Skadevaree-post fra skattedokumenter fra IRS

Det er viktig å være årvåken når man håndterer uventede e-poster. Nettkriminelle kamuflerer ofte ondsinnede meldinger som offisiell kommunikasjon fra pålitelige institusjoner for å stjele data eller infisere enheter. Den såkalte e-postkampanjen for skattedokumenter fra IRS er et slikt eksempel. Disse meldingene er ikke knyttet til noe legitimt selskap, organisasjon, offentlig etat eller den virkelige skattemyndigheten (IRS).

Hva er e-postsvindel med skadelig programvare fra IRS-skattedokumenter?

E-postene med skattedokumenter fra IRS er en form for malspam, spammeldinger laget spesielt for å distribuere skadelig programvare. De utgir seg for å være IRS og informerer mottakerne feilaktig om at offisielle skattedokumenter for skatteåret 2025 er tilgjengelige for sikker nedlasting.

For å skape en falsk følelse av legitimitet, begynner e-postene ofte med «Kjære skattebetaler» og inneholder detaljer som et ekte IRS-telefonnummer og en postadresse i Washington, DC. De har også en fremtredende «Download Secure Viewer»-knapp og hevder at dokumentene er krypterte og krever et spesielt visningsprogram for å åpne dem.

Disse påstandene er falske og ment å lure mottakerne til å klikke på den oppgitte lenken.

Hvordan infeksjonskjeden fungerer

Når du klikker på knappen, omdirigeres brukerne til et tredjepartsnettsted som er utformet for å ligne en offisiell nedlastingsside for Adobe Acrobat. Siden kan hevde at Adobe Reader mangler eller er utdatert, og at en oppdatering er nødvendig før skattefilene kan vises.

Deretter lastes en fil med navnet «Adobe_Install.msi» ned. Til tross for navnet har dette installasjonsprogrammet ingen legitim forbindelse til Adobe.

Når filen kjøres, installerer den ikke Adobe-programvare. I stedet distribuerer den i stillhet TiFlux, en ekte plattform for eksternt skrivebord og IT-administrasjon utviklet av et brasiliansk selskap. I denne kampanjen misbrukes imidlertid programvaren som et ondsinnet verktøy for ekstern tilgang. Det er også en mulighet for at versjonen som distribueres har blitt endret for å inkludere ytterligere skadelige funksjoner.

Etter installasjonen kan programmet registreres i Windows som Ti Service And Agent under utgivernavnet TiFLUX, mens det kjører stille i bakgrunnen.

Hvorfor denne skadelige programvaren er farlig

Når angripere får ekstern tilgang til et kompromittert system, kan de være i stand til å overvåke aktivitet, manipulere filer og installere ytterligere trusler. Et vellykket kompromittering kan eksponere både personlig og økonomisk informasjon.

Mulige konsekvenser inkluderer:

• Tyveri av dokumenter, passord, nettleserdata eller bankopplysninger
• Installasjon av mer skadelig programvare, som ransomware, spionprogrammer eller påloggingstyveri

• Uautorisert bruk av datamaskinen til kriminell aktivitet

• Langvarig overvåking eller vedvarende aktivitet på den infiserte enheten

Alle som har kjørt installasjonsprogrammet bør anta at systemet kan være kompromittert.

Hva du skal gjøre hvis filen ble åpnet

Umiddelbar handling er avgjørende hvis det nedlastede installasjonsprogrammet ble kjørt. Å koble enheten fra internett kan bidra til å begrense ytterligere angriperaktivitet mens sikkerhetskontroller utføres.

Anbefalte trinn inkluderer å kjøre en fullstendig antivirus- eller endepunktsikkerhetsskanning, fjerne mistenkelig programvare, endre passord fra en ren enhet, gjennomgå bank- og e-postkontoer for uautorisert aktivitet og søke profesjonell hjelp til hendelsesrespons hvis sensitive data ble eksponert.

Hvordan spam-e-poster ofte sprer skadelig programvare

Nettkriminelle er avhengige av to primære leveringsmetoder i spamkampanjer:

Ondsinnede vedlegg som kjørbare filer, Office-dokumenter, ZIP-arkiver, PDF-er, ISO-bilder eller skript. Noen infiserer systemer umiddelbart, mens andre krever at brukere aktiverer makroer eller starter innebygd innhold.

Innebygde lenker som omdirigerer ofre til falske programvaresider, forfalskede portaler eller villedende fildelingssider der skadelig programvare lastes ned manuelt eller automatisk.

Slik gjenkjenner du lignende svindelforsøk

Uventede skattemeldinger, hasteforespørsler om penger, forespørsler om å installere visningsprogrammer eller oppdateringer, generiske hilsener, mistenkelige lenker og uønskede vedlegg bør alle behandles med forsiktighet. Offentlige etater sender vanligvis ikke uventede programvareinstallatører gjennom uønskede e-postkampanjer.

Sluttvurdering

E-postene med skattedokumenter fra IRS er en svindelforsøk for distribusjon av skadelig programvare som misbruker navnet til IRS for å lure mottakerne. Ofrene blir omdirigert til en falsk Adobe-nedlastingsside hvor et forkledd installasjonsprogramvare distribuerer programvare for fjerntilgang som kan gi kontroll over systemet til angripere. Disse e-postene bør slettes umiddelbart, og ingen lenker eller vedlegg bør åpnes.