Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.


Tagesarchiv für den 2. Juli 2014

Hinein geschneit bist du in mein Leben und ich wusste es konnte nur eine geben

Mittwoch, 2. Juli 2014

Schadsoftwarewarnung

Hui, da hat sich aber ein Spammer so richtig die Brust aufgerissen, um die Art von Kälte zu verbreiten, in der er gedeihen kann:

Hinein geschneit bist du in mein Leben und ich wusste es konnte nur eine geben, du nur du ganz allein bist mein wahrer Sonnenschein.

G. Theisen

Der Rest ist ein Anhang. Es handelt sich um ein ZIP-Archiv mit dem lyrischen Namen 9122.zip, in welchem ein einziges Dokument für Microsoft Word liegt. Diese Datei nicht öffnen, es handelt sich mit an Sicherheit grenzender Wahrscheinlichkeit um ein Dokument, das Schadsoftware in Form eines Makros enthält! Diese sehr aktuelle Schadsoftware wird zurzeit von keinem Antivirus-Programm erkannt. (Hier ein Screenshot der Ausgabe von VirusTotal zu Archivzwecken.)

Es lohnt sich übrigens auch nicht, dieses Dokument zu öffnen, denn es ist ausgesprochen inhaltsleer und befriedigt keine Neugierde. Ein schnelles file guignol579.doc im Terminal führt zu folgender Ausgabe¹:

guignol579.doc: Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1251, Author: I|R1R3MDT;pj?MB5, Template: Normal.dotm, Last Saved By: I|R1R3MDT;pj?MB5, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Total Editing Time: 04:00, Create Time/Date: Tue Jul 1 17:56:00 2014, Last Saved Time/Date: Tue Jul 1 18:00:00 2014, Number of Pages: 1, Number of Words: 0, Number of Characters: 0, Security: 0

Eine Seite, keine Wörter, keine Buchstaben. Erstellt in vier Minuten. Von einem Autor, der mal kurz in seinen Teller Buchstabensuppe geschaut hat, bevor er einen Namen für seine Word-Registrierung eingibt. Da hat ein Verbrecher nur ganz schnell das Makro mit dem aktuellen Schadcode ins neu geöffente Dokument kopiert und gespeichert. Warum sollte er sich auch noch Mühe geben, wenigstens den Anschein eines echten Dokumentes zu erwecken? Wenns geöffnet wurde, hat er doch schon gewonnen…

Schlangenölwarnung

Übrigens ist das bereits meine zweite Spam mit einem leeren Word-Dokument als Anhang, die erste habe ich vor zwei Wochen empfangen. Es scheint den Herstellern von Antivirus-Programmen nicht in den Sinn gekommen zu sein, eine einfache Regel der Marke „Ein ZIP-Archiv, in dem ein bearbeitetes, aber leeres Office-Dokument liegt, ist gefährlich“ zu formulieren. Warum sollten sie auch?! Sie haben ja auch jahrelang keine Regeln für die sehr primitiven Dateinamenstricks der Marke .pdf.exe formuliert, und das war viel einfacher. Oder anders gesagt: Den Herstellern von Antivirus-Schlangenöl scheint Computersicherheit egal zu sein. Der Rest ist Reklame ist Lüge, immer wieder wiederholt in einem riesigen medialen Apparat, der Reklamelügen auf jedem nur denkbaren Kanal wieder und wieder wiederholt, bis es auch der Letzte noch glaubt.

Antivirusprogramme sind Schlangenöl. Und wenn man sich darauf verlässt, dass sie funktionieren, sind sie ein sehr gefährliches Schlangenöl – zum Beispiel im Fall dieser Spam.

Wer sich vor der Kriminalität im Internet schützen will, holt sich kein Schlangenöl, sondern ein Betriebssystem, mit dem er sicherer unterwegs ist. Und. Wer sich vor der Kriminalität im Internet schützen will, lernt, Spam selbst zu erkennen – das Gehirn ist der beste Spamfilter überhaupt – und zu löschen und seine Internet-Software so restriktiv wie möglich zu konfigurieren.

²An sich bestimmt file nur den Typ einer Datei, aber zu typischen Datei- und Dokumentformaten werden oft weitere Angaben gemacht.

Grüße aus dem Ötztal

Mittwoch, 2. Juli 2014

Tja, Spammer, ist schon kacke, wenn man HTML-Entitäten im Betreff hat. Und dumm, wenn mans nicht einfach mal testet, bevor man sein Strunzskript auf ein wehrloses Internet loslässt. Du bist halt ein Idiot. Da hilft auch nicht mehr deine mit von irgendwelchen Webservern eingebetteten Grafiken verzierte, HTML-formatierte Mail, zumal die auch ein bisschen doof geraten ist.

01.07.2014

Stimmt, dieses Datum hatten wir gestern. Die E-Mail wurde allerdings heute, am 2. Juli um 11:37 Uhr versendet, was ja auch jedes Mailprogramm so anzeigt. Ich möchte beinahe denken, diese sichtbare Verzögerung kommt daher, dass der Absender gerade keine passende E-Mail-Briefmarke zur Hand hatte und erstmal eine erwerben musste. :mrgreen:

Anzahlungsbestätigung

Tja, für eine Betreffzeile hätte sich ja eigentlich der Betreff der E-Mail geeignet, statt da irgendwelche Grüße aus dem Ötztal falsch kodiert reinzuschreiben.

Sehr geehrte, […]

Bwahahaha! :D

[…] gerne bestätigen wir den Erhalt der Anzahlung in der

Höhe von 300,00 ˆ

für Ihren Aufenthalt vom ( Anreise ) 02.08.2014 bis (Abreise) 06.08.2014.

Aha, der Euro ist kaputt, und statt „€“ schreiben wir jetzt einen accent circonflex ohne Buchstaben drunter – da glaubt man doch sofort, eine geschäftliche Mail zu lesen! Nun ja, in der französischen Sprache dient die Auszeichnung eines Vokals mit dem „Dächchen“ häufig zur Kennzeichung eines weggefallenen „s“, und in dieser Spam kennzeichnet sie das wegen Dachschadens weggefallene Hirn des Spammers.

Wir freuen uns auf Ihren Besuch und wünschen gute Anreise.

Mit freundlichen Grüßen

Astrid

Und wer immer noch nicht gemerkt hat, dass es sich hier um die mies gemachte Spam eines kriminellen Halbaffen handelt und sich fragt, was das alles soll, der findet irgendwann auch den Anhang. Der ist – natürlich – ein ZIP-Archiv, in dem eine einzige Datei liegt, deren Dateiname auf .pdf.exe endet. Wie üblich handelt es sich um aktuelle Schadsoftware, die von etlichen Antivirus-Schlangenölen noch nicht als Schadsoftware erkannt wird. Wer das ZIP entpackt und unter Microsoft Windows einen Doppelklick auf die Datei macht, hat also hinterher einen Computer anderer Leute auf dem Schreibtisch stehen – und diesen Leuten sollte man etwas anderes geben, Handschellen zum Beispiel. Zum Glück ist diese Spam so schlecht, dass wohl kaum jemand darauf reinfallen wird…