"You received your document!"

Scan from a Hewlett-Packard ScanJet

Door: Bart Blaze

Recent heb ik enkele emails ontvangen met het bericht dat mijn documenten gescand en verstuurd waren.

De onderwerpen van de verzonden emails waren onder andere (er zijn vele varianten, met verschillende nummers achteraan):

Re: Scan from a HP ScanJet #920330420

Fwd: Re: Scan from a Hewlett-Packard ScanJet 02872405

Het is een mooi opgestelde mail, alleen jammer dat ik niets gescand heb:

You received your document!

De tekst van de email:

Attached document was scanned and sent
to you using a Hewlett-Packard I-25625SL.
SENT BY : ORPHA
PAGES : 4
FILETYPE: .DOC [Word2003 File]

Klassieke social engineering truck: men laat je geloven dat er een Microsoft Word document is bijgevoegd. Wanneer we het ZIP-archief openen welke daadwerkelijk is bijgevoegd, dan is duidelijk te zien dat het om een EXE-bestand gaat. Waarschijnlijk zijn ze vergeten om het icoontje te veranderen naar een Word-icoon...?

Het bestand is duidelijk een EXE bestand en geen Word bestand.

Wanneer het bestand gestart wordt probeert het een verbinding te maken met IP-adres 78.46.64.17 om eventuele instructies op te halen. Het IP-adres lijkt onderdeel te zijn van het Feodo botnet.

Mocht je het je afvragen, de mails zijn verstuurd vanuit het Cutwail spam botnet. Vanuit onder ander de volgende IP adressen:

190.43.118.189
211.221.155.211

Conclusie

Simpel; open geen emails van onbekenden en zeker niet de bijlagen ervan!

Deze blog is geschreven door @bartblaze, werkzaam als malware analist bij Panda Security Nederland, en oorspronkelijk in het Engels gepubliceerd op Blaze's Security Blog