Najwyraźniej zachęceni skutkami poprzednich kampanii przestępcy kontynuują swoje działania, wykorzystując wcześniej sprawdzone modele infekowania cudzych komputerów. Dzisiaj ich celem ponownie są kancelarie prawnicze.
Wstępna analiza najnowszego ataku wskazuje, że choć stylizowany jest na działanie fiat126pteam, to jego autorem jest Thomas a sam atak wykorzystuje bardzo podobne mechanizmy co niedawny atak na klientów firmy Orange.
Stara śpiewka
Fałszywa wiadomość
Treść wiadomości od przestępców:
Od: Pawłowski & Partners <[email protected]>
Data: 13 październik 2015 o 10:31
Temat: Ostateczne przedsądowe wezwanie do zapłaty wierzytelności 13/10/2015
Witaj
Na skutek niespłaconych przez Ciebie wierzytelności, nasz klient wynajął kancelarię prawną „Pawłowski & Partners” abyśmy zajęli się odzyskaniem wierzytelności na drodze prawnej.
Prosimy o niezwłoczne zapoznanie się z kopią: Ostatecznego Przedsądowego Wezwania do zapłaty z dnia 13/10/2015.
http://adwokatura-online.dokumenty.co.vu/wyswietl-zawiadomienie?=HVKp4pPL
Oryginał dokumentu na zlecenie naszego klienta został przesłany listownie przez naszą kancelarie pod Twój adres zameldowania w dniu nadania maila.
z Poważaniem
adw. Borys Pawłowski
+48 (78) 715 26 94
ul. Spyry Ludwika 3
43-196 Mikołów
Kliknięcie w link przenosi na stronę udającą rzekome mechanizmy ładowania plików Adobe
Fałszywa witryna
Strona proponuje automatyczne pobranie następującego pliku:
- Ostateczne_Przedsadowe_Wezwanie_do_Zaplaty.scr
- MD5: 6c6c970d3433ce8d3adba7266af657d2
- VirusTotal
- Hybrid Analysis
- pierwsza obserwacja 2015-10-13 10:26
- prawdopodobnie zawiera konia trojańskiego spakowanego w skrypty AutoIt
- C&C mivrosof.mooo.com
Z uwagi na wykorzystanie tego samego motywu graficznego i mechanizmu infekcji oraz części identycznej infrastruktury oraz oprogramowania uważamy, że za atakiem najprawdopodobniej stoi znany nam od lat Thomas.
Dziękujemy osobom, które wykazały odpowiednią czujność i podesłały nam próbki. Jeśli chcecie, by taką samą czujnością wykazywali się Wasi pracownicy, możecie rzucić okiem na propozycję ciekawych szkoleń.
Komentarze
Nie sądzę, żeby celem ataku miały być kancelarie (a jeśli faktycznie są to świadczy to tylko dodatkowo o słabości akcji). Język użyty w mailu jest tak nieprofesjonalny, że wzbudzi podejrzenia nawet najmarniejszego z marnych radców/adwokatów, ich aplikantów i sekretarek, a prawdopodobnie także ich psów, kotów i kanarków. Pod tym względem akcja nie umywa się do tej stworzonej przez fiat126p – w tamtej uderzało dobre rozeznanie tematu i uwiarygodnienie korespondencji.
Podany w falszywym mailu adres, to adres prywatnej posesji – co latwo sprawdzic np. w mapach google
jeszcze jedna ciekawostka – podany w falszywce adres strony, jak latwo zauwazyc, jest w domenie vu, czyli Republiki Vanuatu…
Ale mniej wprawni moga sie nabrac
A jak się ma nr.telefonu podany pod tymi fałszywkami.
Sprawdzał ktoś czy to nie jakiś numer za xx złotówek.
Też otrzymalem podonmego maila, nie mam kancelarii prawnej.
W moim mailu był adres z Łodzi, w mampach puste pole, telefon kierunkowy nie pasuje do Łodzi.
Do Mikolowa kierunek to 32. Moje okolice.
Dość mocno trzeba być nieogarniętym żeby nie zauwazyć, że na stronie jest gif hostowany w domenie: https://who.is/whois/vanschoot.pl
5v.pl powinno być globalnie zablokowane, tam nie ma nic innego oprócz spamu i oszustw internetowych
Jako młody świerzo wykształcony prawnik bez PRLowskiego bagażu. Oświadczam że nie boimy się tych ayaków. Zachęcam w ramach protestu mimo wszystko otwierać te pliki. Pokarzmy im, że nasze sprawne systemy Windows zapewniają nam bezpieczeństwo i są niezatapialne.
Pozdrawiam!
Prawo i Odwaga.
Starzy prawnicy niech lepiej zamkną się w swoich śmiesznych linuksowych dziuplach z dziwnymi komendami. Przestraszeni i bezbronni. To my jesteśmy przyszłością, pora was wygryść.
> świerzo
He he – niezły jok :)
Mimo wszystko, mimo używania linuksa, nie kliknąłem w linka
zauważywszy domenę .vu :)
Pozdrawiam świadomych użytkowników neta !
Właśnie otrzymałam identycznego maila na pocztę. Co można z tym zrobić? Niestety, kliknęłam w link z rzekomym pismem
Niekoniecznie chodzi o kancelarie. Dostałem identyczną wiadomość na fejkową skrzynkę, używaną do śmieciowych kont na różnych serwisach.
Gdzie mam tego g.. szukać, bo kliknęłam ten link? Co teraz?
Ratunku ! Niestety pobrałem załącznik. Ma rozszerzenie .scr . Co teraz zrobić ?
bez paniki to zwykły plik graficzny, aczkolwiek to może być exploit ;D
scr to nie jest plik graficzny. Ale myślę że o tym wiesz tylko wprowadzasz chaos informacyjny.
Grzegorz: Jeżeli tylko pobrałeś i nie odpalałeś to nic. Ew. pomyśl o jakimś sensownym dostawcy poczty oraz *dodatkowo* antywirusie oraz *dodatkowo* zabezpieczeniach na routerze/innych urządzeniach przed docelowym komputerem. Wszystko zależy od potrzeb, tak więc bez jakiegoś fachmana się raczej nie obejdzie.
Pytanie jak ocenić które proponowane przez fachmana rozwiązanie jest nalepsze, prawda? Cóż – ja też nie wiem jak na pierwszy rzut oka dostrzec który hydraulik/stolarz/prawnik/księgowy proponuje mi najlepsze rozwiązanie.
Wyrzuć monitor
Nie, to nie jest atak na kancelarie prawne, ale na nas, na zwykłych Internautów, którzy wystraszeni przedsądowym wezwaniem, chcąc dowiedzieć się, dlaczego są wzywani do nieuzasadnionej i bezpodstawnej zapłaty nierozważnie klikają na podany link. Cóż, na internetowych przestępców nie ma broni, choć nie – broń jest, a jest nią… IGNOROWANIE!!! (świadomie użyłem wersaliki w tekście).
Mój boże niepojęte
Witam. Niestety tez zapisalam zalacznik na pulpicie i nie wiem jak dalej postepowac. Prosilabym o porade
Przeskanuj kompa bezplatnym narzedziem: http://www.kaspersky.com/antivirus-removal-tool?form=1
#Ana , #Grzegorz
Co teraz zrobić?
Jeśli zadajecie takie pytanie myślę że najrozsądniejszym krokiem będzie oddanie komputera w ręce zaufanego informatyka(jeśli oczywiście zależy wam na danych). Jeśli nie to najzwyklejszy format.
Jeśli zależny na danych to .doc .JPG można próbować kopiować na dysk zewnętrzny pod Linuksem aby uniknąć zainfekowania dysku i WAŻNE aby nie przenosić żadnych plików wykonywalnych jak np. .exe -to tak w bardzo dużym uproszczeniu.
„najzwyklejszy format” też można spierd***ć. Nie polecam. I nie jest to żadne naciągactwo – prawnicy zawsze powtarzają, że nieznajomość prawa szkodzi. Prawda – warto iść do fachowca. Działa też to w drugą stronę – nieznajomość technologii również szkodzi, i też warto z tym iść do fachowca.
Dzisiaj dostałem podobną wiadomość (inna nazwa kancelarii, inny adres) – treść z grubsza ta sama. Mnie z kolei zastanawia inna rzecz – skąd atakujący zna mój adres e-mail – jest to osobista skrzynka mailowa, której nie podawałem nigdzie w sieci.
Ale wysyłasz z niej maile? Wystarczy że ktoś przejął kontakty kogoś, do którego coś wysłałeś z tego adresu.
Ja dostalem podobny mail dzisiaj. Od Kwiatkowski i partnerzy, adwokat Wiktor Kwiatkowski, kancelaria z Lodzi.
Ja również dostałam dzisiaj maila z takimi samymi danymi jak Ty. Na szczęście strona mi się nie otworzyła. a Adresu takiego, tzn takiej kancelarii nie można znaleźć w necie. Gdzieś to można zgłosić albo coś?
Ja dzisiaj zgłosiłam sprawę na policję – oto co otrzymałam w odpowiedzi:
Szanowna Pani,
Proszę nie klikać na link, który otrzymała Pani w e-mailu (strona nie ma domeny pl), gdyż najprawdopodobniej link jest przekierowaniem na stronę, która zainfekuje Pani komputer wirusem komputerowym.
Dodatkowo w związku z przekazaną przez Panią informacją o podejrzeniu popełnienia przestępstwa, informuję iż w celu tzw. nadania sprawie biegu, może Pani zgodnie z obowiązującymi przepisami ustawy Kodeks Postępowania Karnego pokrzywdzony powinien osobiście złożyć zawiadomienie o podejrzeniu popełnienia przestępstwa. Zawiadomienie można złożyć na kilka sposobów – osobiście udać się do właściwej dla miejsca pobytu jednostki Policji i tam zostanie przyjęte zawiadomienie o podejrzeniu popełnienia przest ępstwa oraz pokrzywdzony zostanie przesłuchany na okoliczności sprawy. Kolejn ą formą zgłoszenia jest sporządzenie pisemnego Zawiadomienia o podejrzeniu popełnienia przestępstwa.
W przedmiotowym zawiadomieniu powinny się znaleźć poniższe dane:
1. Dane osobowe, adresowe, numer telefonu kontaktowego;
2. Dokładny chronologiczny zapis zaistniałego zdarzenia (dołączyć kopie posiadanej dokumentacji, wydruki komputerowe oraz inne informacje dot. przedmiotowej sprawy),
Tak sporządzone zawiadomienie można złożyć osobiście lub przes łać pocztą do właściwej dla miejsca pobytu Prokuratury Rejonowej lub jednostki Policji, lub też jeżeli dysponuje się danymi adresowymi sprawcy, to do jednostki właściwej dla jego miejsca pobytu (zgodnie z treścią art. 6 par 2 kk: „Czyn zabroniony uważa się za popełniony w miejscu, w którym sprawca działał lub zaniechał działania, do którego by ł obowiązany, albo gdzie skutek stanowiący znamię czynu zabronionego nastąpił lub według zamiaru sprawcy miał nastąpić”).
——————————————
Z poważaniem,
Wydział do Walki z Cyberprzestępczością
Biuro Służby Kryminalnej
Komenda Główna Policji
ul. Puławska 148/150,
02-514 Warszawa
Nie zgłosiłaś sprawy na Policję, tylko wysłałaś maila z prośbą o pomoc. Dostałaś zwrotną informację co zrobić żeby rzeczywiście tę sprawę zgłosić(nadać jej bieg). I tak jestem w pozytywnym szoku że ktoś odpowiedział.
A teraz biegusiem na komendę, ale bez paniki i twardo domagać się podjęcia interwencji. Wydruk tego maila może pomóc.
Fajnie, że tak powiem – no i co? Chyba nie podejrzewała Pani, że przyjmą zawiadomienie pocztą elektroniczną? Może jeszcze z serwera w domenie Republiki Wanuatu?
Sygnatura dla ClamAV do pliku customsig.ndb – nazwę (wszystko przed pierwszym dwukropkiem) można/należy zmienić na własną
Trojan.url.fiat126pteam.20151013_1:4:*:2e646f6b756d656e74792e636f2e76752f
Dzisiaj dostałem tą wiadomosć z innego adresu email, stopka mnie rozbawiła, ale jak widać próbują zwiększyć poziom zaufania poprzez:
„Ta wiadomość została sprawdzona na obecność wirusów przez oprogramowanie antywirusowe Avast.
http://www.avast.com „
A co w przypadku próby otwarcia zainfekowanego pliku na telefonie, system Android? Antywirus nic nie wykrywa. Co jeszcze zrobić?
Identyczne maile wczoraj otrzymali niektórzy pracownicy PKO BP – dzisiaj CERT PKO rozesłał po całej sieci ostrzeżenia przed klikaniem w załączniki
Dziś otrzymałem maila o podobnej treści tylko że od kancelaria „Duda & Partners” o treści:
Szanowny Dłużniku!
Ze względu na niepłacone przez Ciebie zadłużenie względem naszego klienta,
nasza kancelaria „Duda & Partners” została zatrudniona aby uczynić wymagane kroki prawne do odzyskania wierzytelności na drodze Sądowej.
W imieniu naszego klienta prosimy o zapoznanie się z kopią Przedsądowego wezwania do zapłaty pod adresem:
http://adwokat-dokumentyonline.ignorelist.com/index.html?wyswietl=Przedsadowe_Wezwanie_Do_Zaplaty_NR_REF_eBturyWa
dokument ten będzie w przypadku dalszego zaniechania spłaty długu, podstawą do wszczęcia procesu cywilnego.
Oryginał pisma został przesłany przez naszą kancelarie listownie pod Twój adres zameldowania w dniu nadania wiadomości elektronicznej.
Z wyrazami Szacunku
adw. Jerzy Duda
Kancelaria Radców Prawnych „Duda & Partners”
Identycznego maila dostała moja mama. Było tak jak opisano. Wyskoczył błąd i plik zaczął pobierać mi się na komputer, ale nie pobrało się do końca, iż mój antywirus wykrył tego wirusa. I o tym właśnie rozgłaśniali dzisiaj w telewizji.
Podobny mail dostałam od Kwiatkowski i Partnerzy. Ta sama treść i link do jakiejś strony. Na szczęście mój antywirus od razu blokuje wszystko co jest podejrzane.
Witaj
W skutek niespłaconych przez Ciebie wierzytelności, nasz klient wynajął kancelarię prawną „Kwiatkowski i Partnerzy”
abyśmy zajęli się odzyskaniem wierzytelności na drodze prawnej.
Prosimy o niezwłoczne zapoznanie się z kopią: Ostatecznego Przedsądowego Wezwania do zapłaty z dnia 13/10/2015.
http://adwokatura-online.dokumenty.co.vu/wyswietl-zawiadomienie?=HVKp4pPL
Oryginał dokumentu na zlecenie naszego klienta został przesłany listownie przez naszą kancelarie pod Twój adres zameldowania w dniu nadania maila.
z Poważaniem
adw. Wiktor Kwiatkowski
+48 (88) 752 83 31
Al. Włókniarzy 40
90-556 Łódź
Także dzisiaj otrzymalem maila z wezwaniem do zapłaty.
„Szanowni Państwo,
zgodnie z zaakceptowanymi przez Państwo warunkami umowy dotyczącej naszych usług zobowiązali się Państwo do opłacenia zamówionej usługi w terminie 7 dni od dnia zawarcia umowy. Z uwagi na to, że dotychczas nie odnotowaliśmy wpłaty, doręczamy niniejsze wezwanie do zapłaty.
Jednocześnie informujemy, iż dalszy brak zapłaty za zamówioną usługę spowoduje konsekwencje prawne co wiąże się z dodatkowymi kosztami. W stosunku do osób uchylających się od zapłaty możliwe jest przekazanie sprawy zewnętrznej firmie prawno-windykacyjnej lub natychmiastowe postępowanie sądowe i egzekucja komornicza należności.
Niniejszym prosimy o dobrowolne uregulowanie należności w kwocie 1,200 zł w nieprzekraczalnym terminie 5 dni od momentu otrzymania niniejszej wiadomości. W załączniku przesyłam zaległą fakturę VAT.
Faktura jest zabezpieczona hasłem: wezwanie7321
—
Artur Kamiński
specjalista ds. windykacji klienta biznesowego
Zwolak i Wspólnicy Kancelaria Prawna
Al. Jana Pawła II 12
00-124 Warszawa”
Witaj Tomku ja tez dostałam identycznego meaila dzis z podobna informacją, że mam zapłacić 1200zł itd. Czy mam sie tym nieprzejmować. Poniżej podam całego emaila.
Witam w dniu dzisiejszym dostałam takiego dziwnego emaila.
Szanowni Państwo,
zgodnie z zaakceptowanymi przez Państwo warunkami umowy dotyczącej naszych usług zobowiązali się Państwo do opłacenia zamówionej usługi w terminie 7 dni od dnia zawarcia umowy. Z uwagi na to, że dotychczas nie odnotowaliśmy wpłaty, doręczamy niniejsze wezwanie do zapłaty.
Jednocześnie informujemy, iż dalszy brak zapłaty za zamówioną usługę spowoduje konsekwencje prawne co wiąże się z dodatkowymi kosztami. W stosunku do osób uchylających się od zapłaty możliwe jest przekazanie sprawy zewnętrznej firmie prawno-windykacyjnej lub natychmiastowe postępowanie sądowe i egzekucja komornicza należności.
Niniejszym prosimy o dobrowolne uregulowanie należności w kwocie 1,200 zł w nieprzekraczalnym terminie 5 dni od momentu otrzymania niniejszej wiadomości. W załączniku przesyłam zaległą fakturę VAT.
Faktura jest zabezpieczona hasłem: wezwanie7321
—
Piotr Wąsokowski
specjalista ds. windykacji klienta biznesowego
Wąsokowski i Wspólnicy Kancelaria Prawna
Al. Jana Pawła II 12
00-124 Warszawa
Właśnie takiego samego maila i ja otrzymałam. Z tej samej niby-kancelarii. Wszystkie te kancelarie mają ten sam adres…
Witam!
Dostałam wczoraj wiadomość, którą kopiuję poniżej, zatytułowaną: PROŚBA O KONTAKT TELEFONICZNY:
Informujemy, że nie odnotowaliśmy wpłaty. Wzywamy do natychmiastowego uregulowania zaległości oraz przesłania potwierdzenia wpłaty. W przypadku jakichkolwiek pytań prosimy o kontakt z Kancelarią Adwokacką Rączkowski Kwieciński pod numerem tel. + 48 22 250 87 01 w godz. 8-20; mail: [email protected]
Informujemy, że Horyzont Niestandaryzowany Sekurytyzacyjny Fundusz Inwestycyjny Zamknięty z siedzibą w Warszawie, na podstawie umowy przelewu wierzytelności, o której mowa w treści niniejszego pisma, stał się administratorem Pani/Pana danych osobowych i w związku z tym przysługują Pani/Panu uprawnienia wynikające z art.32-35 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U. z 2014r., poz. 1182) w szczególności prawo dostępu do treści swoich danych, ich poprawiania oraz prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania Pani/Pana danych oraz wniesienia sprzeciwu wobec przetwarzania tych danych wobec przekazania Pani/Pana danych osobowych innemu administratorowi danych. Celem przetwarzania danych, o których mowa powyżej, jest zarządzanie wierzytelnościami w zakresie niezbędnym do odzyskania należności.
Horyzont Niestandaryzowany Sekurytyzacyjny Fundusz Inwestycyjny Zamknięty z siedzibą w Warszawie, adres ul. Grójecka 5 02-019 Warszawa, wpisanych do rejestru funduszy inwestycyjnych pod numerem 1121. Reprezentowanym przez Copernicus Capital Towarzystwo Funduszy Inwestycyjnych S.A. z siedzibą w Warszawie, ul. Grójecka 5, 02-019 Warszawa, wpisane do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy dla m.st. Warszawy, XII Wydział Gospodarczy – Krajowego Rejestru Sądowego pod numerem 00000206615, NIP 107-00-00-939; kapitał zakładowy w wysokości 4 618 300,00 złotych w pełni opłacony.
Nie mam pojęcia o co chodzi, nie ma tam żadnego nazwiska – ot, jakby ktoś napisał zwykłą wiadomość. Powinnam się przejmować? Małgorzata
Tak.
Radzę uważać na tą kancelarię bo zadłużenie miałem 1200zl a oni mi policzyli 1500 więc poprosiłem ich o rachunek (rozliczenie wszystkich opłat egzekucyjnych itp) to mi powiedzieli że tak zadłużenie jest na kwotę 1200 zl lecz bez naliczonych opłat, gdy poprosiłem właśnie o te rozliczenie to powiedzieli mi że nie mają takiej możliwość, Więc ich poinformowałem że jak nie potraficie mi udowodnić takiego zadłużenia mogę zadeklarować jedynie 1200 zl i wysłać to tego samego dnia oni niestety odmówili i się rozłączyli
A następnego dnia dostałem od nich email że kwota 1500 zl była błędną kwotą jak oni to powiedzieli w email „Saldo zadłużenia na dzień 2019-03-12 r. wynosi 1221,33 zł. (wskazana w rozmowie kwota około 1500,00 zł opiewała na błędną sumę)”
uważajcie na takie kancelarię i proście o rozliczenie bo możecie stracić sporo pieniędzy bo 200 zl piechotą nie chodzi