Achtung! Nicht den Anhang öffnen! Es ist eine Spam. Der Anhang ist Schadsoftware für Microsoft Windows. 💀️

Von: Buchhaltung <contact@noorfes.com>
An: undisclosed-recipients: ;

Diese Mail geht an ganz viele Empfänger auf einmal. Schon bevor man hineinschaut, kann man erkennen, dass es sich um eine Spam handelt. Einen „Antrag“ sendet niemand in die halbe Welt. 😉️

Und dementsprechend unpersönlich ist auch der Text:

Gescannte Kopie der Zahlung

Vielen Dank für Ihr Vertrauen in unser Unternehmen.

Mit freundlichen Grüßen

Man braucht nicht viel lebenspraktische Intelligenz, um nach „Genuss“ dieser drei Zeilen die vielen Schwächen im Text wahrzunehmen:

1. Es gibt keine Anrede.
2. Es gibt keine Angaben über die angebliche „Zahlung“. Weder erfährt man einen Kontext, noch eine Höhe, noch eine Buchungsnummer, noch irgendwas.
3. „Unser Unternehmen“ würde in einer echten Mail nicht darauf verzichten, seine Firmierung zu nennen, selbst wenn das Ergebnis sprachlich ein bisschen gekünstelt klänge.
4. Unter der Grußformel fehlt ein Name. In der Regel stünde dort auch eine Telefonnummer für schnelle Rückfragen.
5. Das für gewerbliche E-Mail obligatorische Impressum unter einer E-Mail ist nicht einfach nur unvollständig (was häufiger mal vorkommt), sondern fehlt völlig.

Kein Unternehmen, das an seinen Kunden hängt, würde so eine Mail schreiben. Na gut, der Azubi ist manchmal etwas unbeholfen, und irgendwann machen wir alle ein Ding zum ersten Mal und… ähm… dann auch mal nicht so gut, das ist schon wahr. Aber selbst der Azubi hätte bereits in einem mittelständischen Unternehmen eine Mailvorlage, in der die wichtigsten Dinge bereits enthalten sind, insbesondere das Impressum und ein grundlegendes Gerüst für eine Mail. Niemand tippt solche Dinge immer wieder von Hand, wenn es auch die Maschine kann. 🤖️

Und dass der Azubi so „unbeholfen“ sein sollte, dass er diese obligatorischen Angaben einfach gelöscht hätte, ist doch ein bisschen unwahrscheinlich. 🙃️

Der Text ist ja auch nur ein Köder. 🎣️

An der Mail hängt eine Datei scansa461.zip, die es in sich hat:

$ 7z l scansa461.zip

7-Zip [64] 16.02 : Copyright (c) 1999-2016 Igor Pavlov : 2016-05-21
p7zip Version 16.02 (locale=de_DE.UTF-8,Utf16=on,HugeFiles=on,64 bits,4 CPUs Intel(R) Core(TM) i5-4590 CPU @ 3.30GHz (306C3),ASM,AES-NI)

Scanning the drive for archives:
1 file, 18318 bytes (18 KiB)

Listing archive: scansa461.zip

–
Path = scansa461.zip
Type = zip
Physical Size = 18318

   Date      Time    Attr         Size   Compressed  Name
——————- —– ———— ————  ————————
2023-06-09 08:11:22 ….A        49515        18160  scansa461.js
——————- —– ———— ————  ————————
2023-06-09 08:11:22              49515        18160  1 files
$ _

Ein ZIP-Archiv mit einer einzigen Datei, hier ein unter Microsoft Windows bei Doppelklick im Windows Script Host ausgeführtes Programm, ist immer gefährlich. Selbst, wenn so etwas an einer Mail hängt, die nicht fünf Meilen gegen den Wind nach der Spam von Kriminellen stinkt. Es handelt sich definitiv nicht um eine Rechnung, einen Antrag, eine Zahlung oder etwas Interessantes, sondern um ein Programm, das mit einer irreführenden E-Mail zugestellt wurde. Ein Doppelklick führt Software eines kriminellen Spammers aus. Auf dem Schreibtisch steht hinterher der Computer anderer Leute. Die Komprimierung soll eine Analyse durch Antivirusprogramme auf Seiten des Mailservers erschweren, und das funktioniert manchmal sogar. Wenn solche Anhänge auch im Jahr 2023 immer noch ohne vorherige Rückfrage beim Absender auf Empfängerseite doppelt geklickt werden, kann ich nur sagen: Dettelbach ist überall. ⚠️

$ 7z x scansa461.zip 

7-Zip [64] 16.02 : Copyright (c) 1999-2016 Igor Pavlov : 2016-05-21
p7zip Version 16.02 (locale=de_DE.UTF-8,Utf16=on,HugeFiles=on,64 bits,4 CPUs Intel(R) Core(TM) i5-4590 CPU @ 3.30GHz (306C3),ASM,AES-NI)

Scanning the drive for archives:
1 file, 18318 bytes (18 KiB)

Extracting archive: scansa461.zip
--
Path = scansa461.zip
Type = zip
Physical Size = 18318

Everything is Ok

Size:       49515
Compressed: 18318
$ file scansa461.js 
scansa461.js: ASCII text, with very long lines (49515), with no line terminators
$ cat scansa461.js | fold | sed 10q
var _0×4fa920=_0×41f3,_0×43fda2=_0×41f3,_0×537da8=_0×41f3,_0×5a242d=_0×41f3,_0×4
e77b9=_0×41f3,_0×257957=_0×41f3,_0×549c01=_0×41f3,_0×85e570=_0×41f3,_0×3b4543=_0
x41f3,_0×284e8a=_0×41f3,_0×3fe075=_0×41f3,_0×48dc30=_0×41f3,_0×1500a4=_0×41f3,_0
x465d99=_0×41f3,_0×373b4f=_0×41f3;function uniqueDecodeBase64(_0×131dca){var _0x
e5b8fe={_0×328141:'0×1ee',_0×5e139b:'0×1ef',_0×56b09c:'O4%k',_0×23b928:'0×1f0',_
0×1bb264:'Ke@A',_0×2f1565:'0×1f1',_0×4dfae9:'AdN8',_0×2f1b02:'0×1f2',_0×2cff74:'
i8pV',_0×3a957f:'0×1f3',_0×5e7964:'(^o5',_0xb4f799:'0×1f5',_0xd723f9:'0×1f6',_0x
346716:'0×1f7',_0×20ddcf:'dG5h',_0×58429d:'0×1f8',_0×38bcfa:'Ke@A',_0×1ef32d:'0x
1f9',_0×345937:'vA1Y',_0×1ac436:')tzE',_0×2eb532:'0×1fb',_0xca5079:'gr(R',_0×29f
4cb:'XZ^$',_0×182369:'0×1fd',_0×34d0a1:'c$l&',_0×262eed:'0×1fe',_0×1076d7:'yGBg'
$ _

Natürlich haben sich die Spammer alle Mühe gegeben, den angehängten Programmcode so unlesbar und kryptisch wie nur irgend möglich zu machen, um Analysen zu erschweren. Die Schadsoftware ist eine relativ neue Brut der Kriminellen, die zurzeit nur von rd. einem Fünftel der gängigen Antivirusprogramme als Schadsoftware erkannt wird. Wer sich auf sein Antivirusprogramm verlässt, ist also in vielen Fällen verlassen… wie leider so oft. 😕️

Wer hingegen so eine Spam als Spam erkennt und sofort löscht; wer niemals den Anhang einer E-Mail öffnet, ohne sich vorher über einen anderen Kanal als E-Mail zu vergewissern, dass dieser wirklich von einem vertrauenswürdigen Absender stammt oder wer digitale Signaturen in seiner gesamten Kommunikation verwendet und die Signaturen auch überprüft, ist vor solchen recht primitiven Angriffen sicher. Wie ich zu meinem Missfallen in den letzten Monaten immer wieder gelesen habe, sind viele Unternehmen und Institutionen nicht vor solchen Angriffen sicher, und dann gibt es wieder „Cyber Cyber“ in den Nachrichten, begleitet von den technisch völlig inkompetenten, wie heilloses Gehampel wirkenden Kommentaren aus Politik und Journalismus… ☹️

Dann gibt es eine Portion „digital first, Hochdruck second“. 😲️

Oft begleitet von einem großen Schaden. Wenn eine Privatperson ihre gesamten Daten verschlüsselt bekommt und von einem Erpresser zum Bezahlen aufgefordert wird, kann das schon schlimm sein. Ich habe schon erwachsene Menschen weinen sehen, als sie auf diese Weise ein 180seitiges Dokument verloren haben und nicht verstehen konnten, dass ich empfehle, trotzdem niemals Geld an Kriminelle zu zahlen, zumal man auch gar nicht weiß, ob man wirklich seine Dateien zurückbekommt. Selbst, wenn es nicht ganz so übel läuft, dass die Masterarbeit verschwunden ist und „nur“ fünfzehn Jahre Fotos, Videos und „Zeug“ verloren gehen, ist das sehr schlimm¹. Ein Unternehmen steht nach einem solchen Angriff am Rande der Insolvenz, wenn sich die (beliebig nachladbare) Schadsoftware wurmartig durchs gesamte Netzwerk des Unternehmens vorarbeitet – von den zusätzlichen Problemen, die dadurch entstehen, dass empfindliche Kundendaten in die Hände schwer krimineller Zeitgenossen fallen, will ich gar nicht erst anfangen. 🤬️

Lasst es nicht dazu kommen! Öffnet niemals einen Anhang einer E-Mail, ohne vorher über einen anderen Kanal als E-Mail rückzufragen, ob der scheinbare Absender – die Absenderangabe einer Mail kann beliebig gefälscht werden – auch der wirkliche Absender ist und ob er diese Mail wirklich versendet hat. Und wenn man gar nicht weiß, wer der Absender ist: Ab in den Müll damit! 🗑️

Aber auch, wenn man wirklich jeden Tag Mails von Unbekannten öffnen muss – etwa Bestellungen, Bewerbungen, Beschwerden von Kunden – gibt es eine einfache Lösung, die ohne Kosten und sofort zu einem erheblichen Zugewinn an Sicherheit führt: Verwendet an solchen Arbeitsplätzen ein anderes Betrübssystem als Microsoft Windows²! Zurzeit richtet sich jeder allgemeine kriminelle Angriff dieser Art gegen Microsoft Windows, weil es nicht nur sehr verbreitet, sondern auch ein „einfaches Ziel“ ist. Gute und für „normale Anwender“ geeignete Mailsoftware gibt es für jedes gegenwärtige Betriebssystem. Auf anderen Betriebssystemen ist es aber nicht ganz so einfach, jemanden eine Datei unterzuschieben, die beim Öffnen den Programmcode von Dritten ausführt, weil die Ausführbarkeit nicht am Dateinamen erkannt wird, sondern an einem Attribut, das im Dateisystem hinterlegt ist und das aktiv vom Anwender gesetzt werden müsste. Natürlich gibt es dann immer noch Probleme mit Makros in Office-Dokumenten, aber da wird ja eine Warnung präsentiert, bevor die Makros geöffnet werden. Und außerdem setzt zurzeit beinahe jede derartige Schadsoftware Microsoft Windows voraus. Die Verwendung eines anderen Betrübssystemes ist ein viel zuverlässigerer Schutz als jedes Antivirusprogramm. 💡️

¹Sichert eure Daten, wenn sie euch etwas bedeuten! Datenträger sind nicht teuer. Software für eine Datensicherung gibt es frei und kostenlos – und natürlich auch oft in einer Form, die auch von „normalen Menschen“ bedient werden kann. Also sichert eure Daten, wenn sie euch etwas bedeuten! Das hilft übrigens nicht nur gegen Kriminelle, sondern auch gegen technische Defekte…

²Es muss übrigens nicht immer Linux sein, auch FreeBSD ist sehr gut, ausgereift und noch etwas robuster gegen Angriffe.