Schadsoftware-Welle mit jedem Tag anderer ZIP-Datei

FKFK

Hallo alle zusammen,

ich weiß nicht, ob das hier die richtige Stelle ist :-)
Mich interessiert einfach, ob euch diese Welle auch schon aufgefallen ist und wie ihr damit umgeht?

Bei uns erhalten in der letzten Zeit unterschiedliche Mitarbeiter (Öffentlicher Dienst) E-Mails mit verseuchten ZIP-Dateien. Die ZIP-Dateien werden nur teilweise von Scannern erkannt, wenn überhaupt dann von den Heuristik-Modulen.
Versendet werden diese E-Mails von dem Empfänger bekannten E-Mail-Adressen (daher wird wahrscheinlich das Adressbuch/vergangene E-Mails durchkämmt). Nach meinen momentanen Erkenntnissen scheinen die Absender-Adressen nicht gefälscht sondern direkt gekapert zu sein, da es keine Aliase gibt und manchmal sogar die Standard-Absender-Signatur des Absenders darunter ist. Manchmal fehlt sie (wahrscheinlich keine eingerichtet). Signatur und Inhalt sind in unterschiedlichen Schriftarten geschrieben.

Ich habe mal die Datei mit dem Namen my_info.zip untersucht: Wenn ich die ZIP-Datei auf einen PC kopiere, dann wird seltsamerweise eine MRT.exe aus der Mail mitkopiert (scheint mit dem ZIP-Archiv irgendwie verknüpft zu sein, war allerdings vorher nicht zu sehen). In der Zip-Datei ist eine exe-Datei mit einem zufälligen Namen. Die Exe-Datei sieht aus wie eine PDF-Datei.
Der Name der angehängten ZIP-Datei, der Betreff und Inhalt ändert sich scheinbar jeden Tag.
Am 22. April war es "My info" (Betreff), "Check my info" + evtl. Signatur (Inhalt) und my_info.zip (Anhang). Diese Datei wurde am selben Tag laut virustotal nur von 2 aus 57 Viren-Scannener erkannt, am nächsten Tag schon von 30 aus 57 Viren-Scannern. Mit den anderen Zip-Dateien verhält es sich ähnlich.
Am 23. April war es "Olivia docs" (Betreff), "Hi, look what I threw in an attachment." + evtl. Signatur (Inhalt) und reload.zip (Anhang).
//edit: Am 24. April war es "invoice" (Betreff), "Check the invoice attached." + evtl. Signatur (Inhalt) und invoice.zip (Anhang).
Am 27. April war es "Report" (Betreff), "Read the document attached." + evtl. Signatur (Inhalt) und report.zip (Anhang).
Leider habe ich nicht jede Variante mitbekommen.

Da sich die Signatur der Schadsoftware jeden Tag ändert frage ich mich, wie ich die aussortieren soll. Ich bekomme ja auch nicht jede E-Mail mit.

Ist euch diese Welle bekannt? Wie geht ihr damit um? Passt das Thema besser in den Diskussions-Bereich? Ich vermute mal, dass solche Wellen viele betreffen, natürlich abhängig vom Umfeld, und daher auch für die Suchmaschinen hilfreich ist.
Ich gehe davon aus, dass das jeweils die gleiche Schadsoftware ist, da das Muster immer gleich zu sein scheint.

LG