Informatives zur Spam

Hier werden Beiträge gesammelt, die nicht einfach nur eine Spam behandeln, sondern von eher allgemeinem und informativen Charakter sind, damit solche Texte nicht in der Flut der täglichen Spam untergehen. Dies geschieht auf Anregung meines Lesers Cassiel. Natürlich steht ein spezieller RSS-Feed für diese Inhalte zur Verfügung.

Warum man immer mit wirksamem Adblocker surft

Donnerstag, 30. März 2017

Wir unterbrechen unser reguläres Programm für eine interessante und wichtige Durchsage des Bundesamtes für Sicherheit in der Informationstechnik, die Hervorhebung ist von mir:

Die Manipulation von Webseiten ist ein weit verbreitetes Mittel, Cyber-Angriffe durchzuführen. Angreifer verstecken dazu schädliche Programme auf Webseiten, die sich durch eine Sicherheitslücke beim Besuch der Webseite selbst auf den Rechner des Anwenders aufspielen. Häufig wird derartige Schadsoftware verwendet, um Daten auszuspionieren oder Schaden auf dem Zielrechner zu verursachen. Eine der Hauptursachen für diese sogenannten Drive-by-Angriffe sind schädliche Werbebanner. Diese werden von unbekannten Dritten bereitgestellt oder von Agenturen vermarktet und werden häufig ohne Überprüfung oder Qualitätskontrolle in eine Webseite eingebunden. Auf diese Weise werden auch populäre und ansonsten gut abgesicherte Webseiten Ausgangspunkt von Cyber-Angriffen

Wirksame Adblocker schützen vor den Angriffen der „Cyber-Kriminellen“, denn eine der Hauptursachen für derartige Angriffe sind verseuchte Werbebanner, die über typische gegenwärtige Werbenetzwerke in andere Websites eingebettet werden. Ja, das ist die Ansage des BSI, nicht die im geduldigen Internet veröffentlichte Meinung eines „dahergelaufenen Bloggers“ wie mir, die leider meist ignoriert wird.

Zum Beispiel werden solche Werbebanner auch immer wieder einmal in die journalistischen Websites eingebettet, die ihre Besucher teils aufdringlich mit vorsätzlich irreführenden Texten und lustigen Versuchen der Technikverhinderung zum Abschalten ihrer Adblocker nötigen wollen – damals wie heute. Bei der alltäglichen Webnutzung ist ein wirksamer Adblocker ein wichtigeres und wirksameres Schutzprogramm als ein so genanntes Antivirus-Programm.

Lassen sie sich niemals dazu überreden, einen Webbrowser ohne Adblocker zu benutzen. Es ist gefährlich. Sie würden sich ja auch nicht dazu überreden lassen, ihr Antivirus-Programm abzuschalten, damit das Geschäftsmodell eines anonymen (und verantwortungslos vorgehenden) Gegenübers im Web besser funktioniert.

Und achten sie bitte einmal darauf, ob und wie ihr bevorzugtes journalistisches Webportal heute über diese Presseerklärung des Bundesamtes für Sicherheit in der Informationstechnik berichtet! Ich befürchte, die für die meisten Leser wichtigste, direkt zu einem wirksamen Schutz vor der gegenwärtigen Internet-Kriminalität führende Information aus dieser Presseerklärung wird ihnen von den Qualitätsjournalisten unterschlagen. Daraus können sie dann lernen, was sie, ihr Leben, ihr Schutz vor kriminellen Machenschaften, ihre Privatsphäre und ihre Computersicherheit denjenigen Journalisten wert sind, von denen sie sich täglich die Meinung bilden lassen. Und dann kommen sie bitte nie wieder auf die Idee, ihren Adblocker abzuschalten, weil ein Presseorgan sie darum bittet!

(Vielleicht kommt es ja gar nicht so schlimm und ich sehe nur schwarz. Aber ich habe die Verantwortungslosigkeit und Chuzpe von Journalisten und Pressewebsites in den letzten Jahren als nahezu unendlich kennengelernt.)

Weitere Lektüre zu diesem Thema findet sich unter dem Schlagwort Adblocker hier auf Unser täglich Spam. Gerade die vielen kleinen Artikel, die sich mit dem Versuchen von Presseverlegern beschäftigen, Adblocker kriminalisieren und verbieten zu lassen, sind auf dem Hintergrund der heutigen Ansage des BSI sehr interessant geworden.

Nachtrag 31. März 2017, 0:25 Uhr

Für Allergiker möchte ich vorab warnen, dass dieser Nachtrag ein bisschen bitter schmeckende Galle enthält.

Ich habe keine Mühe gescheut und eben mit Google News nach dem Suchbegriff BSI gesucht. Es gibt gemäß diesem Suchbegriff zurzeit insgesamt drei auf Google News aggregierte journalistische Produkte, die heute über die nicht ganz unwichtige Pressemitteilung des BSI berichtet haben:

Netzpolitik.org – BSI bestätigt: Werbebanner liefern Schadsoftware aus
Klare und knackige Information, das für Computernutzer Wichtigste steht bereits in der Überschrift, es werden klare Hinweise zum Schutz gegeben und es wird dar Lobbyismus des Presseverlagswesens in der BRD benannt, der alles daran setzt, diese Schutzmöglichkeit zu kriminalisieren. Nun gut, etwas anderes war von Netzpolitik auch nicht zu erwarten.
Golem.de – BSI beschwichtigt und warnt vor schädlichen Werbebannern
Eine klar formulierte Meldung, die in der Überschrift bereits das für Computernutzer Wichtigste ausdrückt und im Text im Wesentlichen die Presseerklärung des BSI mit anderen Worten wiedergibt und zusätzlich den Hintergrund ein wenig beleuchtet. Genau das, was ich vom Journalisten erwarte, aber nur selten geliefert bekomme. Angesichts der Tatsache, dass Golem einen wohl erheblichen Teil seiner Einnahmen durch die Einblendung von Werbebannern erwirtschaften wird, ist dies einer dieser seltenen und lobenswerten Fälle von Journalismus, der auf Aufklärung setzt, statt einer dem Leser niemals deutlich kommunizierten Agenda des Vertretens wirtschaftlicher Eigeninteressen zu folgen. Dafür ein ganz dickes Lob von mir! (Und ich vergebe das wirklich ungern!)
Bayerischer Rundfunk – Neuer Hackerangriff auf Bundestag
Das, was Journalisten so sehr am Wort „Lügenpresse“ verletzt, ist vor allem die einfache Tatsache, dass es sich beim besten Willen nicht um eine „Wahrheitspresse“ handelt. Der bayerische Rundfunk verschweigt nicht nur den für Computernutzer wesentlichen Teil der BSI-Presseerklärung, sondern zieht sich einen völlig anderen Infektionsweg aus dem Arsch, der überhaupt keinen Gedanken an Adblocker aufkommen lassen kann. Bitte gut festhalten:

Bekannt ist lediglich, dass die Abgeordneten ihre Rechner infizierten, als sie eine möglicher Weise gefälschte Nachrichten-Site im Ausland ansurften

Ich wünsche Ihnen auch weiterhin viel Spaß beim Bezahlen der so genannten Rundfunkgebühr, die in Wirklichkeit eine Abgabe zur Finanzierung der Verblödung der Bevölkerung der Bundesrepublik Deutschland ist!

Alle anderen journalistischen Organe haben entweder die Presseerklärung des BSI komplett vor ihren Web-Lesern verheimlicht oder lehnen es neuerdings ab, in Google News gelistet zu werden, weil sie keine Leser mehr zu den eingeblendeten Werbebannern (können zwar Spuren von gefährlicher Schadsoftware enthalten, aber Geld stinkt ja nicht) locken wollen. Angesichts des SEO-Aufwandes, den diese Pressepublikationen ansonsten betreiben, um gut in Google gelistet zu werden, kann die zweite Erklärungsmöglichkeit wohl vollständig ausgeschlossen werden.

Ich wünsche den Presseverlagen, die in meiner Achtung seit rd. zwanzig Jahren jeden Monat ein bisschen tiefer gesunken sind, viel Spaß auf ihrem Weg in die Irrelevanz und Insolvenz!

Nachtrag 1. April 2017, 0:25 Uhr

Nicht nur mir ist das merkwürdige Schweigen der Pressepublikationen zu einem bemerkenswerten und als Nachricht interessanten Vorgang – immerhin ist der Kontext ein gemutmaßter „Cyberangriff“ auf den Deutschen Bundestag – aufgefallen, sondern auch Mike Kuketz. Die dort geäußerte Meinung, wie es zu diesem brüllend lauten Schweigen kommt, entspricht völlig meiner.

Wenn sie nicht zum Opfer von Verbrechern werden wollen, sollten sie sehr darauf achten, dass sie sich nicht ausschließlich aus Presseorganen informieren. Das Internet ist großartig. Nutzen sie es einfach!

Quelle des Piktogrammes mit dem Ausrufezeichen: Openclipart.

Wichtige Kundendurchsage

Mittwoch, 29. März 2017

Vorab: Diese E-Mail kommt nicht von der Sparkasse. Es ist eine Spam. Die Sparkasse schreibt solche E-Mails nicht. Der Absender…

Von: Sparkassen-Finanzgruppe <noreply-65454@sparkassen-finanzgruppe.de>

…ist gefälscht. Nicht darauf oder auf ähnliche Spam reinfallen! Alle Daten, die nach einem Klick auf der verlinkten Website eingegeben werden, gehen an Kriminelle, nicht an die Sparkasse.

Wichtige Kundendurchsage
Datum: 26.03.2017

[Die Spam ist vom letzten Sonntag, also schon drei Tage alt.]

Hui, eine „Kundendurchsage“. Da fühlt man sich ja wie im Supermarkt, wenn das konsumfördernde Bandgedudel von einer scharfen und deutlich lauteren Stimme unterbrochen wird: „Bitte beachten sie auch unser Frischfleischangebot des Tages“ nebst Ansage der verbilligten Preise für das Gammelfleisch, das gerade ganz schnell raus muss.

Genau die Vorstellung, die an eine Sparkasse erinnert.

Und, was wird jetzt durchgesagt?

Guten Tag Vorname Nachname,

Erstmal der Name. Im Original stand hier der Vorname und der Nachname des Empfängers. Was dort allerdings nicht stand, war die Kontonummer, um die es geht – denn gar nicht so wenige Menschen unterhalten mehrere Bankkonten. Aber woher sollte der Spammer eine Kontonummer wissen? Die ist doch bei den großen Datenschleudereien der letzten Jahre nicht bekannt geworden. Also kann er keine Kontonummer nennen.

Merke: Wenn ein Kreditinstitut eine Mitteilung zu einem Konto macht, dann steht immer die betreffene Kontonummer dabei. Wenn die Kontonummer nicht erwähnt wird, handelt es sich entweder um Spam oder um Reklame ihres Kreditinstitutes, also um dumme Kommunikationsversuche, die ohne weitere geistige Anstrengung und Lebenszeitvergeudung gelöscht werden können.

in den nächsten Tagen erfolgt eine Aktualisierung unserer Sicherheitsnetzwerke bezüglich des Online-Bankings.

Schön, aber was habe ich damit zu tun? Die Herstellung der Sicherheit ist genau so eine Angelegenheit der Bank wie der Aufbau und die Unterhaltung von Filialen und die technische Vorsorge, dass man sich am Geldautomaten nicht mit einem kleinen Trick den Jackpot im Form einer zügigen Ausgabe sämtlicher bunter Läppchen ziehen kann. Der Kunde bekommt von solchen Dingen nichts mit. Warum auch? Er hat ja auch nichts damit zu tun.

Dabei wird insbesondere die Gewährleistung Ihrer Sicherheit eine große Rolle spielen.

Schön, aber was habe ich damit zu tun? Ach, ich wiederhole mich. 😉

Damit die Aktualisierung allerdings bei Ihnen ausgeführt werden kann, ist eine Bestätigung Ihrer Daten erforderlich, um die Sicherheitsstandards zu erfüllen.

Aha, das funktioniert jetzt angeblich nur, wenn ich gegenüber der Spaßkasse Daten „bestätige“, die die Spaßkasse längst hat. Es ist der Spaßkasse nicht möglich gewesen, sich selbst darum zu kümmern, obwohl die Daten bei der Spaßkasse vorliegen. Und es ist völlig unklar, bei wem dadurch welcher „Sicherheitsgewinn“ entstehen soll, denn es ändert sich ja nichts an der Datenhaltung der Spaßkasse, wenn man dort längst bekannte Daten noch einmal eingibt.

Diese völlig unlogisch klingende und von einem Menschen mit nur durchschnittlichem technischen Verständnis als lachhaft empfundene Behauptung der Spaßkasse ist der klassische Bullshit-Grund, den Phisher in ihren Spams anführen, um den Empfängern zu erklären, warum sie jetzt ihre ganzen Bankdaten noch einmal in einer Website angeben sollten.

Wir leben zurzeit im Jahr 2017. Die erste derartige Phishing-Spam auf Bankkonten mit Online-Banking habe ich in der ersten Hälfte der Nuller Jahren gesehen. Dieser internetgetriebene Trickbetrug hat einen enormen Bart. Es ist eigentlich kaum zu glauben, dass noch jemand darauf hereinfällt – aber ich habe erst vor ein paar Wochen einen rd. sechzigjährigen Mann durchschnittlicher Intelligenz (also wahrlich kein Dummkopf!) erlebt, der in diesem Jahr auf eine derartige Phishing-Spam hereingefallen ist und der Organisierten Kriminalität neben den für einen kriminellen Identitätsmissbrauch hinreichenden persönlichen Daten einen vollen Zugriff auf sein Postbank-Konto gegeben hat. Er hatte tatsächlich vorher nicht ein einziges Mal vom Phishing und den dabei angewendeten Methoden gehört. Sicher, wenn er auf der Postbank-Website danach gesucht hätte, hätte er auch deutliche, allgemeinverständlich formulierte Hinweise in einer Übersicht technischer Begriffe gefunden [Dauerhaft archivierte Version der verlinkten Seite in der Postbank-Website]. Aber: Das Wort war für ihn ein Fremdwort, das er noch nie gehört hatte, bis er selbst zum Opfer der Kriminellen wurde. Wie hätte er auf die Idee kommen sollen, danach zu suchen?

Die Überheblichkeit der „Wissenden“ ist hier völlig fehl am Platze. Besser wären Versuche, jene zu erreichen, die noch nicht wissen. Versuche die man so lange wiederholt, bis jeder weiß, was Phishing ist und wie man sich davor schützt. Die Postbank scheint sich keine besondere Mühe gegeben zu haben, ihn als ihren Kunden darüber aufzuklären (zum Beispiel mit einer kleinen Broschüre, die zusammen mit der normalen Post immer wieder an alle Kunden versendet wird und die von ihrem Design her nicht nach müllwürdiger Reklame mit hochglanzlächelnden Glücksmotiven zum Postbank-Gelb, sondern nach wichtiger, Aufmerksamkeit erfordernder, lesenswerter Information aussieht). Vom Journalisten erwarte ich ja gar nicht mehr, dass er sich im mies bezahlten Ringen um contentindustrielle Werbeplatzvermarktung auch noch um die lebenspraktische Bildung seiner Leser bemüht, aber ein Kreditinstitut dürfte enorme Verluste durch den internetgetriebenen Betrug aller Art haben und sollte allein deshalb ein deutliches Eigeninteresse entwickeln.

Für die Verbrecher ist diese Passivität derer, die eigentlich ein Interesse an der Bekämpfung des Phishings haben müssten, ein unglaublicher Glücksfall. Sie können auch im Jahre 2017 immer noch ein paar Millionen Spams versenden und sich darauf verlassen, das sie hinterher zwanzig bis dreißig Bankkonten und Identitäten anderer Menschen für ihre Betrugsgeschäfte zur Verfügung haben. Die angebliche „Aufklärung“ der Kunden ist ein Feigenblatt, das nur jene erreicht, die schon ein gewisses Wissen um kriminelle „Geschäftsmodelle“ aus anderer Quelle erworben haben.

Klicken Sie diesbezüglich bitte auf die untenstehenden Fläche.
Sie werden daraufhin zu einer sicheren Seite der Sparkassen AG weitergeleitet. Weitere Schritte werden Ihnen auf der Seite mitgeteilt.

Zum Online-Banking

So so, „diesbezüglich“. Ein schönes Wörterbuch hat er, der Phisher.

Dieser – hier mit einem „Click here“ eingeleitete – Teil ist das wichtigste Erkennungszeichen für Phishing. Es soll auf einen Link in einer E-Mail geklickt werden (manchmal auch ein Anhang einer E-Mail geöffnet und ausgefüllt werden), um anschließend irgendwelche Daten zu „bestätigen“.

Genau das sollte man NIEMALS tun!

Wenn man es sich angewöhnt, die Website seiner Bank niemals über einen Link aus einer E-Mail aufzurufen, sondern sie immer direkt im Browser öffnet, kann man gar nicht auf Phishing hereinfallen. Die Webbrowser haben dafür praktische Lesezeichen, so dass man die URL seiner Bank nicht immer wieder von Hand eingeben muss.

Wenn man nach Empfang einer derartigen Mail – und es gibt Phishing-Mails, die deutlich besser als die hier vorliegende gemacht sind – die Website seiner Bank im Browser aufruft und sich dort wie gewohnt anmelden kann, ohne irgendeinen Hinweis zu sehen, dass man etwas tun muss, hat man einen Betrugsversuch erfolgreich abgewehrt. Wenn ein solcher Betrugsversuch gelingt und es auch zu einem Missbrauch der Identität durch die Verbrecherbanden kommt, kann das dem Betroffenen leicht mehrere Lebensjahre mit allerlei Ärger verhageln. Denn die Polizei schläft nicht, und wer als erstes ermittelt wird und nach einer Anklage wegen Betruges als Beschuldigter zur Aussage anreisen muss, ist klar: Der, dessen Name, Anschrift, Konto und Geburtsdatum verwendet wurde. Nebenbei darf man sich dann auch noch mit der Schufa streiten. Und mit allerlei Anwälten und Inkasso-Klitschen, die beidesamt sehr scharfe Briefe schreiben. Und dass es im Rahmen von Ermittlungen in Sachen gewerbsmäßiger Computerbetrug auch einmal zu einer Durchsuchung und Beschlagnahme von Geräten am Arbeitsplatz kommt und dass man das dann anschließend seinen Kollegen und seinem Chef erklären darf, ist gar nicht so selten. 🙁

Niemand will diese Art von Ärger. Deshalb ruft man die Website seiner Bank (und die von eBay, Amazon, PayPal und dergleichen) niemals auf, indem man in eine E-Mail klickt.

Der persönliche Aufwand, den man mit dieser sehr einfachen Vorsichtsmaßnahme hat, ist beinahe gar keiner: Man muss nur einmal die Startseite seiner Bank als Lesezeichen im Webbrowser speichern, fortan dieses Lesezeichen verwenden und um jeden Preis vermeiden, in E-Mails zu klicken, die aussehen, als kämen sie von der Bank. Es ist nicht einmal ein Komfortverlust. Aber es ist ein riesiger Sicherheitsgewinn – der sogar noch in solchen Fällen wirkt, wenn die Website der Bank einmal eine üble XSS-Sicherheitslücke haben sollte, die es Verbrechern ermöglicht, über einen präparierten Link eigenen Code im Kontext der Website der Bank auszuführen. (Nein, das ist keine rein theoretische Gefahr, sondern es ist schon einmal passiert.)

Und auch, wenn Wissende darüber lachen, sage ich es hier lieber noch einmal ganz deutlich: Antivirus-Programme helfen nicht gegen Phishing. Es gibt im Phishing keinen Schadcode, der eine Gefahr für die Computersicherheit darstellt. Phishing zielt nicht auf den Computer, sondern auf die Psyche, das Unwissen, die Unsicherheit oder die Angst des Anwenders.

Vielen Dank für Ihre Geduld und Ihr Verständnis in dieser Angelegenheit.

Vielen Dank für den pseudohöflichen Dank für Haltungen, die ich nicht habe. Vor meinem Arsch ist auch kein Gitter!

Diese E-Mail wurde automatisch generiert. Bitte antworten Sie nicht darauf.
Beachten Sie bitte, dass Ihre Mitteilung an uns via E-Mail nicht verschlüsselt wird.

Natürlich wurde die Spam automatisch generiert. Und ein paar Millionen weitere davon. Und natürlich ist eine E-Mail, die man nicht explizit selbst verschlüsselt, unverschlüsselt. Das heißt, dass sie…

Eine Kenntnisnahme durch Dritte ist daher nicht auszuschließen.

…jeder mitlesen (und sogar verändern) kann, weil sie offen wie eine Postkarte durch das Internet befördert wird. Dass Kreditinstitute mit ihrem doch etwas vertraulichen Geschäftsfeld auch im Jahre 2017 immer noch nicht dazu imstande sind, einen PGP-Schlüssel für die E-Mail-Kommunikation mit ihnen zu hinterlegen, ist auch so ein Hassthema von mir. Niemand würde einen Kontoauszug auf einer Postkarte akzeptieren, niemand würde eine Anfrage nach einem Beratungsgespräch wegen eines Darlehens oder einer Geldanlage auf einer Postkarte verfassen. Aber genau das muten Banken – und zwar nach meinem Kenntnisstand: Sämtliche Banken in der Bundesrepublik Deutschland – ihren Kunden bei der E-Mail-Kommunikation mit Bankmitarbeitern zu.

© 2017 Sparkassen-Finanzgruppe GmbH

Urheberrecht auf eine E-Mail. Fast so wertvoll wie ein kleines Steak.

Handelsregisternr. HRB 91513B | USt-ID DE 214205098

Natürlich hatte die Sparkasse mit dieser Spam nichts zu tun.

Diese aktuelle Phishing-Spam ist ein Zustecksel meines Lesers B.S.

In eigener Sache

Dienstag, 28. Februar 2017

Zehn Jahre "Unser täglich Spam"

Heute vor genau zehn Jahren schrieb ich mein erstes Blogposting in diesem Blog – natürlich war das „Thema“ die Pest der damaligen Zeit, die Casino-Spam, die inzwischen selten geworden ist, weil sie von der Binäre-Optionen-Spam abgelöst wurde. Das „Geschäftsmodell“ ist allerdings genau das gleiche: Die Spammer kassieren Affiliate-Geld dafür, dass sie halbseidenen, abzockerischen oder gar offen betrügerischen Geschäftemachern neue Kunden zutreiben.

Auch ansonsten hat sich in den letzten zehn Jahren nicht viel verändert.

Noch immer ist Spam ein illegales „Geschäftsmodell“, das sich für die Spammer lohnt, denn noch immer gibt es genügend Menschen, die darauf hereinfallen und klicken, weil sie eine Mitteilung von einem anonym bleibenden Gegenüber erhalten haben. Spam ist für den Spammer billig. Sie lohnt sich schon, wenn nur ein paar Promille der Empfänger in der gewünschten Weise reagieren.

Noch immer sind Banken, Gewerbetreibende, Internet-Dienstleister und dergleichen nicht dazu übergegangen, ihre legitimen E-Mails digital zu signieren, um dem Empfänger die Möglichkeit zu geben, den Absender einer E-Mail jenseits jedes vernünftigen Zweifels sicher zu stellen. Diese Vorgehensweise ist meiner Meinung nach – wenn sie langfristig erfolgt und mit einer Aufklärung von Kunden und Nutzern einhergeht – die einzige Möglichkeit, den Phishing-Sumpf trockenzulegen, so dass diese moderne Form des Trickbetruges endlich Geschichte wird. Das ist angesichts der Tatsache, dass digitale Signatur von E-Mails keine obskure „Raketentechnologie“ ist und nicht einmal Geld kostet, erschreckend. Tatsächlich gibt es dafür nur eine Erklärung, und die widerspricht der Reklame der Banken, Gewerbetreibenden und Internet-Dienstleister diametral: Die Sicherheit der Kunden und Nutzer vor primitiven Betrügereien und den damit verbundenen finanziellen Schäden ist diesen Unternehmungen völlig gleichgültig.

Noch immer findet das Thema der Spam im Journalismus nicht das Maß an Beachtung, das es verdient, so dass viele Neulinge völlig unaufgeklärt ihr „Lehrgeld“ an mafiös organisierte Verbrecher bezahlen. Das, was ich vor ebenfalls zehn Jahren in die FAQ zu Unser täglich Spam schrieb, ist uneingeschränkt weiter gültig:

Fragen sie ihre Tageszeitung, warum es keine Informationen und Warnungen zu den jeweils aktuellen Phishing- und Spam-Wellen an auffälliger Stelle gibt. Das Internet ist schließlich keine Spielwiese der Nerds mehr, es ist eine Massenerscheinung, an der auch ganz gewöhnliche Menschen in verschiedener Weise Teil haben. Auch die Journaille muss unter solchen Umständen einen Beitrag zur Verbrechensverhinderung leisten. Jeder andere Trickbetrüger bringt es doch auch als Warnung in die Presse, warum also nicht ein gefährlicher Phisher, der bei Erfolg Menschen um tausende von Euros erleichtern und sogar an den Rand des persönlichen wirtschaftlichen Ruins bringen kann? Wenden sie sich an ihren bevorzugten Radio- oder Fernsehsender und fragen sie, warum es zwar Unwetterwarnungen gibt, aber keinen Hinweis auf gefährliche Schadsoftware, die ihren Weg über Spam auf die Rechner ganz gewöhnlicher Mitbürger findet und die diese Rechner in fernsteuerbare Zombies der Spam-Mafia verwandelt?

Das größte Problem im Zusammenhang der Spam ist die gefährliche Unwissenheit vieler Menschen. Das beste Mittel gegen Unwissenheit ist besonnene, den Fakten verpflichtete und hilfreiche Aufklärung.

In diesem Kontext finde ich es allerdings erfreulich, dass wenigstens das Landeskriminalamt Niedersachsen vor einigen Jahren damit begonnen hat, eine Informations- und Aufklärungssite über gängige Formen der Internetkriminalität zu pflegen. Sicher, ich habe daran auch einiges auszusetzen, aber es war ein wichtiger und lobenswerter Schritt in die richtige Richtung. Leider ist zu befürchten, dass viele, die es sehr nötig hätten, nicht rechtzeitig davon erreicht werden.

Noch immer ist es durchaus normal, dass Menschen, die von einem gewerbsmäßigen Internetbetrüger abgezockt wurden, sich zu ihrem Schaden auch noch des Spottes ihrer Mitmenschen erwehren müssen, wenn sie von ihrer Erfahrung erzählen. Spammer leben davon, dass Menschen auf ihren Betrug hereinfallen, und sie können sich dabei überraschend viel Mühe geben, in ihrer Mitteilung so seriös und glaubwürdig auszusehen, dass nicht nur ein Dummkopf darauf hereinfällt. Hochmut ist völlig fehl am Platze. Ein bisschen Hilfe nicht.

Tatsächlich wäre ich vor einigen Jahren beinahe selbst auf ein Phishing hereingefallen, wenn ich mir nicht eine Reihe von Verhaltensweisen angewöhnt hätte, die leider immer noch viel zu selten sind.

Das war im Kontext eines Crackerangriffes auf Unser täglich Spam, der erschreckend weit auf dem Server vorgedrungen war. Die Angreifer haben sogar Menschen aus meinem Bekanntenkreis angerufen, angemailt und angeIMst, um ihnen meine Passwörter zu entlocken, falls sie diese kennen – und unter den so von Verbrechern ausgequetschten Menschen ist nur einem etwas aufgefallen (so dass ich schnell davon erfahren habe und zum Glück weiteren Schaden begrenzen konnte), obwohl ich grundsätzlich nach Möglichkeit nur signierte E-Mail versende und niemals eine unsignierte E-Mail versenden würde, wenn es wichtig wäre. Ich konnte im Zuge dieses Angriffes nicht mehr abschätzen, was mein unsichtbares Gegenüber (Klingonen hätten gesagt, dass es „ehrenhaft“ kämpft) schon hat und kann. In genau dieser stressreichen Situation bekam ich eine 08/15-Phishingmail „von PayPal“, die mich natürlich sehr alarmierte. Was mich gerettet hat? Die einfache Angewohnheit, niemals in eine E-Mail zu klicken. Als ich ganz normal PayPal im Browser aufrief – es gibt dafür seit dem Mosaic Netscape 0.9 beta aus dem Jahr 1994 diese praktischen Lesezeichen – und bei dieser Gelegenheit flugs das möglicherweise kompromittierte Passwort änderte, wurde mir klar, dass es sich um Phishing handelte und dass das angebliche Problem einer von mir veranlassten, recht hohen Zahlung an ein obskures Unternehmen aus Russland gar nicht existierte.

Kurz: Unter bestimmten Umständen kann jeder auf so etwas hereinfallen. Ich selbst habe eine Phishing-Mail einmal kurz für „echt“ gehalten. Ist das ein Grund, über mich zu lachen? Wenn ja, dann tun sie sich keinen Zwang an! Es erleichtert ja, und leider tut es dies oft, ohne notwendige Denkprozesse anzustoßen, die zu mehr Vernunft im Alltag führen.

Und noch immer trainiert PayPal seine Nutzer und Kunden nicht darin, niemals in eine E-Mail zu klicken. Ganz im Gegenteil. Da ist das viele erfolgreiche Phishing auf PayPal-Konten nicht weiter überraschend – zumal PayPal noch immer darauf verzichtet, seine E-Mails an seine Kunden digital zu signieren.

Kurzum: Es gibt keinen Grund, inne zu halten und irgendetwas zu feiern.

Aber ich hatte weder die Absicht noch die Möglichkeit, etwas Nennenswertes zur Bekämpfung der Spam zu leisten.

Als ich heute vor zehn Jahren mit diesem Blog begann, habe ich mir das damalige WordPress-Standardlayout „Kubrick“ genommen, die Titelgrafik gegen „etwas mit Spamdosen“ ausgetauscht und beinahe nichts am Design verändert, um schnell loslegen zu können. Ich tat es in einer Zeit, in der ich jeden verdammten Tag zwischen zweihundert und vierhundert Spammails bekam. Das zumindest hat sich etwas gebessert – weil inzwischen ein Großteil der Betrugsnummern über Social-Media-Sites und Smartphone-IM der Marke „WhatsApp“ läuft, während im Postfach nur noch ein Rinnsal anstelle der früheren Flut ankommt. Was über „Facebook“ läuft, erfahre ich bestenfalls einmal aus zweiter Hand, denn ich bin immer noch nicht dazu bereit, das Angebot eines Unternehmens zu nutzen, das sein Geschäftsmodell mit illegaler und asozialer Spamwerbung aufgebaut hat. Das „Adressmaterial“ für die Spamwerbung wurde übrigens mit trojanischen Apps von Smartphones naiver Nutzer abgezogen. Inzwischen sind die Trojaner von Facebook oft so auf Smartphones vorinstalliert, dass man sie nicht mehr ohne Verlust der Gewährleistung deinstallieren kann, und erwachsene Menschen lassen sich diese kalte, enteignende Unverschämtheit gefallen oder finden sie sogar noch erfreulich.

Ich habe angefangen, über Spam zu bloggen, weil ich den täglichen Wahnsinn nicht mehr passiv hinnehmen wollte. Außerdem bereitet es mir Freude, die Dummheit der Spammer ans Tageslicht zu zerren und den Kriminellen hin und wieder einmal in ihre Suppe zu pinkeln. Dass es dabei zu kriminellen Angriffen gegen das Blog kommt, ist wohl unvermeidlich.

Immer noch verwendet Unser täglich Spam in seiner Standarddarstellung eine Bearbeitung des alten Standard-Themes „Kubrick“, die allerdings inzwischen erheblich ist. Das Blog wirkt optisch wie ein Anachronismus, und ich habe nicht die Absicht, das zu verändern. Mein einziges Zugeständnis an die veränderten Internetgewohnheiten vieler Menschen ist, dass ich für Smartphones und Tablets ein anderes, deutlich reduziertes Design für die gleichen Inhalte verwende. Zurzeit geht ein gutes Viertel der Zugriffe auf Unser täglich Spam von Smartphones aus. Es sind eben die Geräte, auf denen jetzt viele Menschen ihre Spam empfangen. Die Technik ist moderner, die tägliche Spam ist die gleiche, und sie scheint sich immer noch zu lohnen. 🙁

Ich wollte dieses Blog schon mehrmals einfach einstellen oder zumindest damit aufhören, es mit neuen Inhalten zu befüllen. Es gibt kein anderes Internetprojekt von mir, das ich so gern einstellen würde wie Unser täglich Spam. Meine Motivation ist gering geworden, die tägliche Spam ist die gleiche, und sie scheint sich immer noch… ich wiederhole mich.

In diesem Sinne hoffe ich, dass es nicht zu einem zwanzigsten Bloggeburtstag kommt.

Wer jetzt noch etwas Unterhaltung sucht und gerne lacht, der wandele heiteren Geistes durch die Hall of Shame, in der sich die narrengüldnen Glanzstücke zehnjährigens Bloggens über Spam finden. Ebenfalls sind jene spammigen Kommunikationsversuche, die ich unter dem Schlagwort „Dada“ abgelegt habe, oft von großem Unterhaltungswert.

Wer hingegen nichts dagegen hat, wenn ihm das Lachen richtig vergeht, schaue sich an, wie die Spammer und andere Verbrecher an ihre Daten kommen und sei sich gewahr, dass diese Vorfälle nur die Spitze des Eisberges sind.

Wie oft wurde ich schon ausgelacht, wenn ich anderen Menschen sagte, dass es nur einen Datenschutz gibt, und zwar den, den man selbst in die Hände nimmt, indem man keine Daten von sich preisgibt! Das Lachen erleichtert ja, und leider tut es dies oft, ohne notwendige Denkprozesse anzustoßen, die zu mehr Vernunft im Alltag führen.

Aber ich wiederhole mich…

Wie so oft.

Laufendes Phishing von Google-Mail-Accounts

Montag, 16. Januar 2017

Symbolbild: Wurm als Köder am Angelhaken Dies ist keine Spam, sondern ein Hinweis auf eine laufende Form des Phishings, auf die erstaunlich viele Menschen hereinzufallen scheinen – und natürlich die Aufforderung, nicht darauf hereinzufallen.

Wenn sie den Webmailer eines Freemail-Providers benutzen – ich empfehle ihnen übrigens dringend die Benutzung einer guten Mailsoftware – dort auf ein Bild oder einen Link in einer empfangenen E-Mail klicken und daraufhin aufgefordert werden, sich neu einzuloggen… bis dahin kennen sie das Muster sicher schon… dann achten sie nicht nur darauf, dass wirklich accounts.google.com in der Adresszeile ihres Webbrowsers steht, sondern auch darauf, dass diese Adresszeile nicht mit data: beginnt! [Der Link geht auf einen englischen Text.]

Technisch betrachtet haben die Phisher ihre Phishing-Seite nicht irgendwo im Web abgelegt, sondern einfach in Form einer Data-URL eingebettet, die sich in der Adresszeile des Browsers so präsentiert, dass ein täuschender Eindruck erweckt wird.

Von einer kommenden Ausweitung des Verfahrens auf andere Freemail-Anbieter, auf Social-Media-Sites und auf das Phishing von Bankdaten gehe ich aus.

Deshalb nochmal: Niemals Zugangsdaten in ein Browserfenster eingeben, dessen angezeigte Adresse mit data: beginnt! Noch besser und sicherer ist es freilich, wenn man sich niemals irgendwo anmeldet, nachdem man einen Link in einer Mail, einem Tweet oder in sonst etwas prinzipiell Spambarem geklickt hat, sondern stattdessen immer die Startseite des entsprechenden Webdienstes von Hand aufruft (Browser haben dafür eine praktische Lesezeichen-Funktion), um sich dort dann eventuell anzumelden. Wenn dabei auf einmal keine Anmeldung mehr nötig ist, hat man einen Phishing-Versuch abgewehrt. Diese an sich sehr einfache, aber leider etwas unbequeme Vorsichtsregel hätte übrigens auch diese neue Form des Phishings verhindert.

Hinweis via @benediktg@gnusocial.de

Heise Online desinformiert (manchmal) seine Leser

Samstag, 10. Dezember 2016

Dies ist keine Spam, sondern ein Hinweis auf eine gefährliche journalistische Desinformation durch Weglassen wesentlicher Information, die in dieser Form der Organisierten Internet-Kriminalität direkt zuarbeitet.

Wieder einmal wird Schadsoftware über (diesmal aufwändig) verseuchte Ads verbreitet. Und, was empfiehlt Heise Online seinen Lesern?

Schützen kann man sich gegen solche Angriffe eigentlich nur, indem man immer die aktuellen Versionen von Betriebssystem, Browser und Erweiterungen einsetzt

Natürlich ist das halb wahr, und deshalb als Unwahrheit auch so gefährlich. Ein aktueller Systemstand und aktuelle Software ohne bekannte Sicherheitslücken, die von Kriminellen ausgenutzt werden können, sind die Grundlage der Computersicherheit. Nur ein beseitigter Fehler ist ein guter Fehler.

Aber gegen Schadsoftware in Ads hilft vor allem anderen ein wirksamer Adblocker, der nicht nur diesen Transportweg an der Wurzel unterbindet, sondern dazu auch noch das gesamte Web viel genießbarer und schneller macht. Weil nahezu jeder Webbrowser-Angriff der letzten Jahre Javascript verwendete, empfehle ich zusätzlich einen guten, konfigurierbaren Javascript-Blocker, der es möglich macht, das Privileg einer Javascript-Ausführung gezielt an vertrauenswürdige Websites zu vergeben. Es ist einfach keine gute Idee, jedem anonymen Gegenüber die Möglichkeit zu geben, Programmcode im Browser auszuführen. Viele empfinden einen Javascript-Blocker allerdings als etwas „nervig“, zumal zurzeit sehr viele Websites teilweise aufdringlich dazu auffordern, Javascript zu gestatten, obwohl es keinen technischen Grund dafür gibt (und mit dieser Haltung ebenfalls die Organisierte Internet-Kriminalität fördern). Der Adblocker muss aber in jedem Fall sein, und er ist das genaue Gegenteil von „nervig“. 😉

Warum Heise Online das seinen Lesern nicht empfiehlt? Weil Heise Online über eingeblendete Reklame finanziert wird und eine solche, wirksame Empfehlung dieses Geschäftsmodell beeinträchtigen würde. So leistet die (leider legale) Reklame im Web und die trotz ihrer derzeitigen Allgegenwärtigkeit äußerst halbseidene Idee einer Monetarisierung von Websites durch Reklame aus allerlei Quellen einen Beitrag zum Erfolg der Schadsoftware.

Und nein: Das Antivirus-Programm hilft nicht! Die (für die Verbrecher aufwändig) über Ads verbreitete Schadsoftware ist meist der neueste Schrei der kriminellen Kunst und kann im Regelfall für mehrere Tage von den Antivirus-Programmen nicht zuverlässig erkannt werden.

Deshalb: Niemals einen Browser ohne Adblocker benutzen! Egal, was Journalisten sagen und schreiben! Es handelt sich um eine unverzichtbare Schutzmaßnahme. Wer darauf verzichtet, handelt verantwortungslos.

Das Landgericht Hamburg über Adblocker

Freitag, 2. Dezember 2016

Es folgt das Zitat des Jahres:

Die Internetnutzer haben ein schutzwürdiges Interesse an der Abwehr unerwünschter Werbung, an Schutz vor Schadprogrammen sowie an der Kontrolle über ihre Daten.

Begründung der Entscheidung des LG Hamburg in der Sache Spiegel Online gegen Eyeo

Und ich habe dem nichts hinzuzufügen. Außer die Aufforderung, immer an diese Feststellung einer an sich kaum der Rede werten Selbstverständlichkeit durch das Landgericht Hamburg zu denken, wenn ihr mit der teilweise sehr aufdringlich und regelmäßig völlig desinformativ dargebotenen Aufforderung auf Presseverlags-Websites konfrontiert seid, doch eure Adblocker abzuschalten. Adblocker sind und bleiben eine unverzichtbare und sehr wirksame Sicherheitssoftware zum Schutz des Computers und seiner Nutzer vor kriminellen Machenschaften beim „Surfen“ im Web.

Neu und super: Browser-Addon-Spam

Dienstag, 15. November 2016

Hier geht es nicht um eine Spam, sondern um einen Artikel bei Heise Online, dessen Lektüre ich dringend empfehle:

Einige beliebte Browser-Erweiterungen werden offenbar zur Verbreitung dubioser Werbeanzeigen missbraucht. Betroffen sind laut dem Web-Entwickler Chris White die Erweiterungen Live HTTP Headers, Inject jQuery, W3Schools Hider und HTTP Headers. Möglicherweise gibt es weitere, die bislang noch nicht entdeckt wurden

Die destruktive „Fantasie“ von Spammern, Menschen an den unerwartesten Stellen mit asozialer Spam zu belästigen, kennt nun einmal kein Ende – in diesem Fall wurden einige populäre Addons für den Webbrowser „Chrome“ in Spamschleudern umgebaut, welche die Spam in sämtliche aufgerufenen Seiten integriert haben. Aus Benutzersicht sah das so aus, als handele es sich hier um „normale Werbebanner“ innerhalb der besuchten Websites.

Gegen diese relativ neue Form der Spam gibt es nur ein Mittel: Aufmerksamkeit. Keine Addons verwenden, wenn man nicht genau weiß, zu welchem Zweck diese Addons dienen und welchen Nutzen man davon haben soll! Nicht mehr benötigte Addons wieder löschen! Keine unnötigen Experimente mit Addons! Wenn der Browser sich sonderbar verhält, alle Addons deaktivieren, danach jedes Addon einzeln aktivieren und schauen, welches der Addons für das sonderbare Verhalten verantwortlich sein könnte, um dieses zu deinstallieren (und nach Möglichkeit andere Menschen gut begründet und mit einer Beschreibung der eigenen Beobachtungen davor zu warnen, um spambasierten Geschäftsmodellen so schnell wie möglich den Strom abzustellen)!

Und nein, es handelt sich nicht um ein Problem des Chrome-Browsers; derartige Addon-Spam kann auf jedem modernen Browser auftreten. Auf dem Firefox ist vor einigen Tagen das Addon „Web of Trust“ in Verruf geraten, weil es sich offenbar um einen Trojaner handelt, der seinen Nutzer überwacht und trackt. Die mit diesem Trojaner gewonnenen Überwachungsdaten wurden an jeden verkauft, der es sich leisten konnte, den Preis dafür zu zahlen. Angesichts der Tatsache, dass „Web of Trust“ als Addon gegen kriminelle Machenschaften und zur Erhöhung der Computersicherheit angepriesen wurde, handelt es sich um ein ausgesprochen niederträchtiges und verachtenswertes Geschäftsmodell. Aber es macht klar, dass es bei keinem Addon eine Garantie dafür gibt, dass es „sauber“ ist. Der einzige Schutz besteht darin, so wenig Addons wie möglich zu verwenden und aufmerksam zu bleiben.

Es gibt nun einmal keinen möglichen Spamkanal, den Spammer nicht irgendwann nutzen werden. Dazu gehören leider auch die Addon-Schnittstellen der populären Browser. Spammer spammen. Und das, was mit derartiger Spam transportiert wird, ist immer gefährlich.

Warum „Adblock Plus“ sofort deinstalliert werden muss

Mittwoch, 14. September 2016

Dies ist keine Spam, sondern nur ein Link und eine dringende Leseempfehlung: Mobilegeeks – Adblock Plus verkauft nun Werbebanner.

Adblock Plus verkauft nun Werbeanzeigen, und zieht das Geschäft höchst professionell auf. Wie ein richtiges Werbenetzwerk, mit rund 100 Millionen potentiellen Betrachtern der angeblich „akzeptablen“ Werbung. Damit öffnet die Kölner Eyeo GmbH endlich ihr Visier und offenbart, worum es bei ihrem perfiden Geschäftsmodell tatsächlich geht: um ein richtig dickes Stück vom milliardenschweren Werbekuchen.

Es gibt zwar – schon im Interesse der Computersicherheit und des Schutzes der Privatsphäre – keine Alternative zur Benutzung eines wirksamen Adblockers im Webbrowser, aber es gibt sehr wohl Alternativen zu „Adblock Plus“ von der Eyeo GmbH, und diese sollten auch anstelle von „Adblock Plus“ verwendet werden! Denn ein Adblocker, der keine trackende Reklame aus Drittquellen ausfiltert, sondern sogar zusätzliche Ads vermarktet, schützt weder die Privatsphäre seines Nutzers vor Tracking und grenzkrimineller, vorsätzlich irreführender Reklame aus Ad-Netzwerken noch den Computer seines Nutzers vor Schadsoftware, die immer häufiger über Werbebanner von Ad-Netzwerken transportiert wird.

Einmal ganz davon abgesehen, dass der eigentliche Grund für die Installation eines Adblockers ein ganz anderer ist. Wer würde Kondome benutzen, die in der Fabrik mit Speziallöchern gelocht wurden, damit nur „akzeptable“ Kinder gezeugt werden? Aus dem gleichen Grund, aus dem man wirksame und dichte Kondome benutzt, benutzt man auch Adblocker, die wirklich Ads blocken. Alles andere ist Bullshit, Etikettenschwindel und… sorry… Nutzerverarschung.

Ich empfehle übrigens uBlock Origin.