NUEVO MAIL MALICIOSO QUE ADJUNTA FICHERO .PDF.TAR

---

Aparentando contener un "confirming" (confirmación de un pago) se recibe un mail conteniendo un fichero TAR (empaquetado similar a los 7ZIP) con el siguiente texto:





___________________







Date sent: Wed, 17 Jul 2018 10:05:14 +0300

From: Confirming.bbva@bbva.com

To: Notification@bbva.com

Subject: BBVA-Confirming Cesión de Créditos







Muy Sres. Nuestros:



Nos complace adjuntarles información relativa a Cesión de Créditos.



Este mensaje se envía automáticamente desde BBVA como medio informativo a través del correo electrónico facilitado.



Reciban un cordial saludo.

Banco Bilbao Vizcaya Argentaria, S.A.

Por favor, no responda a este correo ya que este es un correo automatizado sólo para notificaciones. Si tiene cualquier pregunta o sugerencia puede ponerse en contacto con nosotros en:



Teléfono: 902555511

Fax: 902555512

Email: ANTICIPOSBBVAF@BBVA.COM





Si usted es cliente de BBVA podrá operar y realizar consultas a través de http://www.bbvanetcash.com .



ANEXADO: Cesión de Créditos.PDF.tar ---> Conteniendo Cesión de Créditos.PDF.exe malicioso



Aviso Legal:



Este mensaje es solamente para la persona a la que va dirigido. Puede contener información confidencial o legalmente protegida. No hay renuncia a la confidencialidad o privilegio por cualquier transmisión mala/errónea. Si usted ha recibido este mensaje por error, le rogamos que borre de su sistema inmediatamente el mensaje así como todas sus copias, destruya todas las copias del mismo de su disco duro y notifique al remitente. No debe, directa o indirectamente, usar, revelar, distribuir, imprimir o copiar ninguna de las partes de este mensaje si no es usted el destinatario. Cualquier opinión expresada en este mensaje proviene del remitente, excepto cuando el mensaje establezca lo contrario y el remitente esté autorizado para establecer que dichas opiniones provienen de GrupoBBVA. Nótese que el correo electrónico vía Internet no permite asegurar ni la confidencialidad de los mensajes que se transmiten ni la correcta recepción de los mismos. En el caso de que el destinatario de este mensaje no consintiera la utilización del correo electrónico vía Internet, rogamos lo ponga en nuestro conocimiento de manera inmediata.



______________





El preanalisis de virustotal ofrece el siguiente informe:

https://www.virustotal.com/es/file/ad6bef98e8fc7a0032c663f334e9ce2865cb9148cd3b4ce613d084287f3531e5/analysis/1531821364/





Por lo que parece, se trata de un cazapasswords que tras ejecutarlo queda residente (TROJAN STEALER PSW) y que pasamos a controlar a partir del ELISTARA 39.49 de hoy



Como siempre decimos, NO SE DEBEN EJECUTAR FICHEROS NI IMAGENES NI ENLACES RECIBIDOS EN MAILS NO SOLICITADOS, y recalcamos que los ficheros pueden tener doble extensión, como en este caso .PDF.TAR o .PDF.EXE , siendo esta segunda extension no visible si no se configura el sistema para ver todas las extensiones, y resultando ser la segunda (la que no se muestra basicamente) la que se ejecuta cuando se pulsa en dichos ficheros.



Esperamos que lo indicado les sea de utilidad





saludos



ms, 17-7-2018