Сегодня пришло письмо от Дмитрий [[email protected]] 1С. Техническая поддержка. В письме вложение ДОК и ТХТ.
Док при открытии валит оутлук и ворд на 2х машинах. В вордпаде и блокноте открывает какую то хрень. Каспер находит в док файлу 6 объектов.
Вот такое тело письма
Важная информация для пользователей и партнеров от 04.06.2014

ИНФОРМАЦИОННОЕ ПИСЬМО РАЗОСЛАНО ПО ТЕЛЕКОММУНИКАЦИОННЫМ КАНАЛАМ Всем пользователям продуктов "1С" необходимо ознакомиться с материалами письма во вложенном документе "Важная информация".



С уважением. Служба технической поддержки "1C".
Линия консультаций фирмы "1C" для зарегистрированных пользователей Информационно-технологического сопровождения (1С:ИТС)     

Кто нибудь получал что либо подобное?

(0) Такого не было. Приходило от франчей, что предстоит подорожание программ 1С на 25 процентов.

вирус небось...

вообще 1с не будет рассылать вложения в милион адресов, а даст ссылку и не более

нет такого письма, более того как минимум указывается НОМЕР а тут какой то фуфел

Заголовок нашел

Received-SPF: None (no SPF record) identity=mailfrom; client-ip=88.80.189.116; helo=plesk-1.binadit.com; [email protected];
Роттердам. А че делает не пойму. Кому интересно поковырять?

Кидай

кис 14-й не подведёт

Док файл в ссылке 600 кб где то
https://drive.google.com/file/d/0B4gLGJhVgTuecENaX3ZIV2wtMFk/edit?usp=sharing

Внутрях бинарник лежит и текст бокс какой то.

аха, каспер уже нашёл

(10) Что нашел? у меня каспер молчит - мол все нормуль.

др веб
info.doc probably infected with Exploit.Rtf.CVE2012-0158

http://www.securelist.com/en/analysis/204792298/The_curious_case_of_a_CVE_2012_0158_exploit%20Metasploit%20PoC

Тоже пришло, только текст немного другой и адрес "[email protected]"

(14) тоже бинарник в файле?

(12) это что, кто-то 1С подставляет?

(16) проверка на профпригодность

(15) важно.doc вложение - открывается с кракозябрами и каким-то квадратиком. На вирустотале: DrWeb     Exploit.Rtf.CVE2012-0158

по ходу сами файл из облака забрали, подцепили

Received: from pzujastrzebie.pl (localhost [127.0.0.1])    by main4.lh.pl
похоже на подделку адреса

(17) дык кто-ж нынче без антивира-то!

(20) а не можешь скрин выложить как оно (в аутлуке) выглядит?

(22) http://screencast.com/t/aD7TNMY9uNF

(22) http://i.imgur.com/lbFWsAA.png

https://www.virustotal.com/ru/file/5b8678a9e45e921e5b8333fd0a909718a898ac4f758066e0f12f9b50c9c26f47/analysis/1401861393/

Вот тут трут про подобное решение
https://exploit.in/forum/index.php?showtopic=68170

(0) Балбес, и так понятно что спам-вирус, нафиг ты 1Су сдался?

(27) КО?

(23) (24) спасибо, плохо, правдоподобно замутили

написал "своим" в 1С, интересно, смогут ли они что-то сделать

а то только от casinotogmx.com отошли...

(31) ?

(32) http://forum.kaspersky.com/index.php?showtopic=296290

как же 1с могла

+1 (3) залипуха