Fałszywe faktury Orange rozsyłają trojana Remcos RAT

W opisywanej kampanii przestępcy ustawiali nazwę nadawcy tak, by wyglądała jak w legalnej korespondencji, choć faktyczny adres nie miał z Orange nic wspólnego. Pole z nazwą nadawcy można wypełnić dowolnym tekstem. W jednej z wcześniejszych odmian ataku wpisano tam nawet „e-faktura@pl.orange.com”.

W autentycznym e-mailu w polu odbiorcy widnieje adres klienta (niektóre programy pocztowe pokazują to jako „do mnie”). W fałszywych wiadomościach pole „Do” bywa nietypowe: zawiera błędne nagłówki, jest puste albo sugeruje, że identyczny list trafił jednocześnie do wielu osób.

Ważna jest też sekcja „Zasady bezpieczeństwa”, w której powinny znaleźć się dane odbiorcy lub nazwa firmy oraz numer klienta. CERT opisuje przypadek, w którym podano dane realnie istniejącej firmy korzystającej z usług Orange, a mail trafił do zupełnie innej osoby.

Załącznik i bezpieczna płatność

Załącznik może występować zarówno w prawdziwym, jak i w fałszywym mailu, ale jego rola jest inna: w pierwszym jest to faktura, w drugim plik instalujący Remcos RAT. Według CERT przestępcy mogli skopiować szablon z internetu albo zdobyć go po przejęciu firmowej skrzynki i dostępu do korespondencji.

Specjaliści zalecają ostrożność wobec wszystkich wiadomości o płatnościach. Fakturę najbezpieczniej opłacić w aplikacji Mój Orange lub w aplikacji bankowej, ponownie wykonując wcześniejszą płatność. Podejrzany e-mail można przekazać do weryfikacji na adres cert.opl@orange.com.