Malware-mails om skattedokumenter fra IRS

Det er vigtigt at være årvågen, når man håndterer uventede e-mails. Cyberkriminelle forklæder ofte ondsindede beskeder som officiel kommunikation fra betroede institutioner for at stjæle data eller inficere enheder. Den såkaldte IRS-e-mailkampagne med skattedokumenter er et sådant eksempel. Disse beskeder er ikke forbundet med nogen legitim virksomhed, organisation, offentlig myndighed eller den rigtige Internal Revenue Service (IRS).

Hvad er IRS’ e-mail-malware-svindel med skattedokumenter?

E-mails med skattedokumenter fra IRS er en form for malspam, spambeskeder, der er specifikt oprettet til at distribuere malware. De udgiver sig for at være IRS og informerer modtagerne fejlagtigt om, at officielle skattedokumenter for skatteåret 2025 er tilgængelige til sikker download.

For at skabe en falsk følelse af legitimitet starter e-mails ofte med "Kære skatteyder" og indeholder oplysninger såsom et rigtigt IRS-telefonnummer og en postadresse i Washington, DC. De har også en fremtrædende Download Secure Viewer-knap og hævder, at dokumenterne er krypterede og kræver en særlig fremviser for at åbne dem.

Disse påstande er svigagtige og har til formål at narre modtagere til at klikke på det angivne link.

Hvordan infektionskæden fungerer

Hvis du klikker på knappen, omdirigeres brugerne til et tredjepartswebsted, der er designet til at ligne en officiel Adobe Acrobat-downloadside. Siden kan hævde, at Adobe Reader mangler eller er forældet, og at en opdatering er påkrævet, før skattefilerne kan ses.

En fil med navnet 'Adobe_Install.msi' downloades derefter. Trods navnet har dette installationsprogram ingen legitim forbindelse til Adobe.

Når filen køres, installerer den ikke Adobe-software. I stedet installerer den i stilhed TiFlux, en ægte platform til fjernskrivebord og IT-administration udviklet af et brasiliansk firma. I denne kampagne misbruges softwaren dog som et ondsindet fjernadgangsværktøj. Der er også mulighed for, at den distribuerede version er blevet ændret til at inkludere yderligere skadelige funktioner.

Efter installationen kan programmet registreres i Windows som Ti Service And Agent under udgivernavnet TiFLUX, mens det kører stille i baggrunden.

Hvorfor denne malware er farlig

Når angribere får fjernadgang til et kompromitteret system, kan de muligvis overvåge aktivitet, manipulere filer og installere yderligere trusler. En vellykket kompromittering kan afsløre både personlige og økonomiske oplysninger.

Mulige konsekvenser omfatter:

• Tyveri af dokumenter, adgangskoder, browserdata eller bankoplysninger
• Installation af mere malware, såsom ransomware, spyware eller software til at tyve legitimationsoplysninger

• Uautoriseret brug af computeren til kriminel aktivitet

• Langvarig overvågning eller vedvarende aktivitet på den inficerede enhed

Enhver, der har kørt installationsprogrammet, bør antage, at systemet kan være kompromitteret.

Hvad skal man gøre, hvis filen er blevet åbnet

Øjeblikkelig handling er afgørende, hvis det downloadede installationsprogram er blevet udført. At afbryde enhedens forbindelse til internettet kan hjælpe med at begrænse yderligere angriberaktivitet, mens sikkerhedskontroller udføres.

Anbefalede trin omfatter at køre en fuld antivirus- eller endpoint-sikkerhedsscanning, fjerne mistænkelig software, ændre adgangskoder fra en ren enhed, gennemgå bank- og e-mailkonti for uautoriseret aktivitet og søge professionel hjælp til incidentrespons, hvis følsomme data er blevet eksponeret.

Hvordan spam-e-mails ofte spreder malware

Cyberkriminelle bruger to primære leveringsmetoder i spamkampagner:

Ondsindede vedhæftede filer såsom eksekverbare filer, Office-dokumenter, ZIP-arkiver, PDF'er, ISO-billeder eller scripts. Nogle inficerer systemer med det samme, mens andre kræver, at brugerne aktiverer makroer eller starter integreret indhold.

Indlejrede links, der omdirigerer ofre til falske softwaresider, forfalskede portaler eller vildledende fildelingssider, hvor malware downloades manuelt eller automatisk.

Sådan genkender du lignende svindelnumre

Uventede skattemeddelelser, hastende økonomiske anmodninger, anmodninger om at installere fremvisere eller opdateringer, generiske hilsner, mistænkelige links og uopfordrede vedhæftede filer bør alle behandles med forsigtighed. Offentlige myndigheder sender typisk ikke overraskende softwareinstallatører via uopfordrede e-mailkampagner.

Slutvurdering

E-mails med skattedokumenter fra IRS er et svindelnummer til distribution af malware, der misbruger IRS' navn til at bedrage modtagere. Ofrene omdirigeres til en falsk Adobe-downloadside, hvor et forklædt installationsprogram installerer fjernadgangssoftware, der kan overdrage kontrollen over systemet til angribere. Disse e-mails bør slettes med det samme, og ingen links eller vedhæftede filer bør åbnes.