TS verbaasd is over het feit dat zijn naam in de mail staat. Dat kan echter inderdaad makkelijk als je je naam in je mailadres hebt staan, of deze combinatie elders opgegeven hebt. Ik krijg ook altijd netjes mijn voornaam in de spam, maar die gebruik ik dan ook voor mijn domein.

[ Voor 61% gewijzigd door Room42 op 14-10-2014 21:15 ]

[soulrider]

dat niet alleen: ik denk niet dat PostNL een rekening stuurt als ze een postpakket moeten bijhouden...
ze sturen het gewoon terug naar verzender...

maw: mooie poging tot social engineering om mensen wat schrik aan te jagen zodat ze toch maar die zip open doen en de exe runnen ...

[ Voor 31% gewijzigd door soulrider op 14-10-2014 21:13 ]

[TommieW]

Toevallig. Mijn moeder heeft op haar werk e-mailadres precies zo'n zelfde mail gehad. Zij heeft ook de link aangeklikt, maar zij kwam op een webpagina waar ze een captcha moest invoeren. Daarna kreeg ze de melding dat de website geblokkeerd was. Lijkt dus op een goed werkende anti-virus.

[WPN]

De eerste klibare URLs in de mails wisselen van locatie. Heb er drie voor ogen en alle drie naar een andere url.... de tweede url is wel ongeveer hetzelfde.

[LordSinclair]

Op mijnpakket van PostNL word je er ook al voor gewaarschuwd.

Er zijn e-mails in omloop met de tekst "heb je niet geleverde pakket" in de titel. Deze mails zijn NIET afkomstig van MijnPakket. Verwijder deze mail zonder op de links te klikken.

[ Voor 62% gewijzigd door LordSinclair op 15-10-2014 11:28 ]

[TeQ99]

Ik heb het virus in een test omgeving laten lopen.

Hij renamed al je documenten (doc,xls,txt,csv,xml etc.) naar de extensie encrypted en zet overal een html file bij met unlock instructies en alleen betalen met bitcoins ruim 440 euro.
In de blockchain kan je zien dat er daadwerkelijk betaald is door mensen. Het bitcoin adress is 1K3Z8tEDyo5FHtsGmxTZ4tbeuJdMMjEE72

Meer info komt later. ik ben nog e.a. aan het testen in mijn virtual omgeving.


Update: Ik heb de decrypt software die de mensen krijgen als ze betalen.. Of die veilig weet ik niet. Iemand nog goed in asm? Ik ben een beetje roestig.

[ Voor 14% gewijzigd door TeQ99 op 15-10-2014 16:58 ]

[Verwijderd]

Ik ben dus één van die "blondjes", waarbij de infectie door Cryptolocker geslaagd is. Als TeQ99 of iemand anders een oplossing heeft hoor ik dat graag!
PS: ik dacht dat het voldoende was om je bestanden dubbel op te slaan. Maar naar nu blijkt zijn zowel mijn werkbestanden als mijn back up's versleuteld. Leerpunt: houd je back up onafhankelijk van je PC!

[ZiSE]

TeQ99 schreef op woensdag 15 oktober 2014 @ 14:27:
Update: Ik heb de decrypt software die de mensen krijgen als ze betalen.. Of die veilig weet ik niet. Iemand nog goed in asm? Ik ben een beetje roestig.

Wil je die delen?

[KillerAce_NL]

Verwijderd schreef op woensdag 15 oktober 2014 @ 18:17:
Ik ben dus één van die "blondjes", waarbij de infectie door Cryptolocker geslaagd is. Als TeQ99 of iemand anders een oplossing heeft hoor ik dat graag!
PS: ik dacht dat het voldoende was om je bestanden dubbel op te slaan. Maar naar nu blijkt zijn zowel mijn werkbestanden als mijn back up's versleuteld. Leerpunt: houd je back up onafhankelijk van je PC!

Nu ben je de lul, betalen of data kwijt....

[bulletrene]

Vandaag dit virus gezien bij een zakelijke klant van het bedrijf waar ik werk!
Betalen zou blijkbaar werken, maar dit wil je natuurlijk niet...

Het is een enorm lastig virus.. ivm de encryptie van alle bestanden.
Ook netwerkschijven worden versleuteld als je deze op je systeem hebt staan, let hier goed mee op!

De enige manier om je bestanden terug te halen is via een back-up.
Het virus zelf kan verwijderd worden met Spyhunter of Malware-bytes.

Voor diegene die automatisch overal op klikken als er een bekend bedrijf bij staat(Postnl in dit geval)... houd je muis op de link en dan zie je dat het niet pluis is..

[gerardbrom]

Ook hier dezelfde shit. Vele bestanden ge-encrypted. Blijkt dat zowel laatste versie Sophos als andere firewalls etc van upcmail, google deze mail doorlaten. Hou me aanbevolen voor decryptie van de encripted bestanden...

[TeQ99]

Gerard ik heb je een bericht gestuurd.

[ericjanvanputten]

hier ook het probleem - iemand die kan helpen?

[TeQ99]

ericjanvanputten schreef op woensdag 15 oktober 2014 @ 20:25:
hier ook het probleem - iemand die kan helpen?

Let wel op eigen risico.

De betaalpagina die ik had had het volgende bitcoin adres 1FgH5WYY9xpERmLQjc9ZigyCArQTL4ECk5

Ik heb hem getest op een aparte machine. Daar heb ik alle encrypted files heen gekopieerd inclusief directory structuur. En de bestanden waren gedecrypt.

Ik weet niet wat hij achterlaat in de machine dus daarom heb ik dit op een aparte virtual machine gedaan en de gedecrypt bestanden terug gekopieerd en de Vm gewist.

De link voor het bestand. Decryption_Software

Succes

[ericjanvanputten]

bedankt alvast - hier begint hij te stampen

[Rossi]

nieuws: Fox-IT waarschuwt voor verspreiding Torrentlocker-malware in Nederland

Nieuwsbericht van de frontpage hierover.

[ericjanvanputten]

euh - net klaar met stampen - Werkt Niet

[ericjanvanputten]

Dit lijkt bij mij niet te werken. Maar dit heb ik direct op de machine zelf gedaan, niet via een VM. Wellicht dat ik dit morgen kan proberen.

TeQ99 schreef op woensdag 15 oktober 2014 @ 20:31:
[...]


Let wel op eigen risico.

De betaalpagina die ik had had het volgende bitcoin adres 1FgH5WYY9xpERmLQjc9ZigyCArQTL4ECk5

~

De link voor het bestand. Decryption_Software

Succes

[ Voor 11% gewijzigd door ericjanvanputten op 15-10-2014 20:53 ]

[AW_Bos]

Zal die niet specifiek per gebruiker zijn?

[TeQ99]

AW_Bos schreef op woensdag 15 oktober 2014 @ 20:55:
Zal die niet specifiek per gebruiker zijn?

Nee het is niet per persoon. Het bitcoin adress wat ik kreeg heeft een aantal betalingen gehad.
Welk adres staat er in jouw betaal pagina zou graag die link zien. Ik vermoed dat deze regelmatig verandert.

[Verwijderd]

TeQ99, het lijkt erop dat jij een mogelijke oplossing hebt voor de decryptie van geïnfecteerde bestanden. Kun je mij vertellen hoe en wat. Ik zou het dolgraag willin proberen

[ericjanvanputten]

Ik kan dit plaatje van 4 betaallinks delen

[ Voor 50% gewijzigd door ericjanvanputten op 15-10-2014 21:11 ]

[TeQ99]

@Lemon1 Kijk boven in deze thread.

@ericjanvanputten stuur mij de link aub in een DM

[ericjanvanputten]

@TeQ99 - zojuist gedaan denk ik.
maar nog steeds wel het plaatje, maar kleiner

[TeQ99]

Ja ik heb hem ik zal eens kijken. lijkt wel of ze de software hebben aangepast. of de encryptie is veranderd. Is er iemand met debug kennis die het programma kan debuggen??

[TeQ99]

Trouwens als je de url volgt staat er boven in de een mogelijkheid om een enkel bestand te unlocken. weet niet of het vaker werkt dan 1 keer.

[DukeBox]

Verwijderd schreef op woensdag 15 oktober 2014 @ 18:17:
Leerpunt: houd je back up onafhankelijk van je PC!

Dat is eigenlijk het verschil tussen backup en disaster recovery.

[hcQd]

Als het hier inderdaad om TorrentLocker gaat zou deze moeten werken, je hebt wel een goede versie van een versleuteld bestand nodig om de sleutel te bepalen.

[TeQ99]

Ik ga er eens naar kijken. wat is zo lees klopt

[TeQ99]

Ja Het werkt 100%.
Je hebt wel een bestand nodig groter dan 2 mb encrypted en niet encrypted.
Dit moet het zelfde bestand zijn. Ik kon een bestand terug halen uit de verzonden items en ht encrypte bestand stond op de schijf.

bedankt hcQd

[ericjanvanputten]

hmmm - ik heb deze gisteren volgens mij al geprobeerd, maar helaas lijkt die ook niet te werken.
de bestanden komen er onleesbaar uit. ondanks dat hij aangeeft dat de key gevonden is en dat de decrypt succesvol verlopen is.

Ik zal het straks nog een keer proberen.

---

Zojuist opnieuw de torrentunlocker gedownload en geprobreerd met meerdere bestanden op de computer in kwestie. helaas nog geen succes.
ik zal zo nog eens op andere pc proberen, just in case.

---

Ook op een andere pc met de bestanden lijkt het niet te werken.... crap

[ Voor 34% gewijzigd door ericjanvanputten op 16-10-2014 10:30 ]

[gerardbrom]

Helaas... Heb het geprobeerd met een encrypted jpg-bestand van meer dan 2 Mb. TorrentUnlocker zegt dat het proces succesvol verlopen is, maar bestand blijkt toch niet te openen... Ik blijf het volgen...

Greetz Gerard

[Pos]

Zoals TeQ99 meldt, heb je het origineel EN encrypted bestand nodig. Van daaruit bepaald de decrypt software de sleutel.

Wat ik zou voorstellen bij de mensen bij wie het hele systeem en backups encrypted zijn: maak een nieuw bestand van van meer dan 2MB welke de ransomware encrypt, zet dit direct op een usb (zo heb je het origineel), sla het daarna op op je pc, voer de ransomware wederom uit (indien mogelijk) zodat het nieuwe bestand ook encrypted wordt en volg daarna de aanwijzingen van TeQ99 nogmaals.

Ik heb helaas niet de mogelijkheid een VM te bouwen hier.

[ericjanvanputten]

Pos schreef op donderdag 16 oktober 2014 @ 10:36:
Zoals TeQ99 meldt, heb je het origineel EN encrypted bestand nodig. Van daaruit bepaald de decrypt software de sleutel.

Wat ik zou voorstellen bij de mensen bij wie het hele systeem en backups encrypted zijn: maak een nieuw bestand van van meer dan 2MB welke de ransomware encrypt, zet dit direct op een usb (zo heb je het origineel), sla het daarna op op je pc, voer de ransomware wederom uit (indien mogelijk) zodat het nieuwe bestand ook encrypted wordt en volg daarna de aanwijzingen van TeQ99 nogmaals.

Ik heb helaas niet de mogelijkheid een VM te bouwen hier.

Echter is dit geen garantie dat het werkt, hier ook meerdere non-encrypted en encrypted files geprobeerd. Maar helaas een no-go. Lijkt te werken, tot je het decrypte bestand wilt zien. dan krijg je een melding dat welk programma dan ook er niets mee kan. - helaas

[gerardbrom]

Het virus rukt op...

http://www.nu.nl/internet...rack-en-trace-e-mail.html
nieuws: Fox-IT waarschuwt voor verspreiding Torrentlocker-malware in Nederland

Hopelijk vindt Fox-IT of wie dan ook de juiste key. To be continued

[TeQ99]

Ik volg de bitcoin adressen op de blockchain.

Dit is 1 van de adressen die ik aantrof in een randsome note.
https://blockchain.info/address/1K3Z8tEDyo5FHtsGmxTZ4tbeuJdMMjEE72

Totaal ontvangen € 8,494.38

Die stuurt het dan weer door naar
https://blockchain.info/n...whVD9cWR59jfeinLMzag2GZ43

Totaal ontvangen € 33,638,232.14 Sinds maart dit jaar.
Eindsaldo € 41,209.47

En vanuit daar gaat het weer naar allemaal verschillende bitcoin adressen.

[Kuusj]

TeQ99 schreef op donderdag 16 oktober 2014 @ 16:57:
Ik volg de bitcoin adressen op de blockchain.

Dit is 1 van de adressen die ik aantrof in een randsome note.
https://blockchain.info/address/1K3Z8tEDyo5FHtsGmxTZ4tbeuJdMMjEE72

Totaal ontvangen € 8,494.38

Die stuurt het dan weer door naar
https://blockchain.info/n...whVD9cWR59jfeinLMzag2GZ43

Totaal ontvangen € 33,638,232.14 Sinds maart dit jaar.
Eindsaldo € 41,209.47

En vanuit daar gaat het weer naar allemaal verschillende bitcoin adressen.

Jezus Christus, 43,043,380.03

Die mensen, wie het ook mogen zijn, lachen zich op dit moment kapot.

[Quad]

Hier heb ik ook een PC staan die besmet is door TorrentLocker, de mensen waarvan die is hebben inderdaad een mail ontvangen en geopend, straks maar even vertellen wat er aan de hand is. De kans op herstel is minimaal.

[Verwijderd]

Echt een rot virus, zo krijgen mensen wel een hekel aan pc's

Hoop dat ze de dader vinden ( vast niet, hoor bijna nooit dat de dader word opgepakt van zo iets ) Misschien als ze het betalingsverkeer volgen of ip adres en kunnen terug volgen naar de bron.
Ik hoop dat spam filters en virusscanners snel update's hiervoor uitbrengen, zodat er minder snel mensen geïnfecteerd raken. Ik neem aan dat dit niet alleen in Nederland is ?

[soulrider]

ach ze moeten enkel een hekel krijgen aan zichzelf, dat ze te goedgelovig waren om erin te trappen...
Maar daarom ook de uitspraak van social engineers:
"mensen zijn (en blijven) de zwakste schakel in (online) beveiliging."

en waarom een worm of zelfverspreidend virus maken ofzo als je ze gewoon een mailtje kunt sturen en ze het zelf kunt laten uitvoeren en installeren ?
minder moeite nodig, meer impact... want zij die zo dom waren dat uit te voeren, gaan vaak ook minder rap aan de bel hangen dat er problemen met hun pc zijn...

[Quad]

Inmiddels de decryptlocker uitgeprobeerd, maar helpt spijtig genoeg niet.

[Joen]

Ik heb gelukkig nog geen klachten vanuit mijn familie- en vriendenkringen gehoord en zelf ben ik wel alert genoeg op dit soort mails om er niet in te tuinen.

Als ik het zo lees is het wel een nasty virus dus om er van af te komen...
Ik heb maar even een openbare waarschuwing op mijn Facebook pagina gezet met linkjes naar o.a. het nieuwsartikel en dit topic om de mensen in mijn kringen die wat minder ICT kennis hebben te waarschuwen.
Hij staat openbaar en voel vrij om hem te delen: https://www.facebook.com/joennuh/posts/649820871781932

[Verwijderd]

Wij hebben uiteindelijk maar de beslissing genomen om te betalen.
Heb de bitcoins overgemaakt en wonder boven wonder de link gekregen en heb alles kunnen decrypten.

Het werkte in eerste instantie niet dus we hebben zelfs nog contact opgenomen met onze vriendelijke afpersers en een mail teruggekregen, daarna kon ik het programma downloaden en alles decrypten.

500 euro lichter maar wel erg blij dat we alles weer terughebben.

[gerardbrom]

Hi Goeij

Ik ben eigenlijk wel benieuwd in hoeverre jouw link ook voor ons van toepassing kan zijn. Heb zelf ook al een Cryptolocker Decrypter gekregen en uitgeprobeerd. Inderdaad met dezelfde screenshots, maar na de herstart waren onze bestanden nog steeds decrypted.
Zou je mij een bericht kunnen sturen met de link? Mocht het werken dan maak ik me hier intern sterk om de helft mee te betalen. Gedeelte smart is halve smart zullen we maar zeggen... Ik hoor van je!

Greetz Gerard

[Firehawk86]

Ik weet niet of dat gaat werken, zal niet iedere pc met een identieke sleutel zijn encrypt.

[Verwijderd]

gerardbrom schreef op vrijdag 17 oktober 2014 @ 10:23:
Hi Goeij

Ik ben eigenlijk wel benieuwd in hoeverre jouw link ook voor ons van toepassing kan zijn. Heb zelf ook al een Cryptolocker Decrypter gekregen en uitgeprobeerd. Inderdaad met dezelfde screenshots, maar na de herstart waren onze bestanden nog steeds decrypted.
Zou je mij een bericht kunnen sturen met de link? Mocht het werken dan maak ik me hier intern sterk om de helft mee te betalen. Gedeelte smart is halve smart zullen we maar zeggen... Ik hoor van je!

Greetz Gerard

Ik denk eerlijk gezegd dat het alleen werkt als je betaald hebt, volgens mij houden ze het op afstand in de gaten oid. Ik kreeg eerst de link niet, nadaty ik de vraag had gesteld via hun site kreeg ik na een poosje opeens een scherm waar ik de software kon downloaden.

let goed op: als je betaalt, hou dan heel goed je transactie in de gaten. Het is theoretisch mogelijk voor iemand anders om jouw transacie te gebruiken om te doen alsof zij betaald hebben. dus: als je betaald hebt hou het adres in de gaten via blockchain.info https://blockchain.info/a...o5FHtsGmxTZ4tbeuJdMMjEE72 en zodra je transactie 1 bevestiging heeft verifieer dan de betaling. je zou ook kunnen proberen om te kijken of het ook al werkt zonder 1 bevestiging, dat heb ik niet geprobeerd.

[Mektheb]

En daarom ben ik dus al blij dat ik alleen maar op Linux machine's werk.

Ik hou dit in de gaten voor klanten van mijzelf !

[Verwijderd]

En voor de liefhebbers:

dit zijn de gegevens van mail die ik van onze vrienden de afpersers heb gekregen:

--> Van: [e-mail] Tijd: 2014-10-16 15:43:50
--> Aan: XXXXXXX Actie: Toegestaan
--> Onderwerp: decryption Reden:
--> Size: 2775 Aflever Status: Afgeleverd
--> Bron IP: web21.pochta.ru[80.68.248.201] Aflever Detail: 250 2.6.0 [e-mail] [InternalId=10306932] Queued mail for delivery
--> ID: 1413467030-0495ae2db63c610001-Fe3pRh Delivery Time: 2014-10-16 15:43:51
--> Score: 0.7
--> Bestemmings server: xxxxxxx
--> Bekijk Bericht
--> Bekijk Bron
--> View Bayesian Data

[Joostje123]

Maar dit zijn wel slimme hackers dat ze wel zorgen dat je data niet helemaal kwijt bent. Dat je ervoor kan betalen.

Dan moet je je afvragen wat is je data waard? En heb je je data direct nodig. Want hackers zijn slim maar er zijn ook weer slimme hackers die het probleem willen oplossen alleen kost dat wat tijd.

En een vervolg les natuurlijk is je data wat waard => backuppen, nu betaal je 500 euro.
Maar een simpele backup was al veel goedkoper geweest.

[Firehawk86]

Ik heb hier ook een pc van een klant staan met dit virus, tot nu toe heeft nog niets geleid tot het decrypten van de bestanden. En natuurlijk hebben ze ook geen backup gemaakt.

[Rannasha]

Joostje123 schreef op vrijdag 17 oktober 2014 @ 10:37:
Dan moet je je afvragen wat is je data waard? En heb je je data direct nodig. Want hackers zijn slim maar er zijn ook weer slimme hackers die het probleem willen oplossen alleen kost dat wat tijd.

Je mag er bij dit soort ransomware niet per se op rekenen dat er na verloop van tijd wel een universeel werkende decryption tool komt. Als de ransomware goed in elkaar zit, dan wordt voor ieder slachtoffer een andere key gebruikt bij het versleutelen. En dan krijgt ieder slachtoffer ook een ander betaal-adres te zien, waardoor de maker van de malware mensen een persoonlijke decryption-tool kunnen sturen die alleen voor die specifieke machine werkt.

Deze ransomware lijkt wat simpeler (sowieso: een Bitcoin-adres voor betalingen dat hergebruikt wordt? Iemand heeft een basiscursusje Bitcoin-commercie nodig), maar er zijn al versies geweest die beter in elkaar zaten.

[gerardbrom]

Je hebt helemaal gelijk Joostje123. Uiteraard hebben we hier ook backups van alle servers, maar diverse pc's hadden gesharede c-schijven en ondanks Sophos antivirus heeft het virus zijn werk gedaan. En ja... binnen ons bedrijf was 1 'sukkel' die de link opende, captcha-code invoerde, zip ophaalde, uitpakte en het programma zijn werk liet doen.....

Afijn, we staan weer op scherp, gelukkig zijn onze databasebestanden niet aangetast en kunnen we gewoon verder. Maar heel veel collega's gaan erg blij worden van mij als ik kan decrypten. Zou de nodige voldoening geven zo net voor 't weekend

[Famous]

Zelf ook het mailtje binnen gekregen en via mijn telefoon hierop geklikt.
Er kwam een melding "Openen in Mijnpakket app" zoals altijd bij PostNL en hierop direct geklikt. Hier stond de melding dat je niet op dit soort mailtjes moest klikken, nou te laat dus

Gezien dit op mijn telefoon was ga ik ervan uit dat het geen kwaad kan? Na mijn weten heb ik verder ook niets gedowload (kwam ook op de HTTPS pagina van PostNL.nl uit).

[Mektheb]

Lijkt me inderdaad via je mobiel niet echt uit te maken.

[Verwijderd]

Iemand deze al geprobeerd: ?
http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/

Lijkt me sterk dat hier een algemene decrypttool voor gevonden voor gaat worden aangezien er nogal sterke encryptie gebruikt is. er was wel een site van foxit maar dat werkte voor zover ik weet via in beslag genomen encryptie-keys die verkregen waren bij een inval.

[Firehawk86]

Persoonlijk kon ik het niet proberen omdat ik geen bestand had wat niet encrypt is, maar heb ergens gelezen dat het ook niet werkt.

[Mektheb]

Heb in het verleden ook al is zo'n decrypt iets gehad, heeft er iemand toevallig al een herstel gebruikt van een paar dagen terug ?, ( lijkt me te makkelijk maar you never know )

[Firehawk86]

Ja heb systeemherstel gedaan naar de vorige maand maar werkt ook niet. Heb ook Shadow Explorer gebruikt om schaduwkopieen terug te halen. Maar dit was gebeurt op een schijf waar dat uit stond dus daar kon ik ook niets van terughalen.

[TeQ99]

Verwijderd schreef op vrijdag 17 oktober 2014 @ 10:55:
Iemand deze al geprobeerd: ?
http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/

Lijkt me sterk dat hier een algemene decrypttool voor gevonden voor gaat worden aangezien er nogal sterke encryptie gebruikt is. er was wel een site van foxit maar dat werkte voor zover ik weet via in beslag genomen encryptie-keys die verkregen waren bij een inval.

In de analyze staat ook dat de virusmaker een simpele xor encryption gebruikt. Echter zal deze encryptie aangepast zijn inmiddels. En zullen de nieuwere infecties niet meer werken met de tool.

[TeQ99]

Firehawk86 schreef op vrijdag 17 oktober 2014 @ 11:01:
Ja heb systeemherstel gedaan naar de vorige maand maar werkt ook niet. Heb ook Shadow Explorer gebruikt om schaduwkopieen terug te halen. Maar dit was gebeurt op een schijf waar dat uit stond dus daar kon ik ook niets van terughalen.

Ik las wel dat sommige mensen success hebben gehad met een undelete tool.

[Quad]

Verwijderd schreef op vrijdag 17 oktober 2014 @ 10:55:
Iemand deze al geprobeerd: ?
http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/

Lijkt me sterk dat hier een algemene decrypttool voor gevonden voor gaat worden aangezien er nogal sterke encryptie gebruikt is. er was wel een site van foxit maar dat werkte voor zover ik weet via in beslag genomen encryptie-keys die verkregen waren bij een inval.

Hier een 20 tal originele bestanden aangeleverd gekregen, geen van allen werkte.
De infectie was afgelopen maandag gebeurd.

[Rupie]

Zonet kreeg ik toevallig deze mail binnen van PostNL:

Beste R,

Het is u vast niet ontgaan. Deze week werd bekend dat er besmette e-mails uit naam van PostNL worden verstuurd. Verschillende media hebben hier aandacht aan besteed en wij hebben u op de hoogte gesteld via een bericht op de MijnPakket Homepage en op social media.

Wat is er precies gebeurd?
Cybercriminelen versturen mails die doen geloven dat een koerier een pakket niet kon afleveren. Er wordt gevraagd op een link te klikken.Wanneer u op deze link klikt, download u schadelijke software die u bedreigt en vervolgens geld vraagt.

Via deze mail adviseren wij u nogmaals om deze e-mail meteen te deleten en niet op de link te klikken.

Verdere uitleg kunt u lezen op deze pagina.

Met vriendelijke groet,

Carlos Mendes Aguiar
Directeur Commercie

[Raalterjeroen]

En klikken op de link? Haha

[ManiacsHouse]

Rupie schreef op vrijdag 17 oktober 2014 @ 21:20:
Zonet kreeg ik toevallig deze mail binnen van PostNL:

[...]

Lol je was me voor, die kreeg ik vanmiddag ook. Ze gooien het nu over een andere boeg. Wel slim om door in te spelen op de ontstane ophef. Lekker stelletje.

[gertvdijk]

Via deze mail adviseren wij u nogmaals om deze e-mail meteen te deleten en niet op de link te klikken.

Verdere uitleg kunt u lezen op deze pagina.

Ik kreeg de mail eerder op de avond en lag in een scheur. Een waarschuwing voor het niet klikken op links van mails van PostNL maar voor meer informatie moet je op een link klikken die hierop lijkt: http://subscriber.e-mark.nl/link****.html.

Eerst doen ze er al twee dagen over om tot zo'n mail te komen (blog van Fox-IT was op 15 oktober) en dan produceert een communicatieafdeling zoiets...

En dan na twee (!) klikken verder kom je pas op een pagina met uitleg die ik wat matig vind.

[ Voor 14% gewijzigd door gertvdijk op 17-10-2014 22:25 ]

[MrMonkE]

gertvdijk schreef op vrijdag 17 oktober 2014 @ 22:22:

En dan na twee (!) klikken verder kom je pas op een pagina met uitleg die ik wat matig vind.

Dat is wel laakbaar. Je zou verwachten dat ze dat al klaar hebben leggen maar waarschijnlijk wachten ze af en hopen ze dat het een storm in een glas water is. Lekker weer.

[Speedmaster]

gertvdijk schreef op vrijdag 17 oktober 2014 @ 22:22:
[...]

Ik kreeg de mail eerder op de avond en lag in een scheur. Een waarschuwing voor het niet klikken op links van mails van PostNL maar voor meer informatie moet je op een link klikken die hierop lijkt: http://subscriber.e-mark.nl/link****.html.

Eerst doen ze er al twee dagen over om tot zo'n mail te komen (blog van Fox-IT was op 15 oktober) en dan produceert een communicatieafdeling zoiets...

En dan na twee (!) klikken verder kom je pas op een pagina met uitleg die ik wat matig vind.

Puur belachelijk dat de link in hun eigen mail ook als uitermate verdacht uitziet.
Had de mail ook gehad en zo direct na het lezen en bekijken van de link (zonder aan te klikken) gelijk naar de prullenbak verwezen.

[Compizfox]

Niet zo netjes om de link niet transparant te maken inderdaad, maar andere kant: het kan zelden kwaad om slechts op een link te klikken. Zolang je maar alert blijft en zorgt dat je niet gaan inloggen op phising-sites of bestanden gaat downloaden en vervolgens uitvoeren is er niets aan de hand.
Mensen die niet weten waar ze mee bezig zijn raad ik uiteraard gewoon aan zulke mailtjes weg te gooien

Verder is het mailtje van PostNL wél in correct Nederlands geschreven, dat is ook een groot verschil

---

En voor de mensen die hun bestanden kwijt zijn: tja, niet lullig bedoeld, maar hiervoor heb je nou backups. Nu kun je je bestanden nog terugkrijgen door €500 af te tikken, maar er kunnen genoeg andere dingen gebeuren waardoor je bestanden permanent kwijt bent.

[ Voor 33% gewijzigd door Compizfox op 17-10-2014 22:59 ]

[gertvdijk]

Compizfox schreef op vrijdag 17 oktober 2014 @ 22:46:
het kan zelden kwaad om slechts op een link te klikken. Zolang je maar alert blijft en zorgt dat je niet gaan inloggen op phising-sites of bestanden gaat downloaden en vervolgens uitvoeren is er niets aan de hand.

Fout. Ken je CSRF? of XSS met session hijacking?
NIET zomaar op links klikken is het juiste advies.

[Compizfox]

Daar heb je een punt, maar het is volgens mij niet/nauwelijks mogelijk om je PC geïnfecteerd te krijgen op die manier.

Daarnaast kun je aan CSRF en XSS als gebruiker niet echt iets doen; elke willekeurige website die je bezoekt kan zo'n attack bevatten en als zo'n attack lukt is dat meer de schuld van de 'slachtoffersite' dan van jou als gebruiker.

[ Voor 3% gewijzigd door Compizfox op 17-10-2014 22:59 ]

[freedzed6]

Ziet er weer mooi uit! Is dit nou nep of moet ik even testen met linux ?!


UPDATE: Echt dus!

https://twitter.com/PostNL/status/523206687386533889

gaat naar

http://www.postnl.nl/klan...ing+voor+besmette+e-mails

[ Voor 47% gewijzigd door freedzed6 op 17-10-2014 23:27 ]

[ManiacsHouse]

Neeeeee echt serieus? Wat een losers... De linkjes in de mail lijken compleet spam. Zelfs de FB en Twitter-links zijn niet als zodanig herkenbaar.
Ennuh "Carlos Mendes Aguiar - Directeur Commercie" wasdat voor maffioso? Dat maakt de mail ook niet geloofwaardig.

[iceheart]

Yup, want met een mediterraanse naam kun je natuurlijk geen directeur commercie zijn? Wellicht even je eigen denkpatronen heroverwegen hier, ManiacsHouse...

[gertvdijk]

Compizfox schreef op vrijdag 17 oktober 2014 @ 22:57:
Daar heb je een punt, maar het is volgens mij niet/nauwelijks mogelijk om je PC geïnfecteerd te krijgen op die manier.

offtopic:
Mwa. Het Technicolor modem van UPC kan je gewoon ownen met CSRF. Als je eenmaal controle hebt over het modem in een netwerk, dan... tja.

[ManiacsHouse]

iceheart schreef op vrijdag 17 oktober 2014 @ 23:33:
Yup, want met een mediterraanse naam kun je natuurlijk geen directeur commercie zijn? Wellicht even je eigen denkpatronen heroverwegen hier, ManiacsHouse...

Dat zeg ik niet. Misschien jouw denkpatronen eens in context plaatsen waar dit topic over gaat.
De combi van die naam met 'Directeur Commercie'. Sorry hoor maar dit kwam bij mij toch over als een geweldig verzonnen nep-functie. Dit in combinatie met de rest van de mail en de onduidelijk links.

[ Voor 9% gewijzigd door ManiacsHouse op 17-10-2014 23:55 ]

[lutkeveld]

Zijn naam levert wel PostNL gerelateerde functies op......

Ben zelf wel even in de war. Kreeg eerst een mail binnen met de waarschuwing, had er zo op geklikt als ik meer zou willen weten. Niet gedaan, gelukkig, toen de tweede mail binnen kwam dacht ik even dat dat de echte spam mail was. De links gecheckt, de eerste verwijst naar een rare e-mark link, de tweede verwijst (lijkt het) gewoon naar de PostNL site. Als het goed is, is er geen zending aangeboden: heb niks besteld. Is het nodig je adres te verifieren?

Nu ik als ICT-gast al in een knoop ligt, snap ik wel dat de gemiddelde gebruiker hier zo in trapt.

[Nextron]

iceheart schreef op vrijdag 17 oktober 2014 @ 23:33:
Yup, want met een mediterraanse naam kun je natuurlijk geen directeur commercie zijn?

Hij is gelukkig geen directeur communicatie...

(...) [uitleg spammail] Wanneer u op deze link klikt (spammail / mail 1), downloadt u schadelijke software die u bedreigt en vervolgens geld vraagt.

Via deze e-mail (OK, dit bericht dus / mail 2) adviseren wij u nogmaals om deze e-mail meteen te deleten (deleten? deze mail? dus mail 2 verwijderen?) en niet op de link te klikken. (uit 'deze mail' of uit 'deze e-mail'? die je hieronder geeft?)

Verdere uitleg kunt u lezen op deze pagina. (hier mag ik niet op klikken en eigenlijk lees ik dit niet eens want de mail is al gedeletet.)

[Gamebuster]

Verwijderd schreef op vrijdag 17 oktober 2014 @ 10:14:
Wij hebben uiteindelijk maar de beslissing genomen om te betalen.
Heb de bitcoins overgemaakt en wonder boven wonder de link gekregen en heb alles kunnen decrypten.

Het werkte in eerste instantie niet dus we hebben zelfs nog contact opgenomen met onze vriendelijke afpersers en een mail teruggekregen, daarna kon ik het programma downloaden en alles decrypten.

500 euro lichter maar wel erg blij dat we alles weer terughebben.

[afbeelding]

Les van vandaag: Misdaad loont.

[ Voor 90% gewijzigd door Gamebuster op 18-10-2014 02:50 ]

[Thalaron]

Ik heb vandaag ook de mail van PostNL ontvangen... wat onhandig inderdaad om aan te geven dat je e.e.a. niet moet doen en vervolgens een Link presenteert voor verdere uitleg...

Anyways... Familie, vrienden en werk maar een bericht gestuurd... genoeg digibeten

Werk zelf alleen met OSX en Unix systemen... dus zal er denk ik weinig last van hebben maar toch!

En daarbij... pakketjes downloaden en uitpakken

[incaz]

Echt, die communicatie van postnl is compleet maf! Ik heb 'm maar gerapporteerd bij http://www.fraudehelpdesk.nl/vraag-en-meldformulier (die was afgelopen zaterdag bij Kassa.)

Wellicht dat zij de communicatiepipo's van postnl duidelijk kunnen maken dat dit ongeveer de stomst mogelijke manier is om hierover te communiceren.

[Croga]

Thalaron schreef op zaterdag 18 oktober 2014 @ 08:47:
Ik heb vandaag ook de mail van PostNL ontvangen... wat onhandig inderdaad om aan te geven dat je e.e.a. niet moet doen en vervolgens een Link presenteert voor verdere uitleg...

En nog erger: Die link gaat niet naar een PostNL website waardoor het sterk lijkt op nóg een malware bericht!
Komt nog bij dat het domein waar de mail vandaan komt geen reverse-DNS heeft.

Alles bij elkaar ziet die waarschuwingsmail van PostNL er minstens net zo dodgy uit als de originele mail.

[ Voor 18% gewijzigd door Croga op 18-10-2014 10:06 ]

[SharpY]

De Webcare van PostNL wist niets van de waarschuwingsmail die was verstuurd, dus die waren ook redelijk in paniek. Maar o-o-o wat slecht dat ze een link in die laatste mail hebben gezet.

[Joostje123]

Dt is echt schandalig, nu gaan mensen deze mail gebruiken om mensen er natuurlijk weer in te lokken.
ZUCHT
Stom bedrijf, idioten...

[Gomez12]

Croga schreef op zaterdag 18 oktober 2014 @ 10:05:
[...]

En nog erger: Die link gaat niet naar een PostNL website waardoor het sterk lijkt op nóg een malware bericht!
Komt nog bij dat het domein waar de mail vandaan komt geen reverse-DNS heeft.

Alles bij elkaar ziet die waarschuwingsmail van PostNL er minstens net zo dodgy uit als de originele mail.

"Maar e-mark is toch een vertrouwde partij dat weten al onze klanten toch wel" gaat vast wel weer de officiele reactie worden, waarna de volgende spam-run links bevat naar domeinen gelijkend op e-mark...

En zo blijven we bezig.