Abbiamo ricevuto numerose segnalazioni di un nuovo attacco informatico basato su un'email in italiano che promette informazioni personali incluse in un documento Office cifrato. Il messaggio sembra provenire da una persona nota al destinatario. Si tratta invece di un virus (più propriamente di un trojan horse) e il mittente è falsificato.

Ecco un esempio di testo del messaggio:

ciao ,

ho trovato , per una coincidenza, un file che
contiene alcune informazioni su di te.
ho preferito proteggerlo con una password,
non vorrei che andasse in giro e lo aprisse qualcuno.

la password per aprire il file zippato è "privato12",

quando hai unzippato troverai un file Office cryptato.

aprilo con un doppio click.

fammi sapere subito,
scusami ma sono un po' in ansia...

Allegato al messaggio c'è un file ZIP di nome "doc_riservato.zip" o "documentazione.zip" o simili, che l'antivirus non può esaminare perché è uno ZIP protetto da password.

Scompattando il file ZIP con la password fornita nel messaggio (non fatelo), si ottiene un file eseguibile (non un documento Microsoft Office) di nome "doc_22_01_06_enrcypted_archive.exe". Su un PC Windows, questo file ha l'icona di Word pur essendo un eseguibile, come potete vedere nell'immagine.

Secondo McAfee, si tratta di Adclicker-DW, usato per far comparire pubblicità indesiderata nel computer della vittima tramite Internet Explorer.

Per evitare l'infezione è sufficiente non aprire il file. E' consigliabile cancellarlo e vuotare il Cestino. Il virus ha effetto solo su Windows; gli utenti Mac e Linux non sono colpiti.

L'attacco è piuttosto insolito e interessante per la sua sofisticazione, visto che per conquistarsi la fiducia della vittima e abbassarne le difese è scritto in buon italiano, usa frasi "unisex" (valide per destinatari di entrambi i sessi) e inoltre usa un mittente noto alla vittima, insieme all'espediente psicologico della preoccupazione per i dati riservati che sarebbero stati trovati in giro.

Il messaggio può essere identificato abbastanza facilmente perché il campo "A:" del destinatario non contiene l'indirizzo del destinatario, ma la sequenza di caratteri "<.>"