HUIJAUS VEROVIRASTON NIMISSÄ

 Jälleen kerran. Ensimmäiseksi, katsokaa, mistä kirje saapuu.

Veroviraston osoite on "vero. fi" EI "vero-kysely. fi".
Verkkorikollisille henkilötietosi ovat pankkitilisi arvoiset.

Linkki vie rikollisen sivustolle, joka on todettu viruskannauksessa VAARALLISEKSI..

Kuvan alapuolella virusskannauksen tulos eriteltynä.

-----------------------------------KIRJE----------------------------------------

KIRJEEN LÄHETTÄJÄ on kierrättänyt kirjeen "amazonin" palvelimen kautta huijareiden tavan mukaan. Näin saadaan todellinen lähettäjä piiloon.

X-Original-Sender: 010c019b1574fcf8-09f02646-b5a9-4138-a02c-936b662cb9b1-000000@ap-northeast-2.amazonses. com

Received: from c177-1.smtp-out.ap-northeast-2.amazonses. com (c177-1.smtp-out.ap-northeast-2.amazonses. com [76.223.177. 1]) 

IP OSOITE ON MUSTALLA LISTALLA: On DNS Blacklist Checked 21 DNSBL listings Yes

VerohaIIinto <no-reply@vero-kysely. fi> tällaista osoitetta ei verkosta löydy

https://uutiskirje.vero. fi/a/s/213162239-054a14924eb903462a7175429c5e6ef4/6215580
Tämä linkki vie veroviraston palvelimelle, mutta osoitettua sivua ei sieltä löydy.

Tässä huijauskirjessä on kuvalinkkejä mm. Lähitapiolan sivulle (kuvat varastettu).

https://res.info.lahitapiola. fi/res/lahitap_mid_prod1/spacer.gif  ("spacer" viitannee tyhjään GIF kuvaan, jota on käytetty kirjeessä erottimena, tai laskurina. Kuvaa ei tosin löydy osoitteesta. Luultavasti kuvavarkaus on havaittu ja kuvalinkki on poistettu käytöstä)

https://vero.fi/static/img/logos/logo-vero-v2023. svg (on veroviraston sivulta varastettu logo. Linkki toimii)

https://europortparts. com on se varsinainen ansalinkki, joka on virusskannauksessa todettu VAARALLISEKSI.

URLSCAN.IO kertoo osoitteesta:

vero-fi.info-m. info

66.29.148. 134  Malicious Activity!

Submitted URL: https://europortparts. com/

Effective URL: https://vero-fi.info-m. info/update. php 

PHP pääte viittaa palvelin puolen ohjelmaan, joka saattaa tehdä mitä tahansa. Tässä tapauksessa kerää ansaan mennen henkilön henkilötiedot. Se on lähes yhtä vaarallista, kuin pankkikirjautumisen kaappaus. Nyt menetät rosvolle pankkitilitietosi ainakin.

Tämän blogin kaikki linkit on tehty vaarattomiksi, lisäämällä tyhjät välit lopputunnisteisiin.

KUVAKAAPPAUS LINKIN PÄÄSSÄ OLEVASTA PHISHING - LOMAKKEESTA
Lomake kerää myös pankkitilitietosi joten tämä on erittäin vaarallinen linkki.

Vastaavia kirjeitä saapuu myös pankkien ja eri maksuvälineiden nimissä!

VEROVIRASTO TIEDOTTAA NÄISTÄ ANSOISTA:
"Verohallinto ei koskaan pyydä henkilökohtaisia tietojasi viestillä. Jos saat tällaisen viestin, älä klikkaa linkkejä tai avaa liitteitä.

Kun hoidat veroasioitasi, muista nämä:

Tarkista veroasiasi aina OmaVerosta.Kirjaudu OmaVeroon vero. fi:n kautta.

Älä käytä hakukoneiden linkkejä, vaan kirjoita itse selaimen osoitekenttään "www.vero. fi". Tarkista, että olet kirjoittanut osoitteen oikein. Vero. fi:stä pääset turvallisesti myös OmaVeroon." Poista tyhjä väli pisteen jälkeen.

TOINEN SAMANLAINEN KIRJE SAAPUI ERI OSOITTEESTA

"VerohaIIinto" (huomaa spammisuotimien harhautus kahdella isolla II kirjaimella)

 <no-reply@vero-avustus. fi> (vero-avustus. fi ei ole veroviraston osoite)

 14.12.2025 20.50

 Tärkeä ilmoitus verohallinnolta

 Vastaanottaja  hannu.kuukkanen

(huomaa piste - nimi on poimittu sähköpostiosoitteesta, ei Verohallinon tietokannasta)

SIJOITUSANSA

Ahneus on hyvää tarttumapintaa katteettomille lupauksille.
Näissä ansaposteissa on käsitelty jo lähes kaikki muut inhimilliset riippuvaisuudet (addiktiot). Tässä mennään finanssihaiden altaalle kalaan.

Linkkiosoitteessa: https://rb. gy/vx4r50 odottelee sijoittajaa iso huti.

Falcon Sandbox virusanalyysi kertoo linkkiosoitteesta: Detected malicious domain extracted during analysis. Details EXTRACTED DOMAIN: "scanned.page" identified as malicious but was not contacted during analysis (Source: EXTRACTED_FILE_DOMAINS) 
Se, että kyseistä vaarallista sivua ei tällä kertaa tavoitettu, ei anna armoa mahdollisella seuravalla klikkauskerralla.

Rekisteröitymisesi jälkeen sinun pankkitilisi korjataan huijarin taskuun.

---------------------------------KIRJE------------------------------------

UHKAILUA ECUADORISTA

Tyypillinen pelotteluansa.
Jos vastaanottaja on sekaantunut moiseen toimintaan, niin en kanna huolta ansaan joutumisesta mutta kaikki normaalit ihmiset, älkää edes uteliaisuuttanne avatko liitteitä. Kirjeen katsominen HTML selaimessakin on vaarallista, sillä kirjeen lähdekoodi on täynnä ohjelmakoodia.

Kirje vaikuttaa saapuvan ecuadorilaisen oppilaitoksen koneelta. Kone saattaa olla kaapattu, tai osoite väärennetty tai sitten oppilailla on sairas huumorintaju.

----------------------------KIRJE------------------------------

VEND TILI JOTA MINULLA EI OLE

Kyse on HUIJAUKSESTA, jonka varjolla pyritään kaappaamaan henkilötietosi ja aiheuttamaan sinulle taloudellista vahinkoa. Mistä tunnistaa tämän kirjeen huijaukseksi?

1) ENSINNÄKIN VEND ON kiinteistövälittäjä.
"Norjan, Suomen ja Ruotsin markkinapaikkojemme kautta annamme käyttäjille ja asiakkaille mahdollisuuden tehdä älykkäämpiä valintoja asuntoa ostettaessa, myytäessä tai vuokrattaessa."
Osoite "vend. com" vie tähän kodinvälitystoimintaa harrastavan yrityksen sivuille MUTTA...

2) Minulla ei ole koskaan ollut mitään tekemistä tällaisen toimijan kanssa, joten en ole sen asiakas ja kenelläkään ei ole oikeutta käyttää luvatta sähköpostiosoitetta viestintäänsä. Osoitteeni on varastettu.

Kuvan alapuolella on lisätietoa vaarallisista linkeistä.

--------------------------------KIRJE------------------------------

FALCON TESTBED virustorjunta raportoi linkistä

Suspicious Indicators. GETs files from a webserver. Details  Host: jfngzs80.r.eu-north-1.awstrack. me. 
Contacted Hosts Amazon Data Services Sweden
The domain name awstrack. me is a URL that belongs to Amazon Web Services (AWS) and is used to track email engagement, such as clicks and opens, for emails sent via AWS's Simple Email Service (SES). 

Tästä ohjelmasta kerrotaan lisää verkkokeskusteluissa:

"What is what is awstrack.me ? - The domain name awstrack.me is a URL that belongs to Amazon Web Services (AWS) and is used to track email engagement, such as clicks and opens, for emails sent via AWS's Simple Email Service (SES)."

"Olemme koonneet vastauksia usein kysyttyihin kysymyksiin. Käy UKK-sivulla (tämä on ansalinkki)

AWS Amazon CloudFront: Amazon Web Servicesin (AWS) palvelu, joka toimittaa verkkosisältöä käyttäjille nopeammin maailmanlaajuisesti. (tätä palvelua mm. verkkorikolliset käyttävät)

Reunasijainnit: Se käyttää käyttäjien lähellä olevia datakeskuksia (reunasijainteja) vähentääkseen staattisen ja dynaamisen sisällön (HTML, kuvat, video) viivettä.

Suuret sivustot käyttävät sitä: Monet suuret verkkosivustot (kuten Twitch, CCleaner) käyttävät sitä tiedostojen tehokkaaseen toimittamiseen.

Milloin kyseessä on ongelma (haitallinen käyttö)

Mainosohjelmat/uudelleenohjaukset: Muiden latausten mukana toimitetut mainosohjelmat voivat kaapata selaimesi, aiheuttaa uudelleenohjauksia cloudfront. net-verkkotunnuksiin tai lisätä mainoksia.

Haittaohjelmien toimitus: Rikolliset käyttävät sitä reittinä haitallisten hyötykuormien toimittamiseen. (esim. virukset).

Mitä tehdä, jos näet sen usein

Etsi haittaohjelmia: Suorita perusteellinen skannaus hyvämaineisella virustorjunta-/haittaohjelmien torjuntaohjelmistolla (kuten Malwarebytes, Norton, Hitman Pro jne.) löytääksesi mukana toimitetut mainosohjelmat."

LINKISTÄ LÖYDETYT HAITALLISET OSOITTEET:

https://jfngzs80.r.eu-north-1.awstrack. me/L0/ (käsitelty ylempänä tekstissä)

https://Faccount.vend. fi/faq/1/0110019b0df93e3a-ce6b7b0f-6d66-487e-b443-456b934ae387-000000/LBNc1NgbMJKBKTCdQwkCRlGgsGE3D241 (tuota domainosoitetta ei verkosta löytynyt? Se ei kuitenkaan poista linkin vaarallisuutta)

https:&#/;&#/;d2ejn7vyb/bnr.cloudfront. net&#/;emails&#/;images&#x2F;brands-fi.png

cloudfront. net (tätä palvelinta mm. verkkorikolliset käyttävät sisältöjensä, tai niiden osien -kuvien, -appsien ... jakamiseen)

NORDEA PANKKIANSA

Pankkien nimissä saapuu suuri joukko ansapostia.
Jokaisen tarkoitus on kaapata sinun henkilötietosi ja pankkikirjeutumisesi.

Tämä kirje on helppo tunnistaa lukuisista vaaranmerkeistä mutta yhdenkään pankilta saapuvaan kirjeen linkin kautta EI SAA MENNÄ PANKIN SIVUILLE.

Tämänkin kirjeen linkki on luokiteltu VAARALLISEKSI.

-------------------------------------KIRJE------------------------------------

S-MOBIILIANSA

Nämä eri pankkien nimissä saapuvat "tietopäivitykset" tähtäävät henkilö- ja pankkitietojesi varastamiseen! Kirjeessä oleva linkki on virustorjunnan analysoimana todettu VAARALLISEKSI.

Yksikään pankki ei tänäpäivänä, laita mitään kirjautumista vaativaa linkkiä sähköposteihinsa.

KIRJEEN LINKKI: https://es.surveymonkey. com/tr/v1/te/GYwgEqO2wbnjKZpIFp1qOVkUvzwNoLxdgRT5d3JVzJ8r_ 2Fg0Bmiv3svriINh9Bzas2woKMepzKHKU6ieFqfQBZH4jkzTpHsx8_2Be3uGl9fcWcv RChb568P43YEE6Jb6AZ4M_2F3HD40TSFb_2FMzTcs6k3MWGS WzFA05qdE4dDf57EQYA_3D

SURICATAN TUOTTAMA LINKKIOSOITTEEN VIRUSANALYYSI

Detected Suricata Alert. Details: Detected alert "ET MALWARE Win32.Chroject.B Requesting ClickFraud Commands from CnC" (SID: 2020747, Rev: 12, Severity: 1) categorized as "Malware Command and Control Activity Detected" (PUA/PUP/Adware) ("malware" = haittaohjelma)

Kirjeen peiteosoitteena käytetään palvelua nimeltä "SurveyMonkey". Google kertoo osoitteesta: "Luo SurveyMonkeyn avulla kyselyitä ja lomakkeita mallien ja tekoälyn avulla..."
Tarkoittaa, että jokainen verkkorikollinen pystyy helposti rakentamaan kyselylomakkeita, joilla voidaan kaapata asiakastietoja + pankkitietoja. SurveyMonkey ei vaivaudu tarkistamaan asiakkaittensa "rehellisyyttä" mitenkään.

-------------------------------KIRJE-------------------------------

TOKMANNI ANSAVERSIO

Tämä huijjariporukka yrittää nyt tosissaan, kaikin mahdollisin houkuttelukeinoin. ÄLKÄÄ menkö halpaan! Kirjeestä kaapatun kuvan päälle olen kirjoittanut buttonin alta löytyneen osoitteen, joka on sama kuin useassa muussakin huijauskirjeessä. Huomaa, että osoite alkaa aina samalla numerosarjalla joka on tuon ansakoneen osoite.

Herää vankka epäilys siihen, että taustalla olisi venäläinen trolliarmeja ja näillä kirjeillä kerätään suomalaisia tietokoneita ja kännyjä kyberhyökkäystä varten.

Lue kuvan alta, mitä virustorjunta kertoo linkkiosoitteesta.

----------------------------------KIRJE-----------------------------------

Osoite "http://103.179.189. 44/elisa/P2Q9MTYwMSZlaT0w....mbGk9MDAmdHk9MQ=="on useampaan kertaan todettu VAARALLISEKSI. Ansa on sama, vaikka houkuttelutekstit vaihtuvat.

Virustorjunnan raportti. SURICATA RAPORTOI: (docs.suricata. io/en/latest/) Detected Suricata Alert. Details: Detected alert "ET MALWARE Win32.Chroject.B Requesting ClickFraud Commands from CnC" (SID: 2020747, Rev: 12, Severity: 1) categorized as "Malware Command and Control Activity Detected" (PUA/PUP/Adware). Source, Suricata Alerts

Lämmin kiitokseni Suricata ryhmälle verkon vartioinnista!

ANSA PELIRIIPPUVAISILLE

Näitä pelien orjuuttamille tähdättyjä roskaposteja saapuu hyvin tajaan. Tämä versio on komeasti kuvitettu ja maalailee loistavia mahdollisuuksia menettää rahansa.

Tämän kirjeen linkit vievät edellisissä haittaposteissa oleviin osoitteisiin. Osoite "http://103.179.189. 44/elisa/P2Q9MTYwMSZlaT0w....mbGk9MDAmdHk9MQ=="on useampaan kertaan todettu VAARALLISEKSI. Ansa on sama, vaikka houkuttelutekstit vaihtuvat.

Virustorjunnan raportti. SURICATA RAPORTOI: (docs.suricata. io/en/latest/) Detected Suricata Alert. Details: Detected alert "ET MALWARE Win32.Chroject.B Requesting ClickFraud Commands from CnC" (SID: 2020747, Rev: 12, Severity: 1) categorized as "Malware Command and Control Activity Detected" (PUA/PUP/Adware). Source, Suricata Alerts

----------------------------------KIRJE-------------------------------------

UUSIN McAFEE ANSA

Verkkorikolliset kaappaavat maksukirjautumisesi, jos klikkailet tämän postin linkkejä. Myös Appstore ja Google Play linkit vievät samaan ansaosoitteeseen. 

Linkkiosoitteesta löytyy vaarallinen haittaohjelma.

SURICATA RAPORTOI: (docs.suricata. io/en/latest/) Detected Suricata Alert. Details: Detected alert "ET MALWARE Win32.Chroject.B Requesting ClickFraud Commands from CnC" (SID: 2020747, Rev: 12, Severity: 1) categorized as "Malware Command and Control Activity Detected" (PUA/PUP/Adware). Source, Suricata Alerts

Kaivoin tietoa virustorjunnasta. Mikä on Suricata?

Suricata on tehokas verkon IDS-, IPS- ja verkon tietoturvan valvontajärjestelmä. Se on avoimen lähdekoodin ohjelmisto ja sen omistaa yhteisön ylläpitämä voittoa tavoittelematon säätiö, Open Information Security Foundation (OISF). Suricatan on kehittänyt OISF.

Kiitos arvokkasta työstä Suricata!

Näiden McAFEE kirjeiden kautta tulevat ohjelmat ovat nimenomaan VIRUKSIA!

Sama linkkiosoite on käytössä useammassakin erilaisessakin kirjeessä.
Osoite "http://103.179.189. 44/elisa/P2Q9MTYwMSZlaT0w....mbGk9MDAmdHk9MQ=="on useampaan kertaan todettu VAARALLISEKSI. Ansa on sama, vaikka pelottelu- ja houkuttelutekstit vaihtuvat.

-------------------------------------KIRJE-------------------------------------

PILVITALLENNUS ANSOJA LIIKKELLÄ

Onkohan niin, että näihin pilvitallennustila-ansoihin lankeaa porukka?

ÄLKÄÄ KLIKATKO LINKKEJÄ!

1) muistakaa aina katsoa ensin, mistä kirje tulee. Jos kirje puhuu Googlen palvelusta mutta kirje tulee ihan jostain muualta, kyse ei ole Googlen palvelusta. Kannattaa olla varovainen myös sellaisten linkkien klikkailussa, joissa näkyy teksti "google", jollei se ole domain-muodossa "google. com". 

2) miettikää, onko teillä tallaista pilveä edes koskaan ollut? 

3) kaikissa tapauksissa - tarkistakaa pilvi-tilanne (jos teillä sellaista on) onko tila todellakin täynnä. Jos tila on täynnä tyhjentäkää sitä omalta koneeltanne (ei linkkien kautta) tarpeettomasta datasta (kuvat, liitetiedostot, sähköpostit)  ja JOS katsotte aiheelliseksi ostaa lisää pilvipalvelutilaa, menkää pilvipalveluntarjoajan sivuille VAIN VIRALLISEN VERKKO-OSOITTEEN KAUTTA. Ei koskaan kirjeen linkeistä.
Huijauskirjeitä saapuu nyt runsain mitoin. Maksutapahtuman yhteydessä kirjautumisenne kaapataan ja tilinne tyhjennetään. 

Kuvien alapuolella kerrotan ansalinkistä lisää.

-----------------------------NÄMÄ KIRJEET OVAT HUIJAUKSIA------------------------

Tuo "pallokirjoitus" linkkiosoitteessa, kätkee alleen tutun huijausosoitteen.
Lue teksti kuvien alapuolella.

LAAJAN ANSAPOSTIKAMPANJAN ANSAOSOITE TOISTUU KIRJEESTÄ TOISEEN!

http://103.179.189. 44/elisa/P2Q9MTU5NiZlaT0wMDEmaWY9MTIzOTQmbGk9MDAmdHk9MQ==

LINKKI VIE VIETNAMIIN. Noiden kuvassa olevien "pallojen" alta paljastuu koneen todellinen IP osoite. Todellinen sylttytehdas on mitä ilmeisimmin Venäjällä.

Malicious Indicators 1. Detected Suricata Alert. Details: Detected alert "ET MALWARE Win32.Chroject.B Requesting ClickFraud Commands from CnC" (SID: 2020747, Rev: 12, Severity: 1) categorized as "Malware Command and Control Activity Detected" (PUA/PUP/Adware).
Lähde, verkon virustorjunta, Suricata Alerts

LISÄÄ VAROITUKSIA NÄISTÄ ANSOISTA 

https://vaarallinenweb.blogspot.com/2025/11/pilvipalvelu-suojaa-viruskaupasta.html

https://vaarallinenweb.blogspot.com/2025/03/icloud-kone-ip-linjan-ansa.html