Nep factuurmail gericht op Ziggo klanten

De laatste paar weken is er weer een nep factuurmail gericht op Ziggo klanten in omloop. In deze mail staat een zeer hoog factuur bedrag. Dit nodigt uit om direct de factuur te bekijken door op de link te klikken.
Na het openen van de link zal er iets worden opgestart en ben je de klos. Al je bestanden worden versleuteld en je komt nergens meer bij. Dag foto collectie, dag administratie etc. Tegen betaling worden de bestanden weer ontsleuteld.

Deze mail is al langer in omloop, maar nu waarschuwt Fox-IT ook omdat het een behoorlijke impact blijkt te hebben.

Er wordt regelmatig voor gewaarschuwd maar het blijft lastig om te onderscheiden wat nu echt is en wat niet.
De mail ziet er exact hetzelfde uit als het origineel, alleen de afzender en de link zijn anders. Niet iedereen zal dit opvallen.

Wat kun je doen tegen dit soort nep mails?

• Klik gewoon nooit op linkjes in mails. Dit kan in sommige gevallen lastig zijn, maar in geval van de Ziggo factuur zou je ook zelf naar 'Mijn Ziggo' kunnen gaan. Je kunt je afvragen of bedrijven als Ziggo zelf nog wel mails moeten uitsturen met daarin linkjes om verwarring te voorkomen.
  
  
• Zorg voor een goede (liefst betaalde) virusscanner.
  
  
• Zorg altijd voor een backup met meerdere versies op een externe locatie. Met name de 'meerdere versies' is belangrijk. Zo kun je een aantal dagen terug gaan mocht jouw hele foto collectie zijn aangetast door ransomware.
  Tip: IDrive - Deze backupdienst is niet de snelste maar wel zeer goedkoop en betrouwbaar.
  
  
• Ziggo heeft een uitgebreide site over Phishing met daarin ook een aantal actuele voorbeelden.

Klopt. Heb deze mail ook ontvangen. Moest € 313,13 betalen. LOL

Vraagje uit nieuwsgierigheid; worden alle bestanden op de C schijf versleuteld of ook alle data op overige schijven, intern en extern?

In principe wordt alles versleuteld waar jij zelf bij kan op dat moment. Dus ook onedrive of je externe schijf als die gekoppeld is.
De meeste ransomware verwijderd ook eventuele shadowcopies/versies mocht je dat aan hebben staan zodat je niet zelf makkelijke terug kan naar het originele bestand.

In de originele Ziggo mail staat je naam vermeld.
In de nep-mail staat je naam niet vermeld. Die weten ze (gelukkig) nog niet.

In deze kwam ik net dit linkje tegen die tegen dit soort gijzelzooi gebruikt kan worden. Er zullen ongetwijfeld nog meerdere progjes zijn die hiertegen iets kunnen doen...even googlen dus en alvast een usb stickje aanmaken voor het geval dat

Hoe kan je daar nu intrappen vraag ik me altijd af, zegmaar je krijgt zoals op plaatje dan denk je van tevoren toch al na als je elke maand 75a100eu kwijt bent en ineens 400+..... en dan nog je gegevens invullen.....

@Het_Ventje zou wat zijn idd als je naam en klantnummer erin stond, dan zou dat duiden op een hack op ziggo servers.

den Tsaar zei:

In deze kwam ik net dit linkje tegen die tegen dit soort gijzelzooi gebruikt kan worden. Er zullen ongetwijfeld nog meerdere progjes zijn die hiertegen iets kunnen doen...even googlen dus en alvast een usb stickje aanmaken voor het geval dat

Klik om te vergroten...

Dat gaat in dit geval niet werken. Je hebt inderdaad van die 'gijzel' ransomware waarbij zo'n kickstart usb ding kan werken.
Maar bij Crypto ransomware worden bestanden echt versleuteld en kan niemand dat ontsleutelen zonder de originele key te hebben. Je kunt dan misschien wel opstarten met zo'n kickstart USB, maar je bestanden blijven onleesbaar. Het is echt heel nasty.

Devil-Strike.net zei:

Hoe kan je daar nu intrappen vraag ik me altijd af, zegmaar je krijgt zoals op plaatje dan denk je van tevoren toch al na als je elke maand 75a100eu kwijt bent en ineens 400+..... en dan nog je gegevens invullen.....

Klik om te vergroten...

Ben ik niet helemaal met je eens. Er zijn genoeg mensen die niet zo bedreven zijn met computers.
Die krijgen elke maand een mail van Ziggo met daarin het bedrag dat ze moeten betalen.
Opeens krijgen ze dezelfde mail maar nu met een veel hoger bedrag.

Ik kan het mijn moeder niet kwalijk nemen dat ze dan direct op de link klikt om te kijken wat er aan de hand is.

Overigens hoef je geen gevens in te vullen. In dit geval wordt er een .zip opgestart die de ransomware installeert. Daar is dan wel nog een extra handeling van de gebruiker nodig.
Echter zou dit ook een geinfecteerde .pdf kunnen zijn, of een website die automatisch je pc infecteert met een nieuwe techniek die virusscanner nog niet kennen.

als je naam er niet in staat vermeld direct weggooien en via mijn ziggo even nakijken

Op het gevaar af dat ik ongewenste reclame maak voor een bepaald merk wil ik toch deze link delen omdat er specifiek wordt gesproken over het ongeoorloofd versleutelen van bestanden