Sahte TTNET eFatura Bilgilendirme Maili

Bugün şirket mailime bir mail geldi açıp bi bakarım 965,66 TL fatura geldiğini gördüm ve çıldırdım. Gönderen ise [email protected] adresinden geliyor. Mail içeriğine baktığımda sürekli TTNET e-faturasından gelen maille birebir aynı kodlamaya sahip olduğunu gördüm.

Daha sonrasında fatura detaylarımı görmek için resimdeki gibi E-Faturamı Görüntüle ' ye tıkladım ve bilgisayarıma dosya indirmeye başladı. Allah'tan lisanslı güncel Norton 360 kullanıyoruzda anında yakaladı ve sildi. Daha sonra içeriğini kontrol ettiğimde e-fatura.pdf.exe benzeri uzantıda dosya iniyor dosya resim görüntüsünüde pdf logosu var ve hiç anlamıyorsunuz.

Ben bile internet dünyasıyla haşır neşir olan kişi olmama rağmen az kalsın yiyordum bunu. İlk defa bu kadar gerçeğe yakın bir virüs saldırısı gördüm. Bana 2 saat önce geldi muhtemelen aranızda başkalarınada gelmiş olabilir yada gelebilecek olan arkadaşlar varsa uyarmak istedim sakın aldanmayın.

İnternetten araştırma yaptım bu virüs hakkında ve aşağıya bilgisini yazıyorum.

KISA BİR ANALİZ ( Tıklamış olanlar için ) – Tüm Analiz Dosyası ->

İlgili exe aşağıdaki klasörleri oluşturuyor :

• C:\Documents and Settings\All Users\Application Data\Sun
• C:\Documents and Settings\All Users\Application Data\yrekymok

Aşağıdaki klasölere erişim değişiklik/yeni dosya kopyalıyor.

• C:\Documents and Settings\All Users\Application Data\Sun\omydynagojis
• C:\Documents and Settings\All Users\Application Data\Sun\otaxobabkxes
• C:\Documents and Settings\All Users\Application Data\yrekymok\omydynagojis
• C:\Documents and Settings\All Users\Application Data\yrekymok\otaxobabkxes
• Ip
• PIPE\lsarpc
• \Device\Ip
• \Device\Tcp

ve daha sonra bu dizinlere erişip kendisini çalışıtırıyor. Aşağıdaki dizinde yer alan dosyanın içeriğini değiştriyor.

• C:\Documents and Settings\Administrator\Application Data\Microsoft\Crypto\RSA
• \S-1-5-21-842925246-1425521274-308236825-500\a18ca4003deb042bbee7a40f15e1970b_4604e8cc-5b9c-4ffb-a374-a62e6d0494fc
• Aynı zamanda kendisini saklamak için attrib komunutunu çalıştırıyor.
• En son olarak AVG ve Sophos bu dosyayı Zbot.ASC Trjan (truva atı) olarak tanımladı.

Uyarı için sağolun. İşte insanın boş anına gelince kandırılması kaçınılmaz oluyor.

ben yollamıstım facenı patlatıcaktm 🙂

Mac'te Allah'tan .exe sorunu yok ama diğer kullanıcılar, özellikle dikkat etmeyenler için büyük sıkıntı. Teşekkürler abi.

Teşekkürler patron...

uyarı için teşekkürler, çok dikkat etmek lazım ... fatura yüksek tutarlı olduğu için de belki biraz daha fazla dikkat ediliyodur bu duruma ama fatura örneğin 15 20 lira gibi gelse rahat rahat açılmasını bekleyebilir insan hatta bu açılırken kendime bi kahve alıym 🙂 falan pc başından ayrılabilirde işte o zaman anlamadığın bi anda hesapların boşaltılmıştır... v.s v.s allah korusun...

Allah korusun..
Hep böyle şeylerden korkmuşumdur. Insanlık ne hale geldi. Sahtekarlığın artık sınırı yok. Teknoloji çok büyük dert.dikkatli olmak lazım

Teşekkür ederiz Serbay kardeşim...

çok sağolun