hamburger

(jeśli zgłaszasz przypadek phishingu, zapisz mail (przesuń go z programu pocztowego na pulpit komputera lub wybierz opcję plik/zapisz jako), a następnie załącz)

Podejrzany SMS prześlij na nr 508 700 900

Jeśli zgłoszenie dotyczy bezpieczeństwa dzieci, zgłoś je również pod http://www.dyzurnet.pl
@CERT_OPL

Kolejna kampania Agent Tesla

Agent Tesla to jedno z najpopularniejszych zagrożeń w polskim internecie. Ten trojan zdalnego dostępu dystrybuowany w załącznikach maili, podszywających się pod oryginalną korespondencję.

O Agent Tesla dość regularnie (szczegółową analizę znajdziesz w artykule z Raportu CERT Orange Polska na naszej stronie). Metoda dostarczenia Agent Tesla do ofiary jest niemal za każdym razem taka sama. Do potencjalnej ofiary trafia e-mail od firmy, z którą współpracuje, nierzadko będący kontynuacją dotychczasowej konwersacji. Skąd taki nadawca? Przestępca musiał wcześniej uzyskać dostęp do prawdziwej korespondencji.

Do wiadomości dołączony jest załącznik, zaś treść maila sugeruje konieczność jego pilnego otwarcia. W zaobserwowanej przez CERT Orange Polska próbce atakujący podszywa się pod firmę Prosperplast 1.

Według nagłówka maila faktycznym nadawcą miałby być hotel w Rumunii:

Received: from localhost (localhost.localdomain [127.0.0.1])
            by mail.cocor.ro (Postfix) with ESMTP id 3C921468BB3E;           
Mon,  7 Oct 2024 12:25:22 +0300 (EEST)X-Virus-Scanned: Debian amavisd-new at mail.cocor.ro

Received: from mail.cocor.ro ([127.0.0.1])
            by localhost (mail.cocor.ro [127.0.0.1]) (amavisd-new, port 10024)
            with ESMTP id e1bvb-q8Uu3E; Mon,  7 Oct 2024 12:25:21 +0300 (EEST)

Received: from webmail.cocor.ro (mail.cocor.ro [92.81.223.230])
            (Authenticated sender: office@cocorspahotel.ro)
            by mail.cocor.ro (Postfix) with ESMTPSA id AF218468BAB7;
            Mon,  7 Oct 2024 12:21:43 +0300 (EEST)

MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="=_79da1880954f5770bc15f4ec3feee201"
Date: Mon, 07 Oct 2024 02:21:43 -0700
From: =?UTF-8?Q?[PERSONALIA]Prosperplast_1_Sp=2E_z_?=
=?UTF-8?Q?o=2Eo=2E=29?= rezervari@cocorspahotel.ro
To: [PERSONALIA]@elektrodzwig.pl
Subject: =?UTF-8?Q?ZAM=C3=93WIENIE=20NR=2E=32=34=31=30=30=37=31=31=36=38?=
=?UTF-8?Q?=33=37=35=35?=
Organization: Prosperplast 1 Sp. z o.o.
Message-ID: c1eacb8af243ed68beb9526ba1bf9419@cocorspahotel.ro
X-Sender: rezervari@cocorspahotel.ro
User-Agent: Roundcube Webmail/0.9.2

W innych próbkach faktycznymi nadawcami były też inne rumuńskie adresy: nextprofil.ro oraz restaurant-classic.ro.

Indicators of Compromise

Załączony plik: ZAMÓWIENIE_NR.24100711683755.exe (6b63bdc24b2e1162073514f7934a4f9c)
Serwer Command&Control: fxp://ftp.rusticpensiune[.]ro.

Komunikat dotyczący plików cookies

Ta witryna używa plików cookies (małych plików tekstowych, przechowywanych na Twoim urządzeniu). Są one stosowane dla zapewnienia prawidłowego działania strony oraz do zbierania informacji o Twoich preferencjach i nawykach użytkowania witryny.

Pliki cookies niezbędne do działania strony używamy do zapewnienia podstawowych funkcji, takich jak logowanie oraz zapewnienie bezpieczeństwa witrynie. Ich wykorzystanie nie wymaga Twojej zgody.

Pliki cookies funkcyjne. Pozwalają nam zbierać informacje na temat zalogowanych sesji oraz przechowywać dane wpisane przez Ciebie w formularzach znajdujących się na stronie takich jak: czas trwania zalogowanej sesji , nazwę użytkownika.

Pozostałe kategorie wykorzystywania plików cookies, które wymagają Twojej zgody na używanie

Pliki cookies statystyczne/analityczne. Pozwalają nam zbierać anonimowe informacje o ruchu na stronie (liczba odwiedzin, źródło ruchu i czas spędzony na witrynie). Te dane pomagają nam zrozumieć, jak nasi użytkownicy korzystają z witryny i poprawiają jej działanie.

Możesz zmienić swoje preferencje dotyczące plików cookies w każdej chwili. W celu zarządzania plikami cookies lub wycofania zgody na ich używanie, prosimy skorzystać z ustawień przeglądarki internetowej.