Det er tre varianter av emnefeltet i disse e-postene:
1. CT3481763773NO Pakken ble ikke sendt til din adresse i dag.
2. CT3481763773NO Posten Norge ikke var i stand til å levere pakken ved din adresse.
3. CT3481763773NO Posten.no var ikke i stand til å sende pakken til adressen din.
Avsendere vi har sett hittil er forskjellige varianter av @postnorge.no: admin@postnorge.no, info@postnorge.no, noreply@postnorge.no, post@postnorge.no, postage@postnorge.no, shipping@postnorge.no
Innholdet i e-posten ser slik ut og du blir videresendt til en nettside som gir seg ut for å være posten. Man må ikke laste ned adresselappen, da det er dette som infiserer klienten med et kryptovirus:
LOGG