Locky hat beim Arbeitskollegen perfide zugeschlagen: Vorsicht!

Rollensatz · 13. Mai 2016

Moin,

wollte nur kurz hier schreiben, dass Locky höchstwahrscheinlich den Server von der Drupa "gekapert" hat.

Ein Kollege hat sich zur Drupa angemeldet - sollte sich registrieren und per Email die Karten bekommen. 10 Sek. später war die Mail da, von der Drupa...nur leider war im Anhang keine Karte sondern der Locky Trojaner...

PC komplett geplättet (war zum Glück der "unwichtigste PC" im ganzen Betrieb.

Ich habe den Veranstalter kontaktiert.

Ich schätze mal, diese "Masche" kommt öfter vor und perfide wirds dann, weil man ja auch eine Mail wartet und diese dann auch wie gewohnt kommt - nur leider mit dem falschen Inhalt.

Also Obacht!

leipziger1979 · 13. Mai 2016

War es denn eine karten.pdf.exe ?

Rollensatz · 13. Mai 2016

nein, ich glaube es war eine Word Datei. Leider war ich nicht anwesend. Es öffnete sich aber definitiv Word 2010

Nemo_G · 13. Mai 2016

leipziger1979 schrieb:
... karten.pdf.exe ?

Tjaaa, dumm gelaufen, dass die Standardeinstellung "Dateinamenerweiterung bei bekannten Dateitypen unerdücken" lautet.
Ähnlich hat sich neulich ein Leser der c't ausgeweint, dass ein in der Cloud hinterlegtes Bewerbungsprofil auf eine Stellenanzeige auch solche Folgen hatte.

Gruß, Nemo

M@rsupil@mi · 13. Mai 2016

Ist doch keine exe und selbst bei einer exe kommt eine Warnmeldung.

Rollensatz schrieb:
perfide wirds dann, weil man ja auch eine Mail wartet und diese dann auch wie gewohnt kommt - nur leider mit dem falschen Inhalt.

Allerdings muss man dann auch erst noch Makros für die Datei aktivieren / zulassen (Default sind Makros deaktiviert), damit der eigentliche Schädling auf den Rechner kommt.

Rollensatz · 13. Mai 2016

Naja "ausweinen" wollte ich mich jetzt nicht. Der PC stand in 40min wieder - Sicherungskopie wird jeden Tag gemacht.

Ich wollte nur damit sagen, dass der nächste der z.B. von Mindfactory eine Antwortmail (Bestellbestätigung) oder sowas wartet, was ganz anderes bekommen kann. MF - ist jetzt nur ein Beispielname.

hrafnagaldr · 13. Mai 2016

Locky kommt meist als .docm.
Allerdings kann die Adresse natürlich auch gespooft gewesen sein.

Abgesehen davon kommen Onlinetickets eigentlich immer im PDF-Format.
Hat er die Makroabfrage blind bestätigt oder war die garnicht aktiv? Die Woche kam bei unseren Kunden aber auch ne Welle, Sophos und Avira haben die erkannt.

Rollensatz · 14. Mai 2016

Das müsste ich abklären, keine Ahnung ob es bei diesem PC schon aktiv war. Passiert ist ja nichts - außer das der Kollege 40min später Feierabend hatte

.

Avira ist auf dem PC definitiv drauf gewesen - vielleicht wurde es sogar abgeschaltet (bewusst) um die Datei runterladen zu können.

tiash · 14. Mai 2016

Wenn ich das richtig sehe, dann läuft die Ticketbestellung direkt über die Domain der Messe Düsseldorf. Kam die Mail denn von dort? Falls der Fall wirklich so stimmt und das nicht nur eine unglückliche Verkettung von Zufällen ist dann wäre wohl jede Veranstaltung dort gefährdet und das spräche sich sicherlich bald herum.

Suche

Locky hat beim Arbeitskollegen perfide zugeschlagen: Vorsicht!

Rollensatz

Admiral

leipziger1979

Rear Admiral

Rollensatz

Admiral

Nemo_G

Lieutenant

M@rsupil@mi

Vice Admiral

Rollensatz

Admiral

hrafnagaldr

Gast

Rollensatz

Admiral

tiash

Lt. Junior Grade