HOY EMPEZAMOS RECIBIENDO MAILS CON REMITENTE SPOOFING, Y ANEXADO MALICIOSO

---

Ya de entrada vemos mails con un remitente conocido, pero que mirando la IP de donde sale el mail, vemos que no concuerda con el que figura en el encabezamiento, sino que por ejemplo, en los dos primeros hemos visto que sus IP son de Vietnan y de Pakistan, a saber:





Asunto: Emailing - 10008004466

De: "Wade, Joan" <Joan.Wade@dominio destinatario>

Fecha: 19/09/2017 22:14

Para: destinatario





*** This email, and any attachments, is strictly confidential and may be legally privileged. It is intended only for the addressee. If you are not the intended recipient, any disclosure, copying, distribution or other use of this communication is strictly prohibited. If you have received this message in error, please contact the sender. Any request for disclosure of this document under the Data Protection Act 1998 or Freedom of Information Act 2000 should be referred to the sender. ***



anexado: 10008004466.7z ---> conteniendo 10008005335.vbs ---> downloader VBS que descarga e instala ransomware de la familia LOCKY (añade ykcol)





IP REAL: 113.179.87.65

Ciudad: Hai Phong, Vietnam



Informe de virustotal:

https://www.virustotal.com/es/file/2b49d91630ccf7b6605f9a19e0e6496904f7cce46a166f5fc47e7eb772ca8dc9/analysis/1505893888/









______________



y otro por ejemplo, con igual texto enviado desde Pakistan y anexando otro ZIP con otro dowenloader vbs:







IP real: 202.83.173.238

Ciudad: Islamabad, Pakistan









anexado 10008000496.7z ---> 10008004764.vbs ---> downloader vbs que descarga e instala ransomware de la familia LOCKY (añade ykcol)



informe de virustotal

https://www.virustotal.com/es/file/1361a193dbd8cd4589e398ece43fe370e454a5b1fb74b0ee435d74dc8230145b/analysis/1505893718/





Son muchos mas los que nos van enviando y los pasamos a controlar a partir del ELISTARA 37.53 de hoy, que estará disponible en nuestra web a partir del 21/9 prox





saludos



ms, 20.9.2017