Schlagwortarchiv „Heise“

Angriffe auf Computer jetzt kostenlos

Dienstag, 24. Mai 2011

Es empfiehlt sich generell niemals, auf einen Link in einer Spam zu klicken. Es handelt sich immer um die Machwerke von schwer kriminellen Zeitgenossen, die großen Schaden anrichten können.

Zurzeit empfiehlt es sich allerdings gar nicht. Dies gilt vor allem, wenn ihr Computer unter Microsoft Windows läuft. Ein Baukasten zum Ausnutzen von Sicherheitslöchern in Microsoft Windows steht nämlich zurzeit auch solchen Spammern kostenlos zur Verfügung, die nicht einmal Geld für ihre Attacken ausgeben wollen:

Zwei Wochen nachdem der Quellcode des ZeuS-Bots seinen Weg ins Internet gefunden hat, sinkt die Einstiegshürde für Cyberkriminelle weiter: Unbekannte haben nun die Exploit-Packs BlackHole und Impassioned Framework in Umlauf gebracht, die unter Ausnutzung diverser Sicherheitslücken Windows-Systeme mit der eigentlichen Malware wie etwa ZeuS infizieren.

BlackHole zählt zu den professionellsten illegalen Angriffswerkzeugen, die man derzeit auf dem Schwarzmarkt erwerben kann […] Eine Besonderheit von BlackHole ist laut Threatpost das Traffic Direction Script, mit dem man die Opfer in spe abhängig vom eingesetzten Browser und Betriebssystem auf verschiedene Landingpages umleiten kann.

Wer nicht gerade ein unbezwingbares Interesse daran hat, seinen Computer Kriminellen zur Verfügung zu stellen – und damit sein Online-Banking in die Hände dieses Packs zu geben, seinen Internet-Anschluss zu einer Spamschleuder zu machen, diese Canaillen sein Mobiltelefon benutzen zu lassen (es kann über die Synchronisation befallen werden), die Zugangsdaten diverser Accounts von Foren und Web-2.0-Diensten in die Hände von Spammern zu legen oder den Gangstern dabei zu helfen, illegale Dateien aller Art so zu verbreiten, dass die Polizei bei ihm an der Tür klingelt und den Computer beschlagnahmt – der sollte ab jetzt nicht nur vorsichtig, sondern sogar paranoid sein. Es ist so gut wie sicher, dass der jetzt frei verfügbare Baukasten für Angriffe auf Windows-PCs benutzt werden wird.

Was kann man tun?

Es gelten die „üblichen“ Vorsichtsmaßnahmen:

Niemals in einer Spam herumklicken! Egal, ob es eine Mail, ein Blogkommentar, ein Gästebucheintrag ist, ein Link in einer Twitter-Timeline, ein über Facebook verbreiteter Link oder sonstwas ist. Niemals! Das bisschen befriedigte Neugierde kann den möglichen Schaden nicht aufwägen.
Äußerste Vorsicht auch in der normalen Kommunikation bewahren! Es wird in nächster Zeit vermehrt dazu kommen, dass Web-2.0-Accounts, Forenaccounts und Mailkonten anderer Menschen kompromittiert und von Spammern missbraucht werden. Wann immer irgend etwas an Wortwahl, Inhalt oder Stil auffällig ist, genau so vorsichtig sein wie bei einer sicher erkannten Spam. Dies gilt selbst dann, wenn eine derartige Nachricht mit namentlicher Anrede kommt, denn die Spammer werden in Zukunft vermehrt auf Adressbücher in Handys und Mailprogrammen zugreifen können, und dort steht in der Regel ein Klarname zur Mailadresse assoziiert.
Restriktive Konfiguration der Internet-Software! Nicht jeder Website im Internet das Ausführen von JavaScript und Plugins gestatten, sondern diese Features pauschal verbieten und nur in Ausnahmefällen freischalten. Ein Plugin wie NoScript für Firefox ist eine große Hilfe, solche Einstellungen komfortabel nach Bedarf vorzunehmen. Immer daran denken: Mit dem Freischalten von JavaScript und Plugins gestattet man einer anderen (möglicherweise sogar ohne Wissen ihres Betreibers von Kriminellen kompromittierten) Website das Ausführen von beliebigem Code auf dem eigenen Computer. Eine Website, die einem ohne derartige Privilegien nichts zu sagen hat, wird in aller Regel auch mit derartigen Privilegien nichts zu sagen haben.
Nur aktuelle Internet-Software verwenden! Egal, ob es ein Mailclient, ein IM-Programm, ein Browser oder sonstwas ist – immer Updates durchführen. Außerordentlich viele Angriffe erfolgen auf bekannte Fehler in der Internet-Software. Den Adobe-Reader muss man, weil er oft in Form eines Plugins eingebettet wird, ebenfalls als Internet-Software betrachten, und er hat vor allem wegen seiner eher weniger genutzten Möglichkeiten¹ eine inzwischen bemerkenswerte Sicherheitsgeschichte. Leider kann man ihn nicht so restriktiv konfigurieren wie einen Browser, deshalb ist es um so wichtiger, dass der Browser standardmäßig einer Website nicht das Einbetten von Plugins gestattet.
Nach Möglichkeit niemals Microsoft Windows im Internet verwenden! Es handelt sich immer noch um das Lieblings-Betriebssystem der Internet-Kriminellen, und die Mehrzahl der Angriffe richten sich auf Schwachstellen in Windows. Der Versuch, ein Windows durch so genannte „personal firewalls“ und Virenscanner „sicher“ zu machen, führt vor allem zu eingebildeter Sicherheit, die zur Sorglosigkeit anreizen kann und deshalb sehr gefährlich ist. Es gibt verschiedene Linux-Distributionen, die sich direkt von einem Speicherstick booten lassen, es ist aber auch möglich, ein Linux in einer virtuellen Maschine unter Windows laufen zu lassen. In einer solchen Umgebung ist die Benutzung des Internet zwar nicht sicher, aber deutlich sicherer. Und es kostet nichts.
Auch Google-Suchergebnissen gegenüber misstrauisch bleiben! Googles Ranking – das, was letztlich zur Sortierung der präsentierten Ergebnisse führt – ist manipulierbar und wird zunehmend manipuliert. Bei einigen Suchbegriffen – vor allem zu Markennamen und zu Termini aus dem sexuellen Bedeutungskreis – ist die Google-Suche bereits jetzt so gut wie unbrauchbar für jeden, der richtige Informationen (und keine Werbung von oft schäbigen oder fragwürdigen Vermarktern) sucht. Auch Kriminelle werden alles dafür tun, Einfluss auf Google zu nehmen, weil sie wissen, dass viele Menschen den Google-Suchergebnissen mit großem Vertrauen gegenübertreten.
Und generell: Niemals auf Software verlassen, die mühelose Sicherheit verspricht! Keine Software kann den aufmerksamen Verstand bei der Nutzung des Internet ersetzen. Immer aufmerksam bleiben! Wenn einer das Blaue vom Himmel verspricht – etwa, dass man mühelos zu Geld oder wertvollen Gütern kommen könne – ist er ein Betrüger. Immer. Nicht nur im Internet. Was so ein Halunke im Internet anbietet, sollte allerdings gemieden oder nur mit der Kneifzange angefasst werden. Wenn einer obskure Zusatzdienste zu irgendwelchen Web-2.0-Angeboten verheißt – vor allem Facebook ist bei dieser Art Schwindel der Spammer sehr beliebt; vermutlich, weil dort die Mehrzahl der Menschen unkritisch genug für derartige Maschen ist, noch unkritischer als die meisten Twitter-Nutzer – ist das ebenfalls mit äußerster Vorsicht zu behandeln. Besonders, wenn dabei obskure Codezeilen in die Adressleiste des Browsers eingegeben werden sollen oder Software zum Download angeboten wird. Generell bedeutet jede Form der Software aus dem Internet, dass man einem unbekannten Gegenüber das Privileg einräumt, Code auf dem eigenen Rechner auszuführen, deshalb sollte großer Wert auf vertrauenswürdige Quellen für die Software gelegt werden. Spammer, kontextlose Links in Foren und Blogkommentaren und obskure Warez-Sites sind niemals vertrauenswürdig. Die Software-Verzeichnisse der großen Zeitschriften schon eher. Ich empfehle übrigens das Software-Verzeichnis von Heise Online. Vor jedem Klick kurz nachdenken ist ein besserer Schutz als jeder so genannte Sicherheitssoftware. Die so genannte Sicherheitssoftware aber hinkt den aktuellen Angriffen der Kriminellen im Internet immer ein paar Tage hinterher, sie bietet nur einen unvollständigen Schutz, der im besten Fall als Ergänzung zur vernünftigen Nutzung des Internet dienen kann.

Dass derartige Vorsichtsmaßnahmen auch dann wärmstens zu empfehlen sind, wenn es gerade nicht „brennt“, brauche ich hoffentlich nicht weiter zu erwähnen.

¹Ich werde nie verstehen, wozu zum schwefelkackenden Höllenhund ein druckbares Dokument eine Art JavaScript benötigt. Oder eingebettete Animationen. Oder Plugins. Das ist reiner Bullshit, was Adobe sich ausgedacht hat, ein Versuch, die „Weltherrschaft durch Software“ anzutreten. Dieser Bullshit hat riesige Schäden verursacht, weil immer noch viele Menschen glauben, ein PDF sei sicher. Es ist nicht sicher – außer, man betrachtet oder druckt es in alternativen Programmen, die nicht von Adobe kommen und nicht mit so viel Bullshit überfrachtet sind.. Dass diese Programme oft nicht nur sicherer, sondern auch schneller und schlanker sind, ist dabei ein erfreulicher Nebeneffekt. Es gilt übrigens die Faustregel: Je komplexer eine Software ist, desto unsicherer ist sie.

Die gute Nachricht des Tages

Sonntag, 17. April 2011

Die gute Nachricht des Tages (okay, des gestrigen Tages) findet sich bei Heise Online:

Spam-Anteil fällt auf Mehrjahrestief

Nach der Abschaltung des Rustock-Botnetzes Mitte März 2011 ist das Aufkommen an unerwünschten Werbe-Mails, ohnehin seit 2010 im Abwärtstrend, nochmals deutlich zurückgegangen […]

Ich habe in den letzten Tagen ja mehrfach geglaubt, dass der Mailserver „kaputt“ wäre, so deutlich ist der Rückgang der Spam.

Und auch „Unser täglich Spam“ erlebt gerade eine recht ruhige Zeit. Es ist ein Blog, das kaum „Stammleser“ hat (wir haben ja auch alle genug eigene Spam), aber sehr häufig mit Hilfe von Suchmaschinen gefunden wird, weil Empfänger einer Spam skeptisch werden und einfach einmal einige Phrasen aus der Spam googeln. Tatsächlich kann ich an den Zugriffen gut erkennen, welche Maschen der Spammer aktuell „im Umlauf“ sind, und oft kann ich sogar erkennen, dass jahrealte Texte fast unverändert noch einmal verwendet werden, weil Spammer sich keine besondere Mühe geben. (Sonst könnten sie ihr Geld ja auch auf weniger verwerfliche Weise verdienen.) Im Moment gibt es deutlich weniger Spam, und das ist für mich sehr fühlbar. Ich bin froh darüber.

Aber es steht zu befürchten, dass ich dieses Blog dennoch nicht einstellen werde, so gern ich es täte. Zum einen ist es sicher, dass neue Botnetze entstehen werden, so lange Menschen sich in falscher Sicherheit wiegen, mit angreifbarer Software¹ am Internet teilhaben und auf alles klicken, was sich nur klicken lässt. Und zum anderen wird die Spam generell neue Wege suchen, das so genannte Web 2.0 ist zum Beispiel ein ideales „Biotop“ für alle auf Spam setzenden Schurken. Viele eher persönliche Twitterer aus meinem Umfeld haben inzwischen ihre Timeline auf privat gesetzt, damit die gewünschte persönliche Kommunikation nicht in der täglichen Flut der Scheiße untergeht.

Ein interessanter Trend, der mir gerade in den letzten Tagen sehr unangenehm aufgefallen ist, sind fragwürdige Werbemails (siehe hier und hier) von bereits etablierten Dienstanbietern im Internet; besonders von solchen, die zwar schon etabliert sind, aber bislang ihre angesammelten Daten noch nicht fürs Marketing verwendet haben. Die Mails, die nach Jahren der Funkstille von diesen Klitschen kommen, oder im Fall von „Wikio Experts“ sogar behaupten, dass ich „Nutzer“ eines Dienstes sei, den ich gar nicht kenne, um mich anschließend zur „Anmeldung“ aufzufordern, sie sind offen spammig. Ich hoffe ja, dass sich dieses unterirdische Marketing, das übrigens in meinen Augen ein Hinweis auf ein gescheitertes Geschäftsmodell und auf recht atemloses Ringen um irgendwelche Einnahmen ist, als ein geeignetes Mittel zur Beschleunigung der Insolvenz erweist und dass niemand auf derartige Ansprache „abfährt“.

Denn das bleibt weiterhin der einzige vernünftige Umgang mit Spam und das beste Mittel gegen Spam: Niemals auf eine Spam so reagieren, wie es der Spammer wünscht, niemals darin herumklicken, niemals Angebote von Spammern wahrnehmen! Die Spam einfach löschen! Wenn Spammer sicher zu identifizieren sind, dafür sorgen, dass bekannt wird, dass es sich um Spammer handelt, für deren belästigendes und zeitraubendes Verhalten man nur Verachtung übrig hat! (Aber dabei nicht fanatisch werden, wenn ein Spammer wirklich zur Einsicht gekommen ist, sondern froh darüber sein, wenn solche Einsicht entsteht.) Nur so entsteht im Internet ein Umfeld, in dem sich selbst das konkurrenzlos billige Werbemittel der Spam nicht mehr lohnt, nur so kann es dazu kommen, dass diese Pest des Internet einmal zu einem Ende kommt. Kein Spamfilter und keine andere Software kann die Vernunft ersetzen, und die Vernunft ist der beste Spamfilter.

Im Moment gibt es zwar ein wenig Entspannung, aber an ein Ende glaube ich nicht. Das Ende ist erreicht, wenn Spam so selten geworden ist, dass ich dieses Blog in eine Archivversion umwandeln kann und als ein Museum der unerfreulichen Begleiterscheinungen einer bestimmten Phase in der Entwicklung des Internet betrachten kann. Dieses Ziel erscheint mir geradezu utopisch.

¹Angreifbare Software: Ich empfehle jedem, die für die Darstellung von Internetinhalten verwendete Software auf dem aktuellen Stand zu halten, insbesondere den Browser, das Mailprogramm und den verwendeten PDF-Viewer. Darüber hinaus empfehle ich, nicht jeder Seite im Internet die Möglichkeit zu gewähren, JavaScript auszuführen, da dies eine gute Vorsorge gegen die Mehrzahl der ausbeutbaren Sicherheitsprobleme ist. Die Verwendung eines anderen Betriebssystemes als Microsoft Windows kann ich ebenfalls empfehlen. So genannte „Virenscanner“ halte ich hingegen für Schlangenöl, da die Entwickler von Schadsoftware immer eine Nasenlänge voraus sind, und eine so genannte „Personal Firewall“ kann im besten Fall eine sinnvolle Ergänzung sein. Vernunft lässt sich niemals durch Software ersetzen, aber dafür führt vorgebliche Sicherheits-Software schnell zu einem trügerischen Sicherheitsgefühl, das unvernünftig macht.

Neue Phishing-Masche: Filter sind sinnlos

Donnerstag, 17. März 2011

Kurzes Zitat Heise Online – Unter dem Radar der Phishing-Filter:

Kriminelle setzen offenbar auf eine neue Masche beim Phishing, um die Warnung vor Phishing-Seiten in modernen Browsern wie Firefox und Chrome auszuhebeln. Dazu verschicken sie Mails, die statt eines Links ein HTML-Dokument im Anhang mitbringen. […]

Öffnet der Empfänger das HTML-Dokument im Browser, so präsentiert sich ihm etwa ein PayPal-Formular, in das er aus den üblichen vorgekaukelten Sicherheitsproblemen seine Zugangsdaten eingeben soll. Da das Formular lokal auf dem Rechner läuft, kann auch der Phishing-Filter nicht warnen, denn dieser springt nur auf externe URLs an. Ein Klick auf den Senden-Knopf schickt die eingegebenen Daten dann per POST-Request an ein PHP-Skript auf einem (gehackten) Server. Dabei warnt der Browser laut M86Security ebenfalls nicht.

Wer sich der Kriminalität im Internet bewusst ist, gibt die Internetadressen seiner Bank, seines bevorzugten Auktionshauses oder irgendeiner anderen für Kriminelle möglicherweise interessanten Website (auch Web-2.0-Dienste gehören dazu, weil dort übernommene Profile eine ideale Grundlage für Spam und die Verbreitung von Schadsoftware unter falschem Namen sind) ausschließlich von Hand ein. Selbst die Lesezeichen der Browser haben sich immer wieder einmal als kriminell manipulierbar erwiesen.

Also nochmal ganz langsam: Internetadressen von Diensten, die missbraucht werden können, immer von Hand eingeben. Und missbraucht werden kann beinahe alles, vom Forenaccount über Twitter und Facebook bis hin zu den für Verbrecher unmittelbar lukrativen virtuellen Möglichkeiten zur Handhabung von Geld.

Diese einfache Vorgehensweise ist ein sehr brauchbarer Schutz vor Phishing, wenn der verwendete Rechner ansonsten „dicht“ ist – wenn also nicht ein krimineller Angreifer die Hosts-Datei manipulieren kann. Aber wer seinem Rechner persönlich oder geschäftlich wichtige Daten anvertraut oder gar Geld über seinen Rechner bewegt, wird doch hoffentlich keinerlei Software aus fragwürdigen Quellen installieren!

Wer einen halbwegs abgesicherten Rechner hat – ich empfehle dabei übrigens dringend, dass man auf das Lieblings-Betriebssystem der Internet-Kriminellen, auf Microsoft Windows, verzichtet – braucht keinen weiteren Phishing-Schutz, wenn er solche Internetadressen immer von Hand eingibt und eine generelle Haltung der Aufmerksamheit hat.

Eine Software kann niemals die Aufmerksamkeit des Menschen ersetzen. Wenn ein „Phishing-Schutz“ dermaßen leicht durch die Internet-Kriminellen auszuhebeln ist, wie dies im oben verlinkten Artikel bei Heise Online beschrieben wird, denn handelt es sich bei diesem Schutz um eine zwar zugesagte, aber lediglich simulierte Sicherheit. Eine solche zugesagte, aber nicht existierende Sicherheit ist gefährlich und arbeitet in Wirklichkeit den Kriminellen zu, weil sich viele Menschen unter diesem Versprechen in falscher Sicherheit wiegen und deshalb ihre Aufmerksamkeit herabsetzen. Dass die so zur Unvorsicht gebrachten Menschen auch generell leicht durch allerlei Betrugsnummern zu beeinflussen sind, ist eine zusätzliche Verschärfung dieses Problemes. Das angebliche Sicherheitsfeature ist nur Schlangenöl, der Glaube an seine Wirksamkeit gefährlich.

Deshalb: Niemals irgendwelche Zugangsdaten in eine Seite eingeben, die sich geöffnet hat, weil man in einer Mail herumklickte, so sehr diese Seite auch „echt“ aussehen mag. Egal, ob Link oder Anhang: Internetadressen, die für Kriminelle interessant sein könnten, immer von Hand eingeben.

Aufmerksamkeit, Vernunft und Bewusstsein sind immer noch der beste Phishing-Schutz.

Wie Spammer an Namen kommen

Dienstag, 8. Februar 2011

In letzter Zeit sehe ich ja eine beachtliche Zunahme der Versuche der Spammer, eine Mailadresse mit einem richtigen Namen zu verbinden. Offenbar hat man auch auf Seiten der Kriminellen bemerkt, dass eine Betrugsmail mit einer persönlichen Anrede ungleich überzeugender wirkt als das bisher übliche Gestrokel.

Diese Entwicklung sollte für jeden Menschen bedeuten, dass er mit seinen Daten so sparsam wie nur eben möglich umgeht – und zum Selbstschutz vor Betrug und Phishing lieber auch dort Phantasiedaten eingibt, wo die Nutzungsbedingungen so etwas an sich verbieten. Tatsächlich sind Web-Dienste, die Daten ihrer Nutzer akkumulieren, ein lohnendes Ziel für kriminelle Angriffe aus dem Dunstkreis der Spam-Mafia, um sich auf diese Weise die gewünschten persönlichen Daten der Opfer zu verschaffen, wie sich zurzeit bei Heise nachlesen lässt:

Seit dem gestrigen Montag haben uns zahlreiche Leser darüber informiert, dass beim Onlinehändler Mindfactory möglicherweise im großen Stil Kundendaten entwendet wurden. In zahlreichen Beiträgen im Forum des Händlers beschweren sich Kunden über eine Spam-Mail, in der sie persönlich mit Vor- und Zunamen angesprochen wurden […]

Wenn ein solches kriminelles Abgreifen von Daten – es ist im Moment offenbar noch unklar, welche Daten noch in die Hände der Verbrecher gelangt sein könnten – mit überzeugenden Phishing-Mails „aufbereitet“ wird, denn werden die Kriminellen einen erheblichen Reibach einfahren. Eine angebliche Mail von der eigenen Bank, von einem Online-Händler oder einem Internet-Auktionshaus, die mit einer namentlichen Ansprache ihres „Kunden“ kommt, ist nun einmal recht überzeugend und wird nicht nur unerfahrene Nutzer dazu bringen, auf einen derartigen Betrug hereinzufallen.

Es ist ein nicht zu verachtender Schutz vor Betrugsmaschen, wenn die Spammer nicht den Namen zu einer Mailadresse kennen.

Was kann man tun?

Grundsätzlich sollte auf die Angabe eines zutreffenden Klarnamens bei irgendwelchen Internet-Anbietern verzichtet werden. Dies gilt im besonderen Maß bei Anbietern, die eher unwichtige Dienste (wie etwa Gästebücher, Blogkommentare etc.) anbieten – dort sollte in vielen Fällen ein Vorname oder ein Nick ausreichen. Jede Website ist permanenten Angriffen ausgesetzt, und solche Angriffe können auch immer wieder einmal erfolgreich sein. Es ist für den Nutzer eines Dienstes nicht ersichtlich, wie sorgfältig dieser programmiert wurde und welche Schwachstellen eventuell einen Angriff ermöglichen. Auch die „Zertifizierung“ einer deutschen Website durch den TÜV gibt keine Sicherheit, denn es ist schon mehrfach zu großen Datenlecks auf derart „zertifizierten“ Websites gekommen. Der beste Schutz gegen betrügerische Maschen mit solchen Daten ist die Sicherung der eigenen Anonymität bei jeglicher Nutzung des Internet.

Manchmal ist die Angabe eines Klarnamens (oder sogar darüber hinaus gehender persönlicher Daten) aber erwünscht – sei es, dass man unter seinem Namen bei einem „Web-2.0-Dienst“ gefunden werden möchte, sei es, dass man einem Forenbetreiber gegenüber ehrlich sein will, oder sei es auch, dass eine solche Angabe durch die Nutzungsbedingungen verpflichtend gemacht wird.

In diesen Fällen ist eine andere Strategie angemessen: Für jeden Dienst, der unter Angabe des eigenen Klarnamens (und möglicherweise anderer persönlicher Daten) benutzt wird, sollte eine eigene, nur für diesen Zweck benutzte Mailadresse verwendet werden. Wenn unter dieser Mailadresse einmal eine andere Mail ankommt, denn ist klar, …

…dass es sich um eine betrügerische Spam handelt, und
…dass die Site, auf der man diese Mailadresse verwendet hat, gecrackt wurde und dass die Daten in die Hände von Kriminellen gelangt sind.

Auf diese Weise ist das Datenleck bei Mindfactory überhaupt erst bekannt geworden. Deshalb konnte auch relativ schnell eine Warnung an die Kunden in einer Stellungnahme herausgegeben werden.

Zum Glück gibt es eine Menge Freemail-Provider, so dass an Mailadressen für solche Zwecke kein Mangel herrscht. Und wer einen eigenen Mailserver zur Verfügung hat, kann sich sehr schnell eine entsprechende Adresse „machen“. Das bisschen Prävention schützt nicht nur vor betrügerischen Versuchen, sondern erleichtert es auch, eine „verseuchte“ Mailadresse einfach stillzulegen, wenn die Flut der Spam alles andere mit sich zu reißen droht.

Ads auf Websites: Unerwünschte Nebenwirkungen

Dienstag, 14. Dezember 2010

Die zu Google gehörende Werbplattform DoubleClick und Microsofts Werbeplattform rad.msn.com haben vergangene Woche für kurze Zeit Malware an andere Seiten in Werbebannern ausgeliefert […]

Wer wissen möchte, was es – neben der Belästigung der eigenen Leser – für unerwünschte Nebenwirkungen geben kann, wenn man einem externen Dienstleister – und sei es ein renommierter wie Google oder Microsoft – für eine Handvoll Klickergroschen das Recht gibt, die eigene Website mit Ads zuzukleistern, der sollte unbedingt bei heise online weiterlesen.

Spam kommt gut an

Donnerstag, 25. März 2010

Kein Spam, sondern ein Link zu einem Artikel auf Heise Online: Spam kommt gut an. Einfach nur zum gruseln:

[…] denn nach wie vor gibt es offenbar mehr als genug Anwender, die allen Gefahrenhinweisen zum Trotz auf alles klicken, was irgendwie interessant aussieht.

[…] Nach den Erkenntnissen der Anti-Spam-Experten haben mehr als die Hälfte (57 %) der befragten Erwachsenen ausgesagt, bereits auf Spam in einer Weise reagiert zu haben, die dem Treiben der Täter Vorschub leistet. Dazu gehören neben dem Öffnen der E-Mail das Weiterleiten oder das Anklicken von URLs in den Spam-Mails. Fast die Hälfte dieser Gruppe (46 % und somit rund ein Viertel der Gesamtheit) tat dies in voller Absicht, also im Wissen, dass es sich nicht um ein seriöses Angebot handelte.

[…] jeder achte Empfänger (12 %) klickt darin trotz eines mulmigen Gefühls auf einen Link, der eine Austragung aus der Mailingliste verspricht.

Und diese Dummheit etlicher völlig merkbefreiter Zeitgenosse ist der Grund dafür, warum die Postfächer, Foren und Kommentarmöglichkeiten unter der Last der täglichen Spam explodieren. Erst wenn niemand mehr so auf eine Spam reagiert, wie es sich die Spammer wünschen, kann diese Pest des Internet ein Ende finden.

Jeder Klick in eine Spam ist ein Fehler. Jeder Klick in eine Spam ist auch gefährlich, denn die Verbrecher sind auf dem aktuellen technischen Stand und die scheinbare „Sicherheit“ durch eine „personal firewall“ und ein Virenschutzprogramm kann sehr trügerisch sein. Und „aus der Mailingliste austragen“ kann man sich nicht, man zeigt damit den Spammern nur, dass die Spam auch ankommt und gelesen wird – und das wird Folgen haben.

Wirtschaftliche Leichenfledderei

Sonntag, 24. Januar 2010

Keine Spam, sondern ein Link auf die Wochenschau von Hal Faber bei Heise Online zusammen mit einem kleinen Zitat über eine besonders widerwärtige Form der Werbung:

Das Honorar für diese kleine Wochenschau geht diesmal an Ärzte ohne Grenzen, die mit ihren „Plug&Play-Hospitals“ in Haiti helfen. Nein, das ist kein Spiel. Wer die Ärzte nicht mag, kann sich ja hier beteiligen. Wer pleite ist am Monatsende, sollte für die Zukunft zumindest ein Nichtkaufen-Häkchen bei den Firmen setzen, die mit der Katastrophe Werbung machen. Den Vogel schießt diesmal die schwedische Firma Anoto ab, deren PR-Meldung so beginnt: „Die schrecklichen Bilder in Haiti führen es wieder vor Augen: Bei Massenereignissen geht es zuallererst um schnelle und effiziente Hilfe vor Ort. Die mobilen Sanitätseinheiten der Schweizer Armee setzen daher bereits seit Anfang des Jahres auf eine ausgeklügelte Lösung für die rasche Erfassung und Verarbeitung von Patienteninformationen. Elementare Bestandteile sind dabei die digitalen Stifte…“

„Gut, dass Geld nicht blutet“, hat sich wohl der Werber beim Verfassen dieses wertneutral beflissenen Textes gesagt. Bäh!

Phishing: DHL-Packstation

Samstag, 2. Januar 2010

Bei mir ist diese kriminelle Spam vom angeblichen DHL-Kundendienst noch nicht angekommen, aber sie scheint recht gefährlich zu sein:

Zurzeit sind Spam-Mails in Umlauf, die vorgeblich vom DHL-Kundenservice stammen und den Empfänger auffordern, seinen Packstations-Account dauerhaft zu registrieren. Die dort angegebene Webseite sieht auf den ersten Blick wie eine echte Seite von DHL aus […]

Weiterlesen bei heise online…

Der Text der Mail wirkt auf mich wenig überzeugend, aber da sich viele Menschen wegen ihrer geringen technischen Kompetenz durch technokratische Sprache beeindrucken lassen, könnte die betrügerische Masche doch sehr gefährlich sein.

Sehr geehrter PACKSTATION-Kunde,
sehr geehrte PACKSTATION-Kundin,

aufgrund der großen Nachfrage des PACKSTATION-Systems sind wir gezwungen dauerhaft inaktive Accounts für neue Kunden freizugeben. Selbstverständlich können Sie auf Wunsch weiterhin Ihre PACKSTATION nutzen. Hierfür ist lediglich ein Login unter
http://www.kundenservice-dhl.de/
nötig, um Ihren Account automatisch dauerhaft zu registrieren.

Generell lässt sich feststellen, dass hier alle Kennzeichen des Phishing sichtbar sind:

Es fehlt jegliche persönliche Ansprache, obwohl der Empfänger doch „Kunde“ sein soll. Allein dieses Detail ist ein Grund, den Inhalt einer Mail mit der größtmöglichen Skepsis zu lesen.
Der technische Grund für die Mail ist unsinnig. Eine Datenbank mit Kundendaten wird nicht so voll, dass „inaktive Accounts“ neu verwendet werden müssten. Es wäre auch unter Gesichtspunkten der Datensicherheit schlicht irrsinnig, in dieser Weise vorzugehen, einmal ganz davon abgesehen, welchen Albtraum ein solcher Vorgang für die Grundsätze ordnungsgemäßer Buchführung bedeutet. Typischerweise wird der Kunde technisch über eine (aus Kundensicht unsichtbare) nummerische ID identifiziert, die meist im Bereich bis zu ca. 4 Milliarden liegen kann. Es ist schon recht unwahrscheinlich, dass die deutschen Packstationen derart beliebt sind, dass ein solcher Nummernkreis nicht ausreichen sollte. Wenn dies aber dennoch der Fall sein sollte, wäre es für den Administrator der Datenbank eine Kleinigkeit, diesen Zahlenbereich zu erweitern, ohne dass aus Kundensicht eine Aktion erforderlich wäre oder auch nur eine Änderung bemerkt werden würde.
Das „dauerhafte“ Registrieren eines registrierten Accounts ist hanebüchen. Der Account ist registriert. Er wird auch nicht gelöscht werden, da die Geschäftsvorgänge, die mit diesem Account verbunden sind, nach den Grundsätzen der ordnungsgemäßen Buchführung nachvollziehbar bleiben müssen.
Der kalte, technokratische Ton der Mail ist entlarvend. Kein Unternehmen würde seine Kunden so ansprechen und auf jede Hintergrundinformation zu einem derartigen Vorgang – sollte er jemals erforderlich sein – verzichten.
Für den „Login“ wird kein HTTPS verwendet, die Anmeldedaten sollen unverschlüsselt über das Internet übermittelt werden. Kein größeres Unternehmen würde seinen Kunden ein derartiges Sicherheitsrisiko aufbürden. Ob HTTPS verwendet wird oder nicht, lässt sich an der verwendeten Internetadresse erkennen, diese muss mit https:// beginnen, wenn es sich um eine gesicherte, verschlüsselte Verbindung handelt. Nähere Informationen können in der Dokumentation des Browsers und an vielen Stellen im Internet nachgelesen werden.

Es reicht also tatsächlich schon ein kurzes Nachdenken, um zu erkennen, was es mit dieser kriminellen Mail auf sich hat. Das gleiche gilt für jeden anderen Versuch des Phishings. Wenn in einer unpersönlich formulierten Mail zum Login auf irgendeiner Website einer Bank, eines Unternehmens oder eines sonstigen Webdienstes aufgefordert wird, der Geschäfte mit Geld oder geldwerten Gütern ermöglicht, sollte Alarmstufe Rot herrschen und in aller Ruhe und Besonnenheit gelesen werden. Niemals sollte man sich von der Absenderadresse einer Mail verblenden lassen, diese ist beliebig fälschbar. Niemals sollte man sich von einer plausibel klingenden Internet-Adresse für eine solche Anmeldung täuschen lassen, denn jeder kann sich eine Domain registrieren.

Im Zweifelsfall einfach erstmal nichts tun! Keine Chance den kriminellen, mafiös organisierten Phishern. In diesem speziellen Fall ist auch das Erstatten einer Strafanzeige wegen Betruges in Erwägung zu ziehen, da der Registrar der verwendeten Domain ermittelbar ist und es möglich ist, dass die Verbrecher bei ihrem Werk eventuell genug Spuren hinterlassen haben, um dingfest gemacht werden zu können. Das Erstatten einer Strafanzeige ist sehr einfach und lässt sich gut mit einem kleinen Spaziergang zur nächsten Polizeiwache kombinieren. Und wer auf dieses Phishing hereingefallen ist, sollte gleich jetzt sein Passwort ändern, bevor ein Schaden entsteht.

Auch 2010 gilt: Keine Chance den Phishern!