[J.....0]

Witajcie! Właśnie o mało nie dałem się naciąć na najbardziej wiarygodny przekręt, z jakim się zetknąłem. Nie jestem typowym użyszkodnikiem, ostatnie wirusy złapałem za czasów BearShare i Kazaa, ale tym razem mało brakło. A wszystko przez e-mail, którego screen załączam poniżej. Wszystko wygląda naprawdę wiarygodnie. Po pierwsze - perfekcyjnie podrobiony adres. Po drugie - idzie Wielkanoc, ja, jak i zapewne wielu innych znajduje się poza miejscem zamieszkania, stąd otrzymanie awizo to rzecz naturalna. Po trzecie - Poczta Polska istotnie uruchomiła obsługę elektronicznego awizo. Wiadomość jest poprawna językowo i przekonująca.
Co wzbudziło mój niepokój? Po pierwsze - nie otwieram prawie żadnych plików w załącznikach, chyba, że znam nadawcę osobiście. (Ale przecież to poczta, patrz, nawet adres jest oryginalny. Ciekawe, od kogo ten polecony?). Po drugie - jeżeli jest jakiś załącznik, to nie otwieram, jeżeli nie ma w nagłówku mojego nazwiska. (A tam, ochrona danych osobowych...). Po trzecie - wpisałem w Google pierwszy akapit wiadomości. Jakieś randomowe wyniki, żadnych konkretów. (Widzisz? No sprawdź wreszcie numer tego poleconego). Wreszcie wpisałem niby oficjalny adres e-mail. Wyniki zaledwie CZTERY. W tym jeden, który nie ma nic wspólnego z wiadomością, którą odebrałem oraz jeden wpis na FB, który ostatecznie mnie przekonał, że to istotnie próba ataku. Jeszcze krótki research - oto czym skończyłoby się otwarcie załącznika. Ponownie jednak - tym razem wiadomość nie straszy niewiarygodnymi kosztami z kosmosu, ale jest bardzo przekonującym powiadomieniem. Cóż, przestępcy się uczą.
Skoro ja - dopiero po 15 minutach - przekonałem sam siebie, że to próba ataku, to uczulcie Waszych bliskich i znajomych, mniej zaznajomionych z komputerem, by nie otwierali takich załączników. Być może przestępcy żerują na fakcie, że tak wielu ludzi jest poza domem. Możliwe też, że miałem po prostu pecha. Tak czy inaczej - podajcie dalej. Mam nadzieję, że dla kogoś powyższe ostrzeżenie okaże się przydatne.

#bezpieczenstwo #internet #spam #wirus #informatyka #pocztapolska #hakujo #komputery

[J.....0]

Na pozór tak - to, co widać w oknie wiadomości zdaje się pochodzić z domeny poczty. Dopiero po sprawdzeniu nagłówka widać, że wiadomość pochodzi tak naprawdę z innego adresu.

[Flypho]

@JackTheDevil90:
Mam maila googlowego i zadnego tego typu maila nie dostalem ( ͡° ʖ̯ ͡°)

[Envelo]

@JackTheDevil90: Plusujemy za czujność. To jakaś plaga ( ͡° ʖ̯ ͡°)

[G.....p]

Co masz na myśli mówiąc o oryginale wiadomości i nagłówkach?

@JackTheDevil90: Jak używasz thunderbirda to chyba CTRL+U (w przeglądarce wyświetla źródło strony, tu całej wiadomości) i wrzuć to na pastebin.com i daj nam linka.
Zobaczysz wtedy skąd wyszedł e-mail, bo podrobić tak, żebyś widział, że dostałeś maila z dowolnego adresu to nie problem.

[S.....n]

@JackTheDevil90: o takich mailach było głośno już rok temu więc to nie jest żadna nowość. Wpisz sobie w Google frazę "fałszywe maile poczta polska" to dostaniesz wiele wyników. Wpisywanie maila to głupi pomysł bo każdy taki spam może być wysyłany z innego maila.

[krzychocho]

@JackTheDevil90: Niebezpiecznik już o tym pisał w zeszłym roku https://niebezpiecznik.pl/post/falszywe-maile-od-poczty-polskiej-zaszyfruja-ci-dysk/

[W.....o]

@lukasz-wisniewski: do tego musisz mieć pełnego Offica, bo LibreOffice czy OpenOffice, a nawet MS Office Starter nie obsługuje makr :)
@Flypho: google trzepie zawartość załączników całkiem nieźle, nawet pliku exe nie wyślesz

[J.....0]

@Golomp: Naszukałem się w Outlooku, ale już znalazłem. To jest jakiś sposób, ale przeciętny użytkownik raczej nie ma zdolności, by sprawdzać w ten sposób mejle. Ale rada na pewno cenna, dzięki :)
@Stragan: Problem jest taki, że wtedy wiadomości nie wyglądały tak wiarygodnie. Gdybym dostał wiadomość, że każdy dzień oczekiwania paczki to 50 zł do tyłu, to bym wiedział, że to fejk. A teraz zrobiono to tak elegancko, że naprawdę

[zasadzka01]

@JackTheDevil90: u mnie dzisiaj to samo. Pracuję 8 godzin dziennie na mailu, więc jestem przyzwyczajony do tego typu wiadomości, chociaż muszę przyznać, że niektóre wiadomości pod kątem treści wydają się być wiarygodne. Załącznik jednak zawsze wygląda podejrzanie. Albo jest jar, albo rar/zip, albo jakieś dziwne inne rozszerzenie (np. docm, który dzisiaj pierwszy raz zobaczyłem). Akurat dzisiaj oczekiwałem na paczkę z PP (która faktycznie dotarła, jak mnie nie było w domu), więc

[sukubus88]

@Wladyslaw_Jagiello @JackTheDevil90: Dałem się na to niestety nabrać. Ale nie mam worda czy też open office. Próbowałem przez jakies konvertery online to wyskoczyło to co poniżej. Antywirus nic nie wykrył po dokładnym skanowaniu systemu. Mam się jednak obawiać?

[J.....0]

@sukubus88: Nie jestem specjalistą, ale @Wladyslaw_Jagiello pisze coś o tym wyżej i może on odpowie na to pytanie :)

[Taco_Polaco]

@JackTheDevil90: Mnie zastanowilo by jedno... skad do wuja pana poczta polska miala by miec moj adres mailowy?

[g.....h]

@sukubus88:
@JackTheDevil90: Ogólnie ujmując, jest to spakowany ZIP, więc PPM i "rozpakuj" (lub zmień nazwę na zip)
tam jest plik word/embeddings/oleObject1.bin i stawiam, że to jest aplikacja którą mamy uruchomić... jest to plik wykonywalny, więc trzeba by go debuggować.
Drugi plik jest w katalogu: word/vbaProject.bin - wywoływany za pomocą makra również:
``

W pliku word/document.xml jest cała zawartość i wywołania...
Niestety na Ubuntu nie chciał zadziałać :(

[J.....0]

@Taco_Polaco: Piszę już o tym wyżej. W regulaminie niektórych usług (np. Paczka 24) stoi: "Po każdej nieudanej próbie doręczenia przesyłki, osoba doręczająca pozostawia odbiorcy zawiadomienie o podjętej próbie doręczenia albo zawiadomienie przekazywane jest w formie elektronicznej". Wystarczy, że ktoś poda Twój e-mail jako adresata. Źródło

[Wypok_spoko]

@grzemach: bezpiecznie (dla hosta) będzie odpalić to na wirtualnej maszynie?

[g.....h]

@Wypok_spoko: myślę że tak. tylko odprawiane dyski, brak samby itd.

[gosvami]

@sukubus88: @JackTheDevil90: ja to otworzyłem i nic się nie stało.

EDIT: Dobra już wiem czemu.

[dridex]

@JackTheDevil90: .DOCM, to rozszerzenie pliku dokumentu Microsoft Word z dodatkiem makr. 100% że makro zawarte w dokumencie jest złośliwe.
W dokumencie nie ma NIC, oprócz OBRAZKA że niby trzeba włączyć makro. Po włączeniu makr, syf instaluje się do %appdata% albo %temp%, a i tak w dokumencie nadal będzie to samo "włącz makra".
Stara metoda, jednak obfuskacja kodu VB pozwala na uniknięcie detekcji antywirusów.

[J.....0]

@renalum: O, dzięki! Cholera, chyba jeszcze Google dobrze nie zindeksowało, bo przy frazach, które podałem, ta strona w ogóle nie wyskakuje. Ale dobrze, że poczta wie, o co cho. Teraz żeby tylko użytkownicy wiedzieli.