Sewit Taylor on liikkeellä ZIP pommin kanssa

Tässä e-mailissa ei sinänsä ole päälisin puolin mitään ihmeellistä, paitsi että en ole tilannut mitään, enkä ainakaan mitään tuon hintaista. Kirjeessä ei ole myöskään mainintaa mistään firmasta, josta olisin joskus voinut jotain tilata. Eli mitään ongelmaa minulla ei tuon rahan kanssa ole.

Tämä on tyypillinen ZIP liitepommi. Liitettä ei saa aukaista missään tapauksessa. Jos olet tilannut jotain jostain, ota suoraan yhteys asianomaiseen yritykseen.

e-mail-------------------------------------------------------------------------

Your order has been cancelled, however, we are not able to proceed with the refund of $863,31.
All the information on your case 286B is listed in the document below.

----

details_609003.zip

---- 

---------------------------------------------------------------------------------

E-mail saapuu tuntemattomastia kone IP:stä. Ilmeisesti kone on kaapattu ja sitä käytetään tällaiseen spämmäilyyn. Erittän ikävä henkilö tuon ilmeisen peitenimen takana askarteleva siis on. E-mail osoitteen domain josta hän ikäänkuin olisi s-postinsa lähettänyt kuuluu tatuointistudiolle.

TOIMITUSONGELMIA ja liitteenä ZIP-virus

Ilmeisesti samaa ZIP- pakattua virusta tai haittaohjelmaa yritetään olan takaa levittää verkossa varomattomille e-mail käyttäjille.

Voin kuvitella, että joku on erehtynyt haittaohjelman koneelleen avaamaan tällaisen pommituksen paineessa. Liitetiedostoja ei tule yleensäkään avata epäselvissä tapauksissa.

ROSKIIN tämäkin e-mail.

------------------------e-mail------------------------------------- 

Dear Customer,

Your order will be shipped shortly, we apologize for the troubles. Please, review the invoice in the attached file.

Sincerely,

Manuela Mcmahon
Account Manager

------------------------------------------------------------------- 

Jos joku ihmettelee saamaani viruspostin määrää, voin kertoa, että e-mailosoitteeni on verkossa ja poimin nämä spämmit poisfiltratuista roskaposteista (roskiksesta). ELI en siis saa oikeasti näin paljoa viruspostia mutta olen niistä syvästi kiinnostunut ja aina kun aikaa on, varoittelen muita.

VAROKAA verkkotilausmuistutuksia

Jos jokin verkosta tilamanne tuote ei ole saapunut ajoissa, ottakaa itse yhteyttä suoraan toimittajaan, ei pidä klikkailla linkkeihin, eikä missään tapauksessa tule avata liitteitä.

Tässäkin emailissa oli mukana ZIP-liite jossa oli vuorenvarmasti "pommi".
Myöskään mitään verkkokauppaa ei kirjeessä mainittu joka on jo erittäin epäilyttävää ja hälytyskelloja soittelevaa. 

-----------------------------------kirje----------------------------------------------------------------

Dear Valued Customer,

It is very unpleasant to hear about the delay with your order #DC1F4169, but be sure that our department will do its best to resolve the problem. It usually takes around 7 business days to deliver a package of this size to your region.

The local post office should contact your as soon as they will receive the parcel. Be sure that your purchase will be delivered in time and we also guarantee that you will be satisfied with our services.

Thank you for your business with our company.

Mauro Richmond
Sales Manager

-------------------------------------------------------------------------------------------------------

ANSA uteliaille ihmisille Kiinasta

Vaarallinen Johnnie Rowlandin sähköposti on peräisin Kiinasta.

Epämääräisen e-mailin liitetiedostoja ei tule aukaista missään tapauksessa. Jos ystäväsi, asiakkaasi, työtoverisi tms. luotettava henkilö on takuuvarma liitetiedoston lähettäjä (muista, että spämmerit osaavat käyttää tuttuja e-mailosoitteita eli kirjeen järkevä sisältö ratkaisee) liitteen voi avata. Muista myös, että esim. MS Wordin tiedostoissa olevat makrot voivat sisältää haittaohjelmia. ZIP pakatut tiedostot voivat sisältää haittaohjelman tai viruksen. PDF tiedoistoissa, kuvatiedostoissa ja videotiedostoissa on ollut mahdolista salakuljettaa viruksia. Siksi on turvallisinta muuttaa kaikki lähetettävät tiedostot RTF (muotoiltu mutta ei sisällä makroja) tai TXT (vain puhdas tekstidata) -muotoon turvallisuussyistä. E-mailissa olevan linkin päässä voi olla mitä vain ja linkki voi viedä muualle, kuin miltä se tekstinä näyttää.

 Tässä alla avattuna e-mailin koodi, eli pahalta näyttää. ZIP on koodattu suoraan mailin sisään. Näin se pystytään saattamaan iuseimpien turvaohjelmien läpi (ilmeisimmin, koska se pääsi minunkin laatikkooni).

Aiheesta kiinnostuneille:
---------------------------------e-mailin KOODI AVATTUNA---------------------------

Received: via tmail-2007f.2014-sau for fp6592.200; Wed, 5 Aug 2015 07:25:34 +0300 (EEST)
Received: from fe24.mail.saunalahti.fi (fe24.mail.saunalahti.fi [62.142.5.93])
    by be53.mail.saunalahti.fi (Postfix) with ESMTP id 365BD8206
    for <fp6592@be53.mail.saunalahti.fi>; Wed,  5 Aug 2015 07:25:34 +0300 (EEST)
-----------spamm-esto ei ole havainnut spämmiä----------
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on cng.neutech.fi
X-Spam-Level:
X-Spam-Status: No, score=0.0 required=2.2 tests=HEADER_FROM_DIFFERENT_DOMAINS,
    MIME_IMAGE_ONLY,MIME_NO_TEXT,RCVD_IN_DNSWL_NONE,RCVD_IN_MSPIKE_H3,
    RCVD_IN_MSPIKE_WL,RP_MATCHES_RCVD autolearn=disabled version=3.4.0
Received: (qmail 29319 invoked by uid 89); 5 Aug 2015 04:25:33 -0000
------------poistettu tarpeeton osuus-----------
Received: from p3nlsmtp17.shr.prod.phx3.secureserver.net (72.167.234.242)
  by cng.neutech.fi (envelope-from atymajor@p3nlhg591.shr.prod.phx3.secureserver.net)
     with SMTP; 5 Aug 2015 04:25:32 -0000
Received: from p3nlhg591.shr.prod.phx3.secureserver.net ([184.168.152.162])
    by p3nlsmtp17.shr.prod.phx3.secureserver.net with
    id 0sRT1r01B3WVDnc01sRTAn; Tue, 04 Aug 2015 21:25:27 -0700
Received: from p3nlhg591.shr.prod.phx3.secureserver.net (localhost [127.0.0.1])
    by p3nlhg591.shr.prod.phx3.secureserver.net (8.14.4/8.12.11) with ESMTP id t754PR3l018922
    for <hannu.kuukkanen@webcag.fi>; Tue, 4 Aug 2015 21:25:27 -0700
Received: (from atymajor@localhost)
    by p3nlhg591.shr.prod.phx3.secureserver.net (8.14.4/8.14.4/Submit) id t754PQNe018882;
    Tue, 4 Aug 2015 21:25:26 -0700
Date: Tue, 4 Aug 2015 21:25:26 -0700
Message-Id: <201508050425.t754PQNe018882@p3nlhg591.shr.prod.phx3.secureserver.net>
To: hannu.kuukkanen@webcag.fi
Subject: My passport - Johnnie Rowland
From: Johnnie Rowland <JohnnieRowland@scibest.com>
Reply-To:  (Huomatkaa, että palutusosoitetta ei ole)
Mime-Version: 1.0
Content-Type:multipart/mixed;boundary="----------143874870155C1901DC2C9B"

------------143874870155C1901DC2C9B
Content-type: text; charset="utf-8"
Content-Transfer-Encoding: 8bit

Please find attached copy of the passport for my wife and daughter as requested. please note we need to complete on the purchase in 4 weeks from the agreed date.

Best regards,

Johnnie Rowland


------------143874870155C1901DC2C9B
Content-Type: application/octet-stream;name=""
Content-Transfer-Encoding:base64
Content-Disposition: inline; filename="Johnnie Rowland.zip"
Content-Type: image/png; name="Johnnie Rowland.zip"
Content-ID: <Johnnie Rowland.zip>

KQUAAK4HAAASAAAASm9obm5pZSBSb3dsYW5kLmpzTVVrb924Ef0r
AwELS7iG7sN20Nu1gRoI8oHiS9SDlEiKomT4v3d0b5LdCwjkkGd4ZoY8cwOxME4y
lleinXrdUO5rFYzTDiQTXZcGEay75jALq+11C7O1mmbxdQFEBEKkraGaibOgywaCDlzMGvR9R71f
lQwDdy/dY1+1eHSk0vt0Tdj/7JOjjXVqHUbvc/JU1zVvOtbRxGS2GIFAF0ZSWwJKON2DKydo5tWZ
vHmgUQ6U9Hph1QPVLlSqtavptOkpJ1p490T8aBul9CitIylL2p/Cs35oPre/x5/6ZMxWuCoCJr6y
qWpZebXsDFRPla8tVZ2W0uSrUNYY3le/DnUgrY2/9oayhQ+p/uBPLIvAdxUqyqAt6Nuy2Q10YtKkqKGBKjRktBym UEsDBBQAAAAIACAzBUfE+ceh
OBsHUymg1iuX8wzTvcVKSOWD4/NL/dhVpOF8pJXXaZvQz+HJv/DP/FN7Uvn6Ij9Xn6Z/9c/q2f/u
Ep6ZooUFQuRmzyK5xf3qjmNiKB3mSK3jA3FsWpijfiaLnzmhrJak0Uxq3kIsV3BinJyeqfAU75JoCV3qMvdqoIP6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Ix3E2kyTuqqyqAt6Nuy2Q1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------------143874870155C1901DC2C9B--

HUOM. Olen sotkenut yllä olevan koodin, jotta se ei aiheuta kenellekään vahinkoa. Ehjän koodin ssat tutkimusta varten minulta. Osoitteeni on e-mailissa.

scibest.com DOMAINNIMENTARKISTUS kertoo, ettöä domain olisi kiinalainen:
City:nanjing
Registrant State/Province:Jiangsu
Registrant Postal Code:210016
Registrant Country:China

---Koko domainin tausta on hyvin epämääräinen------------------

Domain Name:scibest.com
Registry Domain ID:
Registrar WHOIS Server:whois.paycenter.com.cn
Registrar URL:http://www.xinnet.com
Updated Date:2015-01-21T02:29:43.00Z
Creation Date:2006-08-31T16:00:00.00Z
Registrar Registration Expiration Date:2016-08-31T16:00:00.00Z
Registrar:XINNET TECHNOLOGY CORPORATION
Registrar IANA ID:120
Registrar Abuse Contact Email:removed email address
Registrar Abuse Contact Phone:+86.1087128064
Domain Status:ok http
Registry Registrant ID:
Registrant Name:
Registrant Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Registrant Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Registrant City:nanjing
Registrant State/Province:Jiangsu
Registrant Postal Code:210016
Registrant Country:China
Registrant Phone:+86.025 86993869
Registrant Phone Ext:
Registrant Fax:+86.025 86993862
Registrant Fax Ext:
Registrant Email:
Registry Admin ID:
Admin Name:cheng ying
Admin Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Admin Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Admin City:nanjing
Admin State/Province:Jiangsu
Admin PostalCode:210016
Admin Country:China
Admin Phone:+86.025 52441680
Admin Phone Ext:
Admin Fax:+86.025 52441680
Admin Fax Ext:223
Admin Email:removed email address
Registry Tech ID:
Tech Name:cheng ying
Tech Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Tech Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Tech City:nanjing
Tech State/Province:Jiangsu
Tech PostalCode:210016
Tech Country:China
Tech Phone:+86.025 52441680
Tech Phone Ext:
Tech Fax:+86.025 52441680
Tech Fax Ext:223
Tech Email:removed email address
Name Server:ns17.xincache.com
Name Server:ns18.xincache.com
DNSSEC:unsigned
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/

Bank Slip ZIP liitepommi

Tämä houkuttelukirje sisältää liitteenään todennäköisen ZIP pommin.
Tuota "bank slip" *****-pdf.zip tiedostoa ei tule avata missään tapauksessa.
"recipien list not shown" teksti kertoo myös, että tämä pommikirje on lähtenyt lukuisalle määrälle muita mahdollisia uhreja. Tökerö yritys jäljitellä henkilökohtaista kirjettä.

Uusi "Adobe" sähköpostiansa

E-mailina saapui "Adoben" -nimissä sähköpostiansa. ÄLKÄÄ MISSÄÄN TAPAUKSESSA AVATKO ZIP tiedostoa, siinä on troijjalainen virus.
Kirjeessä lukee:
----------------
Hello.
Thank you for buying Adobe Captivate 6 software.
Your Adobe License key is in attached document below.
Adobe Systems Incorporated.
Liite: LicenseKey_JMK-7297_Adobe.zip (tämä on se pommi)
----------------
Lähettäjään viittaava "engenharia-software" -sivusto löytyy mutta ei ole domain eikä välitä lisenssiavaimia.
http://www.alexa.com/siteinfo/engenharia-software.com
SITÄPAITSI: en ole ostanut ohjelmaa tai tilannut tätä lisenssiavainta koskaan.
---------------
Verkosta löytyy vastaavasta tapauksesta tietoa:
http://blog.mxlab.eu/2011/11/02/email-with-adobe-license-key-attached-contains-a-trojan/
Email with Adobe license key attached contains a trojan
MX Lab, http://www.mxlab.eu, started to intercept a new trojan distribution campaign by email with the subject “Your InDesign CS4 License key”.
The email is send from the spoofed address “Adobe ” and has the following body:
Hello,
Your Adobe CS4 License key is in attached document below. We encourage you to explore its new and enhanced capabilities with these helpful tips, tutorials, and eSeminars.
Thank you for buying Adobe InDesign CS4 software.
Adobe Systems Incorporated
The attached ZIP file has the name License_key_N7853.zip and contains the 47 kB large file License_key.exe.
Please note that the from email address, the subject, content and name of the attached file can change accordingly.
The trojan is known as Troj/Bredo-LK (Sophos), W32/Yakes.F.gen!Eldorado (F-Prot), Downloader.Chepvil (Symantec).
At the time of writing, only 7 of the 43 AV engines did detect the trojan at Virus Total.