Home  Kontakt  Impressum  Datenschutz 

Bewerbungsmail mit Schadsoftware im Anhang  vom 08.11.2018

Bewerbung per Mail verteilt Ransomware an Firmen; Update 08.11.18

© H.-J. Henschel/LKA NI

Update vom 08.11.2018 siehe unten.

Originalmeldung vom 30.08.2018:

Diese Masche ist nicht neu, aber aktuell massenhaft im Umlauf. Diverse Firmen werden derzeit mit Bewerbungen von Jobsuchenden angeschrieben. Dies ist in der heutigen Zeit nicht ungewöhnlich und genau darauf zielen die Täter ab. Mitarbeiter von Firmen, die Zugriff auf das Mailkonto haben, werden möglicherweise so auf die gefälschte Bewerbung hereinfallen und letztendlich die Schadsoftware ausführen.

Die Täter versenden die Mail mit dem Betreff (Beispiel)

"Bewerbung auf die ausgeschriebene Stelle - Nadine Bachert"

(Die Namen können von Mail zu Mail unterschiedlich sein).

Die Täter schreiben kurz einen Begrüßungstext und fügen ein Portraitfoto einer jungen Frau bei. Alles weitere sei dann in den "Bewerbungsunterlagen" (ZIP-Datei) im Anhang zu finden.

"Sehr geehrte Damen und Herren,
anbei erhalten Sie meine Bewerbung für Ihre ausgeschriebene Stelle. Warum ich die Stelle optimal ausfüllen kann und Ihrem Unternehmen durch meine Erfahrung im Vertrieb und der Kundebetreuung zahlreiche Vorteile biete, entnehmen Sie bitte meinen ausführlichen und angehängten Bewerbungsunterlagen.
Ich freue mich auf ein persönliches Vorstellungsgespräch.
Mit besten Grüßen
Nadine Bachert"

 

Wer nun die angehängte Datei entpackt und die darin enthaltene EXE-Datei ausführt, lässt der Schadsoftware freien Lauf. Die Computer werden verschlüsselt und ein Lösegeld über Bitcoin-Zahlung wird erpresst (Meldung auf dem Bildschirm siehe unten).

Die Schadsoftware, die auf Windows-Rechner ausgelegt ist, wird derzeit noch nicht von allen Antivirenprogrammen erkannt. Eine Überprüfung unter virustotal.com ergab, dass 26 von 65 verfügbaren Programmen die Gefahr aktuell erkennen. Vermehrt wird die Gefahr auch von namhaften Programmen als gefahrlost eingestuft.

Das Bild in den gefälschten Bewerbungsmails zeigt eine namentlich andere Person, als in den Mails angegeben. Das Bild stammt aus einer fremden Webseite. Hier sind andere Bilder ebenso denkbar.

Wichtig ist hier, die Schulung der Mitarbeiter in Ihrem Unternehmen. Entsprechend sollten Vorkehrungen getroffen werden, solche Mails auf gefährliche Inhalte zu prüfen. So kann bereits ein alternatives Betriebssystem die Gefahr verhindern. Ebenso möglich wäre ein sogenannten Stand-Alone-Computer, der von der übrigen IT getrennt ist, da eine Verbreitung über ein Netzwerk immer möglich sein könnte. Neben einer guten Antivirensoftware sollten auch regelmäßige Backups gemacht werden, damit im Schadensfall der Datenverlust gering bleibt.

Sollten Sie bereits den Anhang ausgeführt und somit Ihr System geschädigt haben, so raten wir dazu, die geforderte Zahlung nicht zu tätigen. Trennen Sie den betroffenen Computer sofort vom Netzwerk. Erstatten Sie umgehend Anzeige. Hilfe zum Theme Ransomware finden Sie auch Opens internal link in current windowhier.

Für Fragen zu diesem Thema können Sie sich auch an Ihre zuständige Zentrale Ansprechstelle Cybercrime (ZAC) wenden. In Niedersachsen finden Sie unsere Kollegen der ZAC Opens external link in new windowhier.

 

Beispieltext vom Monitor nach Verschlüsselung mit Ransomware:

"---= GANDCRAB V4 =---
Achtung!
Alle Ihre Dateien, Dokumente, Fotos, Datenbanken und andere wichtige Dateien wurden verschlüsselt und haben die Dateiendung: .KRAB Die einzige Methode zum Wiederherstellen Ihrer Dateien besteht darin, Ihren persönlichen privaten Schlüssel zu erwerben. Nur wir können Ihnen diesen Schlüssel geben und nur wir können Ihre Dateien wiederherstellen. Die komplette Anleitung um Ihren privaten Schlüssel zu erwerben finden Sie auf unserer Webseite welche sich im TOR-Netzwerk befindet. Bitte folgen Sie diesen Schritten um auf unsere Webseite zu gelangen:

----------------------------------------------------------------------------------------

| 0. Laden Sie den Tor-Browser herunter - www.torproject.org
| 1. Installieren Sie den Tor-Browser
| 2. Öffnen Sie den Tor-Browser
| 3. Öffnen Sie den folgenden Link im TOR-Browser: gandcrabmfe6mnef.onion/c746bae0f8f8df8c
| 4. Folgen Sie den Anweisungen auf der Seite
----------------------------------------------------------------------------------------

Auf unserer Seite finden Sie eine Anleitung zur Bezahlung und erhalten die Möglichkeit, 1 Datei kostenlos zu entschlüsseln. ACHTUNG! UM DATENSCHADEN ZU VERMEIDEN: * NEHMEN SIE KEINE ÄNDERUNGEN AN DEN VERSCHLÜSSELTEN DATEIEN VOR [...]"


UPDATE vom 08.11.2018

Heise.de gibt an, dass es erneut zu weiteren Bewerbungsschreiben mit Schadsoftware im Anhang und anderen Bewerbernamen gekommen sei. Für die Schadsoftware ist zum Teil auch eine Entschlüsselungssoftware verfügbar. Weitere Informationen finden Sie direkt bei Öffnet externen Link in neuem FensterHeise.de.