Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.


Kategoriearchiv „Leserpost“

Systemaktualisierung – Vorname Nachname

Montag, 20. März 2017

Im Betreff stand der richtige Vorname und Nachname des Empfängers.

Von: „Volksbank.de“ <soerenvogel@online.de>

Ja ja, mal wieder eine „Bank“, die keine eigene Domain für ihre E-Mail hat. Warum sollte der Spammer sich auch Mühe bei seinem Phishing geben. Wenn er sich Mühe geben wollte, könnte er ja gleich arbeiten gehen.

Diese Spam enthält keinen Text. Sie besteht nur aus einer eingebetteten Grafik, und diese sieht so aus:

Volksbanken / Raiffeisenbanken -- Sehr geehrte Damen und Herren, in letzter Zeit kam es vermehrt zu sicherheitsrelevanten Problemen in Verbindung mit Kundendaten. Daher sind wir verpflichtet, entsprechende Maßnahmen zu ergreifen. Um die Sicherheit ihres Kundenkontos auch weiterhin gewährleisten zu können, bitten wir Sie ihre Kundendaten zu aktualisieren. -- Nach Abschluss des Vorgangs befindet sich ihr Kundenkonto automatisch auf dem aktuellen Stand der Sicherheitsbedingungen nach §§ 12-20 des Bundesdatenschutzgesetzes -- [Fortfahren] -- Vielen Dank für Ihr Verständnis -- Dies ist eine automatisch generierte Nachricht, bitte antworten Sie nicht auf diese E-Mail. -- Werbung -- Bundesverband der Deutschen Volksbanken und Raiffeisenbanken e.V. (BVR) / Schelligenstraße 8 / 10785 Berlin / Telefon / Telefax

Die gesamte Grafik ist verlinkt, also anklickbar. Der Link geht auf den URL-Kürzungsdienst von Google. Spätestens daran sollte jeder bemerken, dass es sich nicht um eine Mail von einer richtigen Bank handelt, denn warum sollte die auch einen indirekten Link setzen.

$ location-cascade https://goo.gl/8V3uLO
301	https://goo.gl/8V3uLO
302	http://331wte0aks.party/?l=c9Dz8U
Found	https://banking.de.volksbank-DJNKLVCVSF-volksbank.ru
$ _

So weit die gewöhnliche Alltagskost des Spamgenießers. Jetzt einmal etwas, was ich nicht so oft erlebe

$ lynx -mime_header https://banking.de.volksbank-DJNKLVCVSF-volksbank.ru | grep '^Location'
Location: banking-privateentry.php?entry=16YHFpxhnuPCN24Kgqf8ys73RevitI&trackid?=1sXr0nAcx2SwLfCYzTNZ
$ _

Eine lokale Weiterleitung, die mich dann endlich zum Ziel bringt und mich mit dem neuesten Schrei des Phishings auf Volksbank-Kunden bekannt macht – aber genau in diesem Moment ist der Webserver der Phisher vom Netz gegangen. :)

Offenbar hat der Hoster keine Lust auf die kriminellen Machenschaften seines Kunden gehabt. Da scheint wohl auch jemand anders die Spam „behandelt“ und schließlich gemeldet zu haben. Gut so! Das erspart einigen hundert naiven Menschen, dass ihre Konten geplündert, ihre Kreditkarten von gewerbsmäßigen Betrügern benutzt und ihre persönlichen Daten bei Betrugsgeschäften aller Art angegeben werden – vor allem der Identitätsmissbrauch kann einem Menschen mehrere Jahre seines Lebens verhageln.

Ich wünsche der russischen Polizei viel Erfolg dabei, die Betrügerbande dingfest zu machen! Leider wird sie wohl zunächst einen Menschen ermitteln, dessen Identität und Kreditkarte von Betrügern missbraucht wurden… :(

Diese Spam ist ein Zustecksel meines Lesers M.S., der dazu trocken anmerkte, dass er „so viele Konten“ hat, dass er eine App brauchte, um sie alle verwalten zu können…

Daten bestätigen – Überprüfung

Donnerstag, 2. März 2017

PayPal
Regelmäßige Überprüfung

Ja, stimmt! So etwas kommt regelmäßig. Alle paar Tage überprüfen die Spammer, ob inzwischen wieder ein paar neue Leute auf das alte Phishing reinfallen. Die Spam kostet ja auch nichts.

Guten Abend,

Natürlich weiß der Absender – im Gegensatz zum richtigen PayPal – nicht, wie der Empfänger heißt¹. Aber immerhin weiß er ungefähr, welche Tageszeit ist.

zu Ihrer Sicherheit führen wir regelmäßig eine Verifizierung ihrer Daten durch.

Das ist ja nett. Und was habe ich damit zu tun?

So können wir feststellen, dass Sie auch wirklich der Kontoinhaber sind und kein Unberechtigter Ihre Bankdaten benutzt.

Ich sage ja: Das ist nett. Aber wie wollen die jetzt feststellen, dass wirklich ich es bin und nicht Hänschen Unberechtigt aus der Spammer-Krabbelgruppe nach dem Grundkurs „Phishing auf dem Pisspott“? Und warum drohen die mir in diesem Zusammenhang subtil an…

Bis zur Bestätigung besteht ein Sende- und Abbuchungslimit.

…dass ich nicht mehr an mein Geld komme, bis ich endlich aktiv werde, statt mich ganz normal wegen eines regelmäßigen Prüfungskrams anzusprechen?

Nun, die Antwort ist wie immer verblüffend einfach:

  1. Das ist nicht PayPal.
  2. PayPal versendet solche Mails nicht. Das ist eine Spam.
  3. Alles, was in dieser Spam steht, ist Bullshit, der nur geschrieben wurde, um die Empfänger zu überrumpeln, damit diese den Absendern ihre Zugangsdaten geben.

Aber sonst wäre die Spam ja auch nicht hier gelandet. ;)

So bestätigen Sie Ihre Daten in nur wenigen Minuten:

Wer also wieder an sein Geld kommen will, sollte folgende Dinge tun, die nicht einmal besonders viel Zeit kosten:

1
Loggen Sie sich auf paypal.de in Ihr [sic!] Account ein.

In die Spam klicken. Das ist eine HTML-formatierte Spam. Der Text paypal.de ist nicht mit der Domain paypal (punkt) de verlinkt, sondern mit einer Subdomain der Domain tcl (punkt) at. Diese hat nichts mit PayPal zu tun und steht unter der Kontrolle irgendwelcher anderer Gestalten.

Übrigens: Wer sich angewöhnt, niemals in eine E-Mail zu klicken, sondern Websites immer über ein Lesezeichen in seinem Webbrowser aufzurufen, kann auf kein noch so gut gemachtes Phishing reinfallen (und es gibt besseres Phishing als dieses Beispiel). Denn natürlich würde nach einem ganz normalen Login beim richtigen PayPal schnell klar, dass alles wie gewohnt funktioniert, kein Hinweis angezeigt wird und der ganze Unsinn aus der Spam gegenstandslos ist.

Das Beste an dieser sehr einfachen Vorsichtsmaßnahme unter Verwendung des Gehirnes: Sie kostet kein Geld, braucht keine Signaturupdates, legt niemals den Rechner lahm und wirkt völlig zuverlässig gegen Phishing.

2
Sie werden automatisch weitergeleitet.

In der Tat:

$ lynx -mime_header http://s.tcl.at/K | grep '^Location'
Location: http://paypa.l-de-signin-lang-ger.info
$ _

Es geht in eine Subdomain der ausgesprochen unhandlich benannten Domain l (strich) de (strich) signin (strich) lang (strich) ger (punkt) info, bei der man nur durch Hinschauen bemerkt, dass sie mit der Absicht des Phishings eingerichtet wurde. Dies geschah übrigens erst vorgestern…

$ whois l-de-signin-lang-ger.info | grep '^Creation'
Creation Date: 2017-02-28T18:26:23Z
$ whois l-de-signin-lang-ger.info | grep '^Registrant' | sed 5q
Registrant Name: WhoisGuard Protected
Registrant Organization: WhoisGuard, Inc.
Registrant Street: P.O. Box 0823-03411
Registrant City: Panama
Registrant State/Province: Panama
$ _

…und wie gewohnt vollständig anonym unter Benutzung eines Dienstleisters aus dem schönen, sonnigen Panama. Diese Entscheidung der Spammer wurde dadurch motiviert, dass Handschellen immer so eine lästige Einschränkung der Bewegungsfreiheit sind.

3
Folgen Sie den Anweisungen.

Zur Legitimierung

Nun, wer das tut, dort seinen PayPal-Login benutzt und anschließend lauter Daten noch einmal eingibt, die PayPal schon längst kennt, gibt Kriminellen einen Zugriff auf sein PayPal-Konto und hat den Schaden.

Zugangsdatum: 21:49:20 01.03.2017

Eine völlig überflüssige Angabe, denn Datum und Uhrzeit stehen bereits im Mailheader.

Sicherheitshinweis: Sie erkennen Spoof oder Phishing-E-Mails oftmals schon in der Anrede.

Vor allem erkennt man Phishing-Mails daran, dass irgendwelche beim Absender schon längst bekannte Daten „verifiziert“ werden sollen, indem in die E-Mail geklickt wird. Deshalb kann man sich auch so einfach davor schützen, indem man sich angewöhnt, niemals in eine derartige Mail zu klicken. (Und ja, die können auch viel besser gemacht sein als dieses Beispiel.)

Diese Benachrichtigung wurde an xxx@example.com² gesendet, weil Sie in Ihren E-Mail-Einstellungen unter „Benachrichtigung“ den Erhalt aktiviert haben. Bearbeitungsnummer: PP-759xxxx

Diese E-Mail ging an die Mailadresse, die im Header als Empfänger eingetragen wurde, was nicht gerade eine Überraschung, sondern der Normalfall ist. Warum man das noch einmal erwähnen muss? Na, das macht den Text größer, sieht schön technisch aus und soll Dumme beeindrucken.

¹Das ist kein sicheres Merkmal mehr, denn den Spammern sind zu vielen Mailadressen die Namen bekannt.

²Mailadresse hier geändert.

Dieses Prachtexemplar der gegenwärtigen Phishing-Streumunition wurde mir von meinem Leser S.S. zugesteckt.

Letzte Warnung

Montag, 27. Februar 2017

Guten Morgen.

So heiße ich aber gar nicht.

– Handelsblatt schreibt: „Roboter arbeitet und generiert bis zu 89,63 Euro pro Tag für Sie!“

Einen Link für den Artikel hast du nicht? Oder wenn es nur in der Printausgabe war: eine Angabe, wann die das geschrieben haben, hast du nicht? Ich würde zu gern in die Stadtbücherei gehen, mir das Handelsblatt aus deren Archiv geben lassen und den Artikel noch einmal lesen.

Das ist nämlich eine tolle Nachricht. Niemand muss mehr arbeiten. Niemand muss mehr irgendetwas können. Man stellt sich einfach so ein Ding hin, und da quellen Monat für Monat mehr als 2.500 Øre raus. Und wenn das nicht reicht, stellt man ein zweites Dings daneben. So haben alle ganz viele viele bunte Scheine. So können alle ganz viele viele bunte Dinge kaufen. In einem Leben, das nur noch aus Freizeit besteht. Und diese Dinge stellen sich von selbst her. Ich habe diese Nachricht vor vielen Jahren sogar schon einmal gehört, aber die stand damals nicht im Handelsblatt.

– Experten an der Börse Frankfurt sagen: „Jeder Börsenmakler nutzt diese Software bereits und lässt automatisch für sich arbeiten“

Was, diese Leute nehmen so einen Pfennigkram wie 90 Øre am Tag noch mit. Bei so viel dummer Gier kann ich mir richtig vorstellen, dass die Spezialexperten darum gebeten haben, dass man ihre Namen nicht nennt. :mrgreen:

– Seit dem Update 5.2 vom 05.02.2017 arbeitet die Software komplett anders. Bis zu 250% erfolgreichen!

Aha, du hast ein Erfolgreich-o-Meter. Wie misst du denn den Erfolg? Erzeugt diese Software jetzt 250 Prozent mehr Geld als die vorherige Version? Dann hat die vorherige Version aber nur rd. tausend Øre im Monat erzeugt. Ich glaube kaum, dass das Mitmade Börsenmakler vom Hocker gerissen hätte.

– Am Ende jeden Tages gibt es einen Gewinn! Garantiert!

Fragt sich nur, für wen.

– wir versprechen keine unrealistischen Einkommen. Dafür ein Versprechen! Nämlich ein Mindesteinkommen von 70 Euro pro Tag!

Eben war es zwar noch ein bisschen mehr, aber 2.100 Øre im Monat, weil eine Software läuft und Geld „generiert“, ist ja auch ein anständiger Batzen. Ich glaube auch gern, dass es Menschen gibt, denen das „realistisch“ erscheint. Dummheit ist leider sehr verbreitet. Wer dumm genug ist, fragt sich dann auch gar nicht, warum man so etwas nur aus einer illegalen und asozialen Spam erfährt und nicht von irgendwelchen viel schlaueren Mitmenschen, die einfach jeden Tag siebzig Øre aus ihrem Geldmaschinchen ziehen und sich davon ein schönes Leben machen, statt wie die Viecher zu malochen.

Ach, es liegt daran…

– Dieses Angebot ist nur noch für 57 Mitglieder kostenlos verfügbar!

…dass das Geld normalerweise nicht kostenlos ist. Denn es gibt Leute, die verkaufen geldgenerierende Software für Geld, statt sich den Umweg übers Verkaufen zu sparen und die Software einfach Geld generieren zu lassen. Aber wer diesem freundlichen Spammer glaubt, der kommt vielleicht noch an das kostenlose Geld, wenn er ganz schnell klicki-klicki macht:

==> Beweis-Video hier anschauen und mehr erfahren

Es gibt auch Beweise!!1! Sogar für Leute, die es mit dem Lesen nicht so haben und lieber Videos gucken. Hier ist noch ein Video mit Beweisen. Viel Spaß mit den ganzen Beweisen. So viele Beweise…

Wollen Sie von uns keine weiteren Nachrichten? Hier klicken

Helau!

Dieses Glanzstück der Hirnverneinung aus dem Binären-Optionen-Limbus des Postfaches ist ein Zustecksel meines Lesers B.G.

Bestellung erfolgreich

Freitag, 17. Februar 2017

Was habe ich denn bestellt?

hören Sie. Von 100 Beta-Testern, haben mir 87 bestätigt, täglich bis zu 2000 € einzukassieren.

Habe ich Beta-Tester für Reichwerdmethdoen bestellt? Oder habe ich gar ganz normale Binäre-Optionen-Spam bestellt?

Ich biete das kostenlose Exemplar nun weiteren 50 Testern, die mir ihre Gewinne bestätigen können.

Aha, es gibt ein „kostenloses Exemplar“ einer namenlosen Sache. Wie immer streng limitiert, nur an fuffzich Leute, weil man Dateien nur so schwierig kopieren kann.

Sie wurden exklusiv von einem der Tester eingeladen.

Jemand, der keinen Namen hat, hat mich, der ich in der Spam mit „hören sie“ angesprochen wurde, zu irgendetwas eingeladen, was bis jetzt auch keinen Namen hat, sondern nur auf eine noch nicht geklärte Weise in 87% der Fälle 2000 Øre am Tag einbringt.

Um was es sich handelt?

Nun, diese Frage kann man auf zweierlei Weise beantworten. Man kann…

>> Kostenloses Test Exemplar sichern

…auf den Klickelink klicken, oder man kann sehen, dass es sich hier um eine Spam handelt und daran bemerken, dass es ein Betrug ist.

Der Spammer hat sich hier übrigens einen bemerkenswerten kleinen „Spaß“ erlaubt. Die Zieladresse des Links ist http://@bkrrayo.ru. Natürlich gibt es kein @ in Domainnamen, aber in einer URL kann man vor dem Domainnamen einen Nutzernamen und ein Passwort angeben, die durch @ vom Domainnamen abgetrennt werden, und diese Angaben können auch leer sein. Vermutlich glaubt der Spammer allen Ernstes, dass auf diese Weise seine Wegwerfdomain falsch in die Blacklists eingetragen wird, so dass er nicht so viele Domains wie beim letzten Betrugsfischzug registrieren muss. Nun ja, an irgendetwas muss man ja glauben, selbst als Spammer. Dinge werden aber nicht dadurch wahr, dass man sie glaubt:

$ surbl bkrrayo.ru
bkrrayo.ru	LISTED: ABUSE
$ _

Natürlich wurde diese Wegwerfdomain für den Link in der Spam…

$ whois bkrrayo.ru | grep '^created'
created:       2017.02.15
$ _

…vorgestern ganz frisch eingerichtet und wird auch schnell wieder weggeworfen. Binnen zweier Tage auf eine derartige Liste zu kommen, ist ein bemerkenswerter „sportlicher“ Erfolg, der auf mehrere Millionen Spams hindeutet. Der Trick mit dem @ hat gar nichts gebracht. :mrgreen:

Aber eigentlich ist es egal. Die Domain dient nur für eine schnell in PHP gecodete Weiterleitung…

$ lynx -mime_header 'http://@bkrrayo.ru' | sed '/^ *$/q'
HTTP/1.1 302 Found
Date: Fri, 17 Feb 2017 13:26:22 GMT
Server: Apache/2.2.15 (CentOS)
X-Powered-By: PHP/5.3.3
Location: http://link.trackinglink247.club/aff_c?offer_id=409&aff_id=7403
Content-Length: 0
Connection: close
Content-Type: text/html; charset=UTF-8

$ _

…die zudem die Funktion hat, die angehängte Affiliate-ID in den Spams zu verbergen. Danach geht es dann zu einem alten Bekannten – aber nicht, ohne dass es noch ein paar leckere, krümelige Cookies mit auf den Weg gibt:

$ lynx -mime_header 'http://link.trackinglink247.club/aff_c?offer_id=409&aff_id=7403'
HTTP/1.1 302 Found
Cache-Control: no-cache, no-store, must-revalidate
Content-Type: text/html; charset=iso-8859-1
Date: Fri, 17 Feb 2017 13:29:39 GMT
Expires: Sat, 26 Jul 1997 05:00:00 GMT
Location: http://swiss-methode.xyz/?clickid=1022c95682ff14d953d03fa7ddb894&aid=7403&cid=swissmethodv3
P3P: CP="NOI CUR OUR NOR INT"
Pragma: no-cache
Server: nginx/1.7.9
Set-Cookie: enc_aff_session_409=ENC02424-1022c95682ff14d953d03fa7ddb894-7403-409-0-0-0-0-DE-0-_-_-_-_-_-_-188.96.221.98-20170217082939-_-30345134733A622512372B6554440B194410090C5446582F584A065E11571A5A7C58737050734F4001; expires=Fri, 17 Mar 2017 13:29:39 GMT; path=/;
Set-Cookie: ho_mob=eyJtb2JpbGVfZGV2aWNlX21vZGVsIjoiQnJvd3NlciIsIm1vYmlsZV9kZXZpY2VfYnJhbmQiOiJMeW54IiwibW9iaWxlX2NhcnJpZXIiOiI/IiwidXNlcl9hZ2VudCI6Ikx5bngvMi44LjlkZXYuOCBMaWJ3d3ctRk0vMi4xNCBTU0wtTU0vMS40LjEgR05VVExTLzMuNC45IiwiYWNjZXB0X2xhbmd1YWdlIjoiZGUiLCJjb25uZWN0aW9uX3NwZWVkIjoieGRzbCJ9; expires=Mon, 13 Jan 2020 00:09:39 GMT; path=/;
tracking_id: 1022c95682ff14d953d03fa7ddb894
X-Robots-Tag: noindex, nofollow
Content-Length: 283
Connection: Close

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>302 Found</title>
</head><body>
<h1>Found</h1>
<p>The document has moved <a href="http://swiss-methode.xyz/?clickid=1022c95682ff14d953d03fa7ddb894&amp;aid=7403&amp;cid=swissmethodv3">here</a>.</p>
</body></html>
$ _

Die Website mit der „Swiss Methode“ eines angeblichen „Max Fischer“ hat sich in den letzten 112 Tagen nicht verändert; insbesondere sind in den letzten 112 Tagen keine neuen angeblichen Jubelpostings auf Facebook und keine neuen angeblichen Jubelfiepser auf Twitter hinzugekommen – obwohl diese immer noch angeblich vor nur zwei bis drei Minuten abgelassen wurden. Man könnte ja beinahe denken, diese „LIVE TWITTER UND FACEBOOK FEEDS, DIE MINUTE FÜR MINUTE AKTUALISIEREN“ seien eine Lüge, was übrigens kein gutes Licht auf die anderen lustigen Behauptungen auf dieser Seite würfe. :mrgreen:

Dass hier im Verlaufe mehrerer Monate nicht die geringsten Überarbeitungen vorgenommen und nicht einmal kleine Fehler¹ korrigiert wurden, belegt wieder einmal, dass so ein Spammer sich meist keine besondere Mühe mit seinem Betrug gibt. Denn wenn sich ein Spammer Mühe geben wollte, könnte er doch gleich arbeiten gehen und brauchte nicht andere Menschen zu bescheißen.

Aber das Gute an dieser Faulheit ist, dass ich keinen neuen Screenshot von der betrügerischen, mit asozialer und illegaler Spam beworbenen Website machen muss und einfach auf meinen alten Screenshot verweisen kann.

Vergessen Sie nicht, es stehen lediglich 50 Testexemplare zur Verfügung.

Nur so lange der Vorrat reicht! Extrem schwierig kopierbare Software, die übrigens für jeden, der sie benutzt, im Webbrowser läuft! :mrgreen:

Sichern Sie sich Ihr Exemplar, während es für Sie kostenlos ist.

Nicht nachdenken, schnell klicken! Sonst kriegt das Geschenk – laut Betreff der Mail meine „erfolgreiche Bestellung“ – Flügel und flattert einfach so weg.

(Handeln Sie schnell! Sichern Sie sich einen Platz, bevor jemand anderes es tut)

Denn bei den ganzen Reichwerdmethoden aus der Spam herrscht knallharter Wettbewerb. Die nehmen fast niemanden. Deshalb spammen die ja auch so viel… :mrgreen:

Vom Newsletter abmelden? HIER

Du mich auch, Spammer!

Diese Spam ist ein Zustecksel meines Lesers B.G.

¹Weil auch Spammer hier mitlesen, sage ich nicht, wo die Fehler sind. Ich möchte solchen Leuten nicht noch einmal Hilfestellung bei der Korrektur ihres optisch aufgeblähten Kurztextes auf einer Betrugswebsite leisten.

Nachricht von Ihrem Online-Kundenservice

Mittwoch, 25. Januar 2017

Aha! Und welcher „Online-Kundenservice“? Von wem? Ist es die Bank, ist es das Bordell, ist es der preiswerte Segnungsbot der lokalen neuevangelikalen Seelenfänger?

Von: "service (at) barclaycard (punkt) de" <service (at) barclaycard (punkt) de>

Richtig, es ist der „Online-Kundenservice“, der im Namensfeld des Absenders einfach seine Mailadresse wiederholt.

Natürlich ist die Absenderadresse gefälscht. Jeder kann Absenderadressen von E-Mail fälschen. Es ist tatsächlich genau so einfach, als ob man einen ausgedachten Absender auf einen Briefumschlag schriebe.

Aber die Phishing-Masche ist diesmal ein bisschen originell.

Sehr geehrter Herr Vorname Nachname,

Immerhin, der Name stimmt. (Es ist nicht meiner, diese Spam wurde mir zugesteckt.) Wer ebenfalls diese Spam bekommen hat und sich darüber wundert, wo die Spammer seinen Namen her haben, lese bitte hier weiter!

wir haben uns dazu entschieden unseren Teil zur Bekämpfung von terroristischen Organisation beizutragen.

Und der „Kundenservice“ dort – es ist bis jetzt nicht einmal klar, wer der Absender sein soll – hat extratolle geschäftliche Entscheidungen getroffen, die gar nichts mit seinem eigentlichen Geschäft zu tun haben! Nicht, dass dieser „Service“ noch anfängt, seine Kunden zu beschießen, statt sie zu bescheißen… :mrgreen:

Ach ja, übrigens: Das deutsche Wort für „Kundenservice“ ist „Kundendienst“. ;)

Unser neues Sicherheitssystem überprüft in regelmäßigen Abständen ob Sie der legitime Eigentümer der Kreditkarte sind.

Aber das braucht ihr doch gar nicht zu überprüfen, ich habe doch einen Vertrag mit euch, der mich zu legitimen Besitzer macht.

Ein besserer Satz ist euch echt nicht eingefallen, um die paar Millionen Empfänger dieser Spam dazu zu bringen, ihre Kreditkartendarten an irgendwelche Verbrecher zu geben?

Dies soll dabei helfen der widerrechtlichen Benutzung ihrer Kreditkarte vorzubeugen und so die Finanzierung von terroristischen Organisationen zu bekämpfen.

Genau, terroristische Organisationen finanzieren sich über geklaute Kreditkarten und nicht über indirekte Geldflüsse aus Saudi-Arabien! Da muss man aber ganz schön angstdumm geworden sein, bis man auf diesen Vorwand eines Phishers reinfällt.

Sollte das System Abweichungen mit den bei uns hinterlegen Informationen erkennen, sind wir gezwungen ihre Kreditkarte vorerst zu sperren.

Das ist ja ein ganz hochsicheres Sicherheitsverfahren! Einfach noch einmal die Daten eingeben, die bei euch eh schon bekannt sind! Und jemand, der sich des Kontos bemächtigt hat, konnte sich alle diese Daten schon anschauen und sie sogar verändern.

Übrigens: Es gibt Menschen mit mehr als einer Kreditkarte. Es gibt diese Menschen gar nicht mal so selten. Jeder, der gewerbliche und private Gelder trennt, könnte zwei Kreditkarten haben. In einer echten Mail stünde immer eine Kreditkartennummer.

Weiter zur Überprüfung

Genau, und die verlinkte Adresse geht über den URL-Kürzer bit.ly. Mal schauen, wo die Reise hingeht:

$ location-cascade http://bit.ly/2jc6idv
301	http://bit.ly/2jc6idv
301	http://tinyurl.com/z6k7tw7
301	http://judenurl.com/ubler
302	http://banking.barclaycard.de-online-kundenservice-f2v6vgbfdkvfldb.info/barc/card/veri/
Found	/813662/SpBucPC3LVztnHi/glDZ7Eh8OSCVxnd/760531619330/aj8QpCxIFwm4buB/83tNo4lGQsRYSUr/
$ _

Es geht – nach Verwendung dreier URL-Kürzer hintereinander – in die in ihrer Dämlichkeit epische Domain de (strich) online (strich) kundenservice (strich) f2v6vgbfdkvfldb (punkt) info, von der eine Subdomain verwendet wird, damit ein irreführender Eindruck entsteht.

Mit freundlichen Grüßen
Ihr Barclaycard Kundenservice

Um es einmal mit den Worten des Menschen, der mir diese Spam zugesteckt hat, zu sagen: „Ich habe gar keine Barclaycard“. ;)

Ja, das ist Schrotmunition. Diese Mail wird wahllos versendet, es kostet die Spammer ja nichts (oder nicht viel). Wenn auch nur ein paar Handvoll Menschen ihre Daten auf irgendeiner in einer Spam verlinkten Website eingeben, weil sie in einer Spam dazu aufgefordert wurden, hat es sich für die Verbrecher gelohnt. Um Terroristen wird es sich bei denen zwar eher nicht handeln, aber um niederträchtige Halunken allemal.

Diese Phishing-Spam ist ein Zustecksel meines Lesers M. S.

Laufendes Phishing von Google-Mail-Accounts

Montag, 16. Januar 2017

Symbolbild: Wurm als Köder am AngelhakenDies ist keine Spam, sondern ein Hinweis auf eine laufende Form des Phishings, auf die erstaunlich viele Menschen hereinzufallen scheinen – und natürlich die Aufforderung, nicht darauf hereinzufallen.

Wenn sie den Webmailer eines Freemail-Providers benutzen – ich empfehle ihnen übrigens dringend die Benutzung einer guten Mailsoftware – dort auf ein Bild oder einen Link in einer empfangenen E-Mail klicken und daraufhin aufgefordert werden, sich neu einzuloggen… bis dahin kennen sie das Muster sicher schon… dann achten sie nicht nur darauf, dass wirklich accounts.google.com in der Adresszeile ihres Webbrowsers steht, sondern auch darauf, dass diese Adresszeile nicht mit data: beginnt! [Der Link geht auf einen englischen Text.]

Technisch betrachtet haben die Phisher ihre Phishing-Seite nicht irgendwo im Web abgelegt, sondern einfach in Form einer Data-URL eingebettet, die sich in der Adresszeile des Browsers so präsentiert, dass ein täuschender Eindruck erweckt wird.

Von einer kommenden Ausweitung des Verfahrens auf andere Freemail-Anbieter, auf Social-Media-Sites und auf das Phishing von Bankdaten gehe ich aus.

Deshalb nochmal: Niemals Zugangsdaten in ein Browserfenster eingeben, dessen angezeigte Adresse mit data: beginnt! Noch besser und sicherer ist es freilich, wenn man sich niemals irgendwo anmeldet, nachdem man einen Link in einer Mail, einem Tweet oder in sonst etwas prinzipiell Spambarem geklickt hat, sondern stattdessen immer die Startseite des entsprechenden Webdienstes von Hand aufruft (Browser haben dafür eine praktische Lesezeichen-Funktion), um sich dort dann eventuell anzumelden. Wenn dabei auf einmal keine Anmeldung mehr nötig ist, hat man einen Phishing-Versuch abgewehrt. Diese an sich sehr einfache, aber leider etwas unbequeme Vorsichtsregel hätte übrigens auch diese neue Form des Phishings verhindert.

Hinweis via @benediktg@gnusocial.de

Would you accept this new position with Facebook?

Montag, 31. Oktober 2016

Nein, diese Spam kommt nicht von Facebook. Sie hat nie einen Server von Facebook gesehen.

Facebook Has Hired You
Congratulations gammelfleisch@tamagothi.de¹

It is with great pleasure that we inform you of this amazing employment opportunity with one of the best companies in the world.

Date: October 31st
Salary: 75/hr – $ 90,000 a year
Hours: You Decide

Response needed no later then Saturday. Only (2) spots remain

Accept position

Begin Now – Triple Your Salary

If this opportunity doesn’t interest you then please tell us by access this. Thanks and have wa wonderful weekend. You deserve the rest.
Products-2-Profit-Academy 8984_Cottage | Canyone_Drive Cedar+Hills Utah-84062

By going to these will completely end. 8984-Cottage-Canyone-Drive Cedar_Hills|Utah-84062-

Alle Links gehen in die Domain uxso (punkt) stream, die in SURBL bereits…

$ surbl uxso.stream
uxso.stream	LISTED: ABUSE
$ _

…für massenhafte Spam bekannt ist. Natürlich hängt an jedem Link eine eindeutige ID, so dass ein neugieriger Klick den Spammern mitteilt, dass die Spam ankommt und beklickt wird. Leider liefert das Skript der Spammer nur eine weiße Seite, wenn man es ohne eindeutige ID aufruft, und auf Veränderungen der ID reagiert es mit einem internen Serverfehler. Deshalb kann ich nicht sagen, um was für einen Beschiss es sich hier handelt, aber sicher ist, dass Facebook nichts damit zu tun hat. Hier wird einfach nur die Reputation eines in meinen Augen schon äußerst unseriösen Unternehmens mit fragwürdigen, grenzkriminellen Geschäftsmethoden abgestaubt und von Leuten für irgendwelche mailgetriebenen Geldmachnummern eingespannt, die noch wesentlich unseriöser sind.

Einen Job gibt es dort ganz sicher nicht. Jedenfalls keinen legalen.

¹Hier stand ursprünglich die Mailadresse des richtigen Empfängers. Danke, Frank, für dieses Zustecksel aus dem täglichen Irrsinn.

Domainregistrierung 2016 / 2017

Mittwoch, 14. September 2016

Bitte auf gar keinen Fall auf diese Spam reinfallen! Sie wird von Spamfiltern (noch) nicht sicher als Spam erkannt.

Von: .DE Deutsche Domain <info31 (at) deutschewebhost (punkt) com>
An: .DE Deutsche Domain <info31 (at) deutschewebhost (punkt) com>

Die Spam ist nicht an den Mailempfänger adressiert, sondern der Empfänger steht unsichtbar im BCC:-Header. Das bedeutet, dass diese Mail an mehrere Empfänger gegangen ist, und es passt gar nicht dazu, dass einer Einzelperson für eine Dienstleistung eine Rechnung zugestellt wurde.

Die Domains in der TLD .de werden übrigens nicht von einer obskuren „DE Deutsche Domain“ verwaltet, sondern von der DENIC eG. Spätestens jetzt ist klar, dass es sich um eine illegale und asoziale Spam handelt, die einfach in die virtuelle Mülltonne geworfen werden kann.

Sehr geehrte Frau / Herr,

Unternehmen, mit denen man einen Vertrag hat, sprechen ihre Kunden namentlich an.

Nachfolgend die Einzelheiten zu der Domainregistrierung für 2016 / 2017.

Für welche Domain? Ich verwalte mehrere. (Und nein, das ist keineswegs ungewöhnlich, sondern ein sehr häufiger Fall.)

Aber wenn der Spammer in seine Spam eine Domain wie tamagothi.de reinschreibt, dann wird sogar noch den naivsten Empfängern seines dummen Textes sofort klar, dass es nichts mit ihnen zu tun hat, dass es vermutlich Spam ist und dass sie die Spam einfach löschen können. Deshalb muss der Spammer – wenn er nicht weitere Daten zu seinem Opfer hat, mit denen er etwas Eindruck von Vertragsverhältnis schindet – anonym formulieren.

Wir hoffen, Sie ausreichend informiert zu haben.

Es soll ja Menschen geben, die sich einfach klar ausdrücken und nicht mehr zu hoffen brauchen, dass es ausreicht. :mrgreen:

Mit freundlichen Grüssen

Der – zugegebenermaßen recht entbehrliche – Buchstabe „ß“ fand sich wohl nicht auf der „deutschen“ Tastatur dieses Spammers.

Birgit Hoffmann

Kundendienst
DE Deutsche Domain
info@deutschedomain.com

Nach diesem grandiosen Abschluss ist gar nichts klar oder ausreichend. Insbesondere weiß niemand, um was zum hackenden Henker es hier eigentlich geht. An der Mail hängt noch ein Anhang, auf den in der Mail kein Bezug genommen wurde; es handelt sich um…

$ ls -lh Rechnung\ 232417.pdf 
-rw-rw-r-- 1 elias elias 1,4M Sep 14 11:29 Rechnung 232417.pdf
$ file Rechnung\ 232417.pdf 
Rechnung 232417.pdf: PDF document, version 1.5
$ _

…ein 1,4 MiB großes PDF-Dokument, das mit seinem Dateinamen den Eindruck erweckt, eine Rechnung zu sein.

Da es sich um eine Spam handelt, kann ich nur strikt davon abraten, das PDF in einem normalen PDF-Viewer oder gar in Adobes Acrobat zu öffnen. PDF-Dokumente können Javascript und eingebettete Inhalte (wie etwa Flash- oder Java-Applets) enthalten, die bei der Darstellung ausgeführt werden, und der Acrobat hat eine erhebliche Sicherheitsgeschichte. Auch, wenn zurzeit kein einziges Antivirus-Schlangenöl in diesem Dokument eine Schadsoftware erkennt, ist es gefährlich, eine solche Datei aus einer Spam zu öffnen.

Eine einfache (aber auch nicht völlig gefahrlose) Möglichkeit, sich das PDF trotzdem anzuschauen, ist es, das PDF in ein Grafikprogramm wie Gimp zu importieren. Dabei werden nur die sichtbaren Bereiche des Dokumentes in ein Bild umgewandelt, es kommt nicht zur Ausführung von eventuell enthaltenem Code. Warum das immer noch ein bisschen gefährlich ist? Nun, die Bibliotheken, mit denen PDFs geparst und in eine Grafik gezeichnet werden, könnten einen frisch gefundenen und noch unbehobenen Fehler enthalten, der von Kriminellen ausgebeutet wird. Wer ganz sicher gehen will, verwendet eine Betriebssysteminstallation in einer virtuellen Maschine.

Nachdem ich so wortreich klar gemacht habe, dass Spam gefährlich ist, ist die Zeit für den Anhang gekommen:

So sieht der Mailanhang aus

„Zahlen sie völlig grundlos an eine Unternehmung, mit der sie keinerlei Vertrag haben und die nicht einmal ihren Namen als Rechnungsempfänger einträgt, 195 Euro, und zwar binnen 14 Tagen“. Die Spammer gehen offenbar davon aus, dass von den mutmaßlich mehrere Millionen Empfängern mindestens ein Promille so dumm sein wird, auf diese Masche reinzufallen – und das wären schon mehrere tausend. Wenn es nur dreitausend sind, so kommt auf dem Konto mit der angegebenen IBAN in den nächsten Tagen mehr als eine halbe Million Euro an – Geld, das sicherlich nicht lange auf diesem Konto liegen bleibt, sondern von einem über Spam angeworbenen „Finanztransferagenten“ schnell abgeholt und weiterbefördert wird, um schließlich von anonym bleibenden Verbrechern für Koks und Nutten verprasst zu werden.

Man kann wirklich etwas Besseres mit den 195 Euro anfangen. Fallen Sie nicht auf diese Spam herein, und sagen Sie anderen Menschen weiter, was es mit dieser Spam auf sich hat! Von den gesparten rd. zweihundert Euro können Sie mir ja zwei Euro spenden, die ich dann für Lakritz, Kaffee, Kuchen, Zigaretten und Domainkosten verprassen werde… ;)

Diese Spam ist ein Zustecksel meines Lesers A.H. Danke!