Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.


Schlagwortarchiv „gg.gg“

Your Account has been Limited On 12 August, 2019 ! – Case ID #628285

Dienstag, 13. August 2019

Vorab: Diese Mail kommt nicht von PayPal. Es ist eine Phishing-Spam. Bitte nicht den Anhang öffnen und beklicken, sondern die Mail löschen. Wer mir das nicht glaubt, kann sich ganz normal (zum Beispiel über ein Lesezeichen seines Webbrowsers) bei PayPal anmelden. Dabei zeigt sich, dass die Anmeldung völlig problemlos ist. Es gibt keine Meldung über irgendwelche „Beschränkungen“. Das Konto ist und bleibt vollständig nutzbar. Wenn man in die Spam – oder genauer: in das angehängte PDF geklickt hätte – sähe das natürlich ganz anders aus. Aber das wäre auch nicht die Website von PayPal gewesen. 😉

Die Spam ist sehr kurz:

Von: `support@paypal.com <maailappservwdbnk@potdetectors.com>
An: undisclosed-recipients:;

Open PDF File to Manage your PayPal Account !

Case ID : #628285

Spätestens jetzt sollte jedem Menschen mit einem kleinen bisschen Internet-Erfahrung völlig klar sein, dass diese Mail nicht von PayPal kommt:

  1. Der (gefälschte) Absender ist offensichtlich nicht PayPal.
  2. Die Mail geht nicht an einen einzelnen Empfänger, sondern an eine unbestimmte Anzahl von Empfängern.
  3. PayPal kennt Kunden mit Namen und spricht sie auch mit ihrem Namen an.
  4. In der Mail steht – neben einer wichtigtuerischen und für den Empfänger völlig bedeutungsleeren Zahl – nichts; und um zu erfahren, um was es überhaupt geht, muss man einen Anhang öffnen.

Gerade das Letztere, ein aussagelose Mail, die den Empfänger zum Öffnen eines Anhangs nötigt, um zu erfahren, um was es überhaupt geht, ist ein untrügliches Zeichen für gefährliche kriminelle Spam. Solche Anhänge sollte man auf gar keinen Fall öffnen. Niemals. In keiner Situation. Auch nicht, wenn man ein Antivirus-Programm hat. Auch nicht, wenn behauptet wird, dass man schwerwiegende Nachteile hat, wenn man sich nicht sofort kümmert. Auch nicht, wenn der Absender seriös aussieht – denn jeder kann jeden beliebigen Absender in jede Mail eintragen. Es ist hochgefährlich, solche Anhänge aufzumachen.

In diesem Fall…

$ ls -lh *.pdf
-rw-rw-r-- 1 elias elias 536K Aug 13 12:17 Limited-063372099.pdf
$ file *.pdf
Limited-063372099.pdf: PDF document, version 1.5
$ _

…handelt es sich allerdings um eine PDF-Datei mit einem völlig sinnlosen Dateinamen und einer beeindruckenden Größe von 536 KiB Stopfmasse fürs Mailpostfach.

Ich würde mich niemals darauf verlassen, dass man so eine Datei eines Verbrechers einfach im Acrobat Reader aufmachen kann – denn der… ähm… etwas überkomplexe Acrobat Reader hat eine beachtliche Sicherheitsgeschichte, und PDF-Dateien können JavaScript enthalten, also Programmcode des Dokumenterstellers, der beim Öffnen des Dokumentes ausgeführt wird. Ich persönlich importiere derartige PDFs von Spammern meistens mit Gimp, um einen Eindruck davon zu bekommen, wie sie aussehen. Und nicht einmal das ist völlig sicher. ⚠️

Das PDF-Dokument sieht so aus:

Your Account has been temporarily limited We want to help ensure PayPal is a more secure place to do business. We noticed some changes in your account that require further verification. During this time, you may not have access to certain account activities. -- Remove Limitation -- Click the button 'Remove Limitation' above to sign in to your account and verify your valid informations to make sure that your account is safe and all your payments are secure. -- Copyright © 1999-2019 ρayρal, Inc. All rights reserved. ρayρal is located at 2211 N. First St., San Jose, CA 95131. -- Please don't reply to this email. To get in touch with us, visit our support site.

Aha, es ist „PayPal“ nicht mehr möglich, direkt einen Link in eine E-Mail zu machen und deshalb macht PayPal jetzt Links in PDF-Anhängen. Vermutlich passt der Phishing-Müll so noch durch manche Spamfilter hindruch. 🤣

Natürlich geht dieser Link nicht zur Website von PayPal, sondern unter Nutzung eines URL-Kürzungsdienstes zur Verschleierung…

$ location-cascade http://gg.gg/esu3b
     1	https://account.removeelimitations-alert.limited45.com/?signin
     2	cgi-sys/suspendedpage.cgi
$ _

…in eine obskure Subdomain von limited45 (punkt) com, die nichts mit PayPal zu tun hat. Alle Daten, die man dort eingibt, gehen direkt an organisiert kriminelle Verbrecher.

Die Website dieser Domain ist inzwischen erfreulicherweise vom Hoster stillgelegt. Aber die laufende Nummer im Domainnamen zeigt ja schon, dass die Spammer wohl noch viele weitere Phishing-Sites offen haben.

Ihr Paypal Konto wurde gesperrt

Montag, 19. Februar 2018

Diese Phishing-Spam ist HTML-formatiert, und das wenig überzeugende Streben des kriminellen Phishers nach Design sieht so aus:

Screenshot der HTML-Darstellung der Spam in einer Mailsoftware

Ob das echte PayPal wohl so ein unvorteilhaftes grau auf blau für die Darstellung seines Logos wählen würde? Diese Spam hilft jedenfalls nicht beim Beantworten der Frage, denn sie kommt nicht von PayPal. Der Absender service (at) paypal (punkt) com ist gefälscht. Die Spam hat niemals einen Server von PayPal gesehen und wurde über einen großen „Cloud“-Dienstleister aus New York, USA, versendet. Der Dienstleister ist über den Missbrauch seiner Infrastruktur bereits informiert, und die Polizei hat bereits Ermittlungen aufgenommen. Es ist zwar schade, dass dabei erst einmal jemand ermittelt werden wird, dessen Daten von Verbrechern missbräuchlich angegeben wurden, aber ich kann das ja auch nicht ändern. So etwas ist übrigens der Grund, weshalb man immer äußerst sparsam mit seinen persönlichen Daten umgeht. Und zwar auch dort, wo man naiv glauben möchte, vertrauen zu können! Es gibt keinen anderen Datenschutz als strikte Datenvermeidung, die man selbst in die Hand nimmt. Jeder, der etwas anderes erzählt – auch Werber, Politiker und Journalisten – ist ein Lügner.

Wichtige Kundenmitteilung
Zum Datenabgleich

Da steht noch nicht einmal, um was es geht, nur, dass es irre und für extragroße Buchstaben wichtig ist, zum „Datenabgleich“ zu klicken.

Guten Tag,

Genau mein Name!

wegen ungewöhnlichen aktivitäten auf Ihrem Kundenkonto wurde dies von uns eingeschränkt

Ah ja! Sehr informativ! Und was waren diese „ungewöhnlichen Aktivitäten“? :mrgreen:

Ihre Bearbeitungsnummer lautet PaP-59-18916-4893

Hey, aber es gibt eine Nummer. Das ist ja fast so gut wie richtige Information. Sind ja auch Ziffern drin.

Bitte klicken Sie auf den oben genannten Link um einen Datenabgleich durchzuführen.

Und, hören davon die nicht näher bezeichneten „ungewöhnlichen Aktivitäten“ auf? Oder hat es irgendeinen anderen Sinn, wenn ich gegenüber „PayPal“ noch einmal lauter Daten angebe, die PayPal schon längst kennt? Und die übrigenes auch jemand längst kennte, der mein PayPal-Konto gehackt hätte und deshalb alle von mir angegebenen Daten hätte einsehen können?

Diese „Verifikationen durch Datenneueingabe“, die die Spammer in ihren dürftigen Geschichten immer haben wollen, sind doch ein sehr leicht durchschaubarer Bullshit.

Viel Einkaufsspaß mit sicheren Zahlungen wünscht PayPal!

Ich denke, ihr habt mich eingeschränkt?! Das ist ja, als ob man jemanden auf strikt kalorienreduzierte Diät setzte und guten Appetit mit den Keksen und dem Schokopudding wünschte… 😀

Wir bitten um Ihr Verständnis.

Nee, kriegt „ihr“ nicht.

Der Link ist natürlich nicht direkt gesetzt, sondern geht über einen mir bislang unbekannten Linkkürzer gg (punkt) gg. Leider war ich mit meiner Spamlektüre viel zu spät dran, und der Link ist dort bereits ungültig gemacht worden:

Screenshot der Hinweisseite, dass der Link entfernt wurde

Dafür vielen Dank von mir! Je schneller solche Verbrecher daran gehindert werden, irgendwelche Webdienste für ihr betrügerisches Handwerk zu benutzen, desto besser. Das „besser“ gilt natürlich auch für URL-Kürzer, die kein Interesse daran haben können, in die Reputation von „Helfern der Kriminellen“ zu kommen.