Vorsicht: Viren-Emails von Scanner und Kopierer!

Viele Scanner und Kopierer haben mittlerweile einen Netzwerk-Anschluss oder WLAN-Zugriff und können daher die eingescannten Dokumente ganz einfach per Email verschicken: Man muss also nicht mehr den PC direkt an das Geräte anschließen. Das ist eigentlich praktisch, wird aber in letzter Zeit immer häufiger von Kriminellen missbraucht, die gefälschte Emails versenden – diese sehen dann so aus, als kämen sie direkt vom eigenen Scanner oder Kopierer (wenn man die gleiche Marke verwendet).

Statt dem eigentlichen Dokument, dass normalerweise direkt als PDF oder JPG angehängt wird, enthalten die gefälschten Emails aber gepackte ZIP- oder RAR-Anhänge: Hier verstecken sich dann Viren, mit denen der PC infiziert werden soll! Alternativ werden mittlerweile auch Word-Dokumente (zum Beispiel mit der Datei-Endung .docm) verschickt, die dann einen Makro-Virus enthalten.

Die Emails haben dabei die gleiche Domain-Endung wie die Email, an die sie geschickt werden – bei größeren Firmen wirken sie daher zunächst echt. Wir haben hier drei uns zugeschickte Beispiele, die alle von der Email „[email protected]“ stammen, der Betreff ist eine angebliche Fax-Nummer – zum Beispiel „+49 22315597463“, „+49 22311680456“ oder „+49 22309830152“.

Der Text der gefälschten Nachricht lautet einfach nur:

-------------------
CDC 1725_DCC 2725
[00:c0:ee:7a:7f:51]
-------------------

Als Anhang werden unter anderem Dateien mit den folgenden Namen verschickt: „Fax 49 22315597463.docm“, „Fax 49 22309830152.docm“ oder „Fax 49 22311680456.docm“.

 
Andere Mails geben vor, direkt vom Scanner zu stammen und die eingescannten Dokumente zu enthalten – zum Beispiel eine Nachricht mit einem Betreff wie „Scan #B26B22B420_A10A7F0396“ oder „Scan #599412FE37_BA9C0661FD“, die angeblich von dem Absender „HP Scanjet_7364“ oder auch „HP Scanjet_9589“ stammt und ebenfalls ein Word-Dokument mit Makro enthält (z.B. „MSG00085243.docm“) – auch dieser Anhang sollte nicht geöffnet werden.

Der Text der Email lautet:

Scanner:
Scanner id: B26B22B420_A10A7F0396
Scanner Program: HP Scanjet 300 Flatbed Scanner
Software ver. #4118825561.#44180547.#4435120
File: MSG00085243

————————————————————
Save time with fast scanning speeds and intuitive controls.
Set up quickly, using a single cable. Enjoy high-resolution
document detail. One-touch scan-to buttons let you start
working and sharing fast. Place this compact scanner almost
anywhere.

Die Zahlen der Scanner ID und der Software-Version können dabei variieren und auch anders lauten, zum Beispiel:

Scanner:
Scanner id: 599412FE37_BA9C0661FD
Scanner Program: HP Scanjet 300 Flatbed Scanner
Software ver. #2620520939.#96135617.#3978892
File: MSG00045002008840

 
Andere Emails mit angeblich eingescannten Dokumenten wirken nicht so echt – uns erreichte vor einigen Tagen eine Nachricht, die angeblich von „admin“ stammt und nur den folgenden Text zusammen mit dem gepackten Archiv „MSG000220688132.rar“ enthielt: „Image data in PDF format has been attached to this email.“.

Update 19.07.: Neue Viren-Emails von „copier41“ und „copier986“

Heute erreichten uns neue Emails, die angeblich von einem Kopierer im eigenen Netzwerk stammen sollen – als Absender einmal copier41 und einmal copier986. Der Rest der Email-Adresse ist der eigenen Adresse angepasst – bei uns als computerhilfen.de: Damit fallen die gefälschten Mails in großen Firmennetzen nicht so leicht auf und wirken echter. Die Email selbst enthielt nur eine Zeile Text: „Image data has been attached to this email.“, dazu dann einen Anhang als Word-Dokument mit Makros.

Update 12.08.: Message from „CUKPR0014616“ / „CUKPR0529467“

Auch heute erreichten uns wieder angebliche Dokumente, die angeblich eingescannt und automatisch per Mail verschickt wurden – im Anhang wieder eine DOCM Datei mit Makro-Virus.

Die Inhalte der Mails lauten:

Message from „CUKPR0529467“

This E-mail was sent from „CUKPR0329001“ (Aficio MP C305).

Scan Date: 17.11.2015 09:08:40 (+0000)
Queries to:

und:

Message from „CUKPR0014616“

This E-mail was sent from „CUKPR0329001“ (Aficio MP C305).

Scan Date: 17.11.2015 09:08:40 (+0000)
Queries to: