LOCKY-haittaohjelma lukitsee tiedostosi

Viestintävirasto on hiljakkoin julkaissut (17.2.2016) varoituksen LOCKY-haittaohjelmasta joka tulee e-mail liitetiedostona.
Kun liitetiedoston avaa, sen sisällä oleva makro-ohjelma tunkeutuu koneellesi ja kryptaa (salaa) tiedostosi käyttökelvottomiksi ja sen jälkeen haittaohjelman tekjiä kiristää sinulta rahaa, tiedostosi pelastamisesta. Vastaava virus (tai jopa sama) on Cryptolocker, josta mainitsin artikkelissa "Hyvää viruksetonta Uutta Vuotta 2016".

ÄLÄ KOSKAAN avaa epäilyttävää liitetiedostoa.

Linkki Viestintäviraston varoitukseen, jossa kuvaillaan viruksen toimintaa tarkemmin:
https://www.viestintavirasto.fi/kyberturvallisuus/tietoturvanyt/2016/02/ttn201602171619.html

Mikro Bitti verkossa (7.4.16) kertoo lisää aiheesta:
http://www.mikrobitti.fi/2016/04/kiristysohjelmat-ovat-yleistyneet-tassa-viisi-tapaa-suojautua-paremmin/

ANSA uteliaille ihmisille Kiinasta

Vaarallinen Johnnie Rowlandin sähköposti on peräisin Kiinasta.

Epämääräisen e-mailin liitetiedostoja ei tule aukaista missään tapauksessa. Jos ystäväsi, asiakkaasi, työtoverisi tms. luotettava henkilö on takuuvarma liitetiedoston lähettäjä (muista, että spämmerit osaavat käyttää tuttuja e-mailosoitteita eli kirjeen järkevä sisältö ratkaisee) liitteen voi avata. Muista myös, että esim. MS Wordin tiedostoissa olevat makrot voivat sisältää haittaohjelmia. ZIP pakatut tiedostot voivat sisältää haittaohjelman tai viruksen. PDF tiedoistoissa, kuvatiedostoissa ja videotiedostoissa on ollut mahdolista salakuljettaa viruksia. Siksi on turvallisinta muuttaa kaikki lähetettävät tiedostot RTF (muotoiltu mutta ei sisällä makroja) tai TXT (vain puhdas tekstidata) -muotoon turvallisuussyistä. E-mailissa olevan linkin päässä voi olla mitä vain ja linkki voi viedä muualle, kuin miltä se tekstinä näyttää.

 Tässä alla avattuna e-mailin koodi, eli pahalta näyttää. ZIP on koodattu suoraan mailin sisään. Näin se pystytään saattamaan iuseimpien turvaohjelmien läpi (ilmeisimmin, koska se pääsi minunkin laatikkooni).

Aiheesta kiinnostuneille:
---------------------------------e-mailin KOODI AVATTUNA---------------------------

Received: via tmail-2007f.2014-sau for fp6592.200; Wed, 5 Aug 2015 07:25:34 +0300 (EEST)
Received: from fe24.mail.saunalahti.fi (fe24.mail.saunalahti.fi [62.142.5.93])
    by be53.mail.saunalahti.fi (Postfix) with ESMTP id 365BD8206
    for <fp6592@be53.mail.saunalahti.fi>; Wed,  5 Aug 2015 07:25:34 +0300 (EEST)
-----------spamm-esto ei ole havainnut spämmiä----------
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on cng.neutech.fi
X-Spam-Level:
X-Spam-Status: No, score=0.0 required=2.2 tests=HEADER_FROM_DIFFERENT_DOMAINS,
    MIME_IMAGE_ONLY,MIME_NO_TEXT,RCVD_IN_DNSWL_NONE,RCVD_IN_MSPIKE_H3,
    RCVD_IN_MSPIKE_WL,RP_MATCHES_RCVD autolearn=disabled version=3.4.0
Received: (qmail 29319 invoked by uid 89); 5 Aug 2015 04:25:33 -0000
------------poistettu tarpeeton osuus-----------
Received: from p3nlsmtp17.shr.prod.phx3.secureserver.net (72.167.234.242)
  by cng.neutech.fi (envelope-from atymajor@p3nlhg591.shr.prod.phx3.secureserver.net)
     with SMTP; 5 Aug 2015 04:25:32 -0000
Received: from p3nlhg591.shr.prod.phx3.secureserver.net ([184.168.152.162])
    by p3nlsmtp17.shr.prod.phx3.secureserver.net with
    id 0sRT1r01B3WVDnc01sRTAn; Tue, 04 Aug 2015 21:25:27 -0700
Received: from p3nlhg591.shr.prod.phx3.secureserver.net (localhost [127.0.0.1])
    by p3nlhg591.shr.prod.phx3.secureserver.net (8.14.4/8.12.11) with ESMTP id t754PR3l018922
    for <hannu.kuukkanen@webcag.fi>; Tue, 4 Aug 2015 21:25:27 -0700
Received: (from atymajor@localhost)
    by p3nlhg591.shr.prod.phx3.secureserver.net (8.14.4/8.14.4/Submit) id t754PQNe018882;
    Tue, 4 Aug 2015 21:25:26 -0700
Date: Tue, 4 Aug 2015 21:25:26 -0700
Message-Id: <201508050425.t754PQNe018882@p3nlhg591.shr.prod.phx3.secureserver.net>
To: hannu.kuukkanen@webcag.fi
Subject: My passport - Johnnie Rowland
From: Johnnie Rowland <JohnnieRowland@scibest.com>
Reply-To:  (Huomatkaa, että palutusosoitetta ei ole)
Mime-Version: 1.0
Content-Type:multipart/mixed;boundary="----------143874870155C1901DC2C9B"

------------143874870155C1901DC2C9B
Content-type: text; charset="utf-8"
Content-Transfer-Encoding: 8bit

Please find attached copy of the passport for my wife and daughter as requested. please note we need to complete on the purchase in 4 weeks from the agreed date.

Best regards,

Johnnie Rowland


------------143874870155C1901DC2C9B
Content-Type: application/octet-stream;name=""
Content-Transfer-Encoding:base64
Content-Disposition: inline; filename="Johnnie Rowland.zip"
Content-Type: image/png; name="Johnnie Rowland.zip"
Content-ID: <Johnnie Rowland.zip>

KQUAAK4HAAASAAAASm9obm5pZSBSb3dsYW5kLmpzTVVrb924Ef0r
AwELS7iG7sN20Nu1gRoI8oHiS9SDlEiKomT4v3d0b5LdCwjkkGd4ZoY8cwOxME4y
lleinXrdUO5rFYzTDiQTXZcGEay75jALq+11C7O1mmbxdQFEBEKkraGaibOgywaCDlzMGvR9R71f
lQwDdy/dY1+1eHSk0vt0Tdj/7JOjjXVqHUbvc/JU1zVvOtbRxGS2GIFAF0ZSWwJKON2DKydo5tWZ
vHmgUQ6U9Hph1QPVLlSqtavptOkpJ1p490T8aBul9CitIylL2p/Cs35oPre/x5/6ZMxWuCoCJr6y
qWpZebXsDFRPla8tVZ2W0uSrUNYY3le/DnUgrY2/9oayhQ+p/uBPLIvAdxUqyqAt6Nuy2Q10YtKkqKGBKjRktBym UEsDBBQAAAAIACAzBUfE+ceh
OBsHUymg1iuX8wzTvcVKSOWD4/NL/dhVpOF8pJXXaZvQz+HJv/DP/FN7Uvn6Ij9Xn6Z/9c/q2f/u
Ep6ZooUFQuRmzyK5xf3qjmNiKB3mSK3jA3FsWpijfiaLnzmhrJak0Uxq3kIsV3BinJyeqfAU75JoCV3qMvdqoIP6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Ix3E2kyTuqqyqAt6Nuy2Q1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------------143874870155C1901DC2C9B--

HUOM. Olen sotkenut yllä olevan koodin, jotta se ei aiheuta kenellekään vahinkoa. Ehjän koodin ssat tutkimusta varten minulta. Osoitteeni on e-mailissa.

scibest.com DOMAINNIMENTARKISTUS kertoo, ettöä domain olisi kiinalainen:
City:nanjing
Registrant State/Province:Jiangsu
Registrant Postal Code:210016
Registrant Country:China

---Koko domainin tausta on hyvin epämääräinen------------------

Domain Name:scibest.com
Registry Domain ID:
Registrar WHOIS Server:whois.paycenter.com.cn
Registrar URL:http://www.xinnet.com
Updated Date:2015-01-21T02:29:43.00Z
Creation Date:2006-08-31T16:00:00.00Z
Registrar Registration Expiration Date:2016-08-31T16:00:00.00Z
Registrar:XINNET TECHNOLOGY CORPORATION
Registrar IANA ID:120
Registrar Abuse Contact Email:removed email address
Registrar Abuse Contact Phone:+86.1087128064
Domain Status:ok http
Registry Registrant ID:
Registrant Name:
Registrant Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Registrant Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Registrant City:nanjing
Registrant State/Province:Jiangsu
Registrant Postal Code:210016
Registrant Country:China
Registrant Phone:+86.025 86993869
Registrant Phone Ext:
Registrant Fax:+86.025 86993862
Registrant Fax Ext:
Registrant Email:
Registry Admin ID:
Admin Name:cheng ying
Admin Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Admin Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Admin City:nanjing
Admin State/Province:Jiangsu
Admin PostalCode:210016
Admin Country:China
Admin Phone:+86.025 52441680
Admin Phone Ext:
Admin Fax:+86.025 52441680
Admin Fax Ext:223
Admin Email:removed email address
Registry Tech ID:
Tech Name:cheng ying
Tech Organization:nanjinglicongdangtingjuekangfuyouxiangongsi
Tech Street:yuhuataiquandemen94haoyuhuakejichuangyezhongxin6lou
Tech City:nanjing
Tech State/Province:Jiangsu
Tech PostalCode:210016
Tech Country:China
Tech Phone:+86.025 52441680
Tech Phone Ext:
Tech Fax:+86.025 52441680
Tech Fax Ext:223
Tech Email:removed email address
Name Server:ns17.xincache.com
Name Server:ns18.xincache.com
DNSSEC:unsigned
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/

WORD -liiteansa "tuotteesta" jota ei ole saatu

Kun postinne mukana ilmestyy vastaavanlainen ansa, älkää missään tapauksessa avatko tuota WORD-liitetiedostoa!
WORD saattaa sisältää makro-ohjelmia jotka voivat vahingoittaa konettasi ja omia tiedostojasi. Tämä liite sisältää sellaisen erittäin suurella varmuudella.

Tyypillistä tässä ansassa on tuo ikäänkuin "väärä vastaanottaja" (jonka olen piilottanut palkin alle yksityisyyden suojan vuoksi). Maili on ikäänkuin tullut minulle virheellisesti lähetettynä. Se on yksi tapa levittää viruksia. Pahaa aavistamaton henkilö saattaa lähettää mailin eteenpäin.

Ansa on myös vastaanottajan uteliaisuuden herättäminen "epämääräisyyksillä".

Toinen vakava varoitus lukee liitetiedoston nimessä "scanned" eli ikäänkuin liite olisi virustarkistettu.
Se on hämäystä.

SIIS ROSKIKSEEN tällaiset mailit!

LIITEANSA canadapost.ca nimellä. ÄLÄ avaa liitetiedostoa!

Vastaavia postipakettiansoja on tässäkin blogissa aikaisempia mutta tämä on hieman erilainen. Liitteenä on Word DOC tiedosto joka todennäköisesti sisältää haittaohjelman (viruksen?) makro-ohjelmakoodina. Canada Post kertoo sivuillaan, että he eivät lähetä sähköpostihuomautuksia epäonnistuneista lähetyksistä vaan jättävät postilaatikkoon tai ovelle, paperilapulla tarpeellisen tiedon lähetyksestä.

Canada Post varoittaa näistä spämmeistä verkkosivuillaan:
http://www.canadapost.ca/cpo/mc/personal/support/helpcentre/others/suspicious_email.jsf?LOCALE=en

--------------------------e-mail------------------
Dear client,  

A delivery attempt was made for your parcel, today, 19th March 2015.
The delivery status has changed to "Missed", because no person was present at your postal address.
More information about this delivery can be found in the enclosed Delivery Notice Card.

Label/Tracking Number: 19286398782122
Delivery Date: March 19th, 2015 
Status: Failed 
Reason: No person at the delivery address
Delivery Notice Card: electronic copy sent ( see attachement )

The parcel can be picked up or scheduled for a new delivery, by visiting the nearest Canada Post office, with a printed copy of the Delivery Notice Card.
The shipment will be canceled and the parcel returned to the sender, if a new delivery is not scheduled within 48 hours. 


Thank you


© 2015 Canada Post Corporation
*** Do not reply, this email has been automatically generated ***

---------------------------------------------

Tuntematon e-Fax Venäjältä ei innosta avaamaan liitettä

Fax on tullut suuntanumerosta 493 = Kaliningrad, Venäjä.
Kannattaa tarkistaa aina numero mistä "e-Faxit" saapuvat. Jos lähettäjän e-Fax numero ei ole liikekumppaniesi tai tuttujesi, en kehoita avaamaan missään tapauksessa liitettä.
Voit aina lähettää olettamallesi asiakkaalle tai ystävälle erillisen kysymys e-mailin (EI tätä e-mailia forwardina) jossa voit tarkistaa, onko FAX tosiasiallisesti häneltä ja sen liite turvallinen.

Tässä e-mailissa liite on Officen .doc muotoa, joten se saattaa sisältää makro-ohjelmia jotka voivat saastuttaa koneesi haittaohjelmilla ja levitä asiakas/ystääväpiiriisi edelleen. Myös mikä tahansa  liitelinkki saattaa viedä sinut aivan muualle kuin liitteeseen, esimerkiksi palvelimelle, joka lähettää koneellesi viruksen.

Useita muitakaan tiedostomuotoja ei kannata liitteinä availla, jos lähettäjä ei ole tuttu ja varmasti liitteen lähettäjä. Näitä huijjauttuja lähettäjänmiäkin on, eli joku spämmeri tai verkkokonna on varastanut e-mailosoitteen ja käyttää sitä troijalaisena tunkeutuakseen koneellesi ystäväsi nimellä. Näitä tapauksia on tässä blokissani useita. "Odottamaton" e-mail on aina epäilyttävä.

eFax- Spämmiansasta kerrotaan myös sivulla:
http://www.spamstopshere.com/blog/anti-spam/efax-spam-email-malware-alert