Schlagwortarchiv „Schadsoftware“

Attention, You have deferred mails seducer

Samstag, 21. November 2015

Vor jedem anderen Wort: Diese E-Mail…

Screenshot der Phishing-Mail

…kommt natürlich nicht von Skype. Sie hat niemals einen Server von Microsoft gesehen. Mein Exemplar wurde von einer dynamischen IP-Adresse eines italienischen Zugangsproviders aus versendet, stammt also mit an Sicherheit grenzender Wahrscheinlichkeit von einem mit krimineller Schadsoftware übernommenen Privatrechner.

Die Spam ist auch bei mir angekommen. Ich habe kein Microsoft-Konto, und ich habe niemals in meinem Leben Skype benutzt oder mich dafür registriert – ich bevorzuge nämlich Kommunikationskanäle, die dezentral sind und keine eingebaute Abhörschnittstelle haben.

Skype

Aha, du willst „Skype“ sein? Dein gefälschter Absender kam aber aus der Domain cramco (punkt) com. Ich meine ja nur: Wenn du schon einen Absender für deine kriminellen Drecksspams fälschst, kannst du das ja eigentlich auch ein bisschen überzeugender machen… ach, geht nicht, weil du ein dummer Vollpfosten bist? Na gut, dann bleib eben dumm, Spammer! Schade, dass man daran meist nur langsam stirbt.

You have deferred mail.

Aha, ich habe also keinen Namen, mit dem ich bei Skype registriert bin. Und verzögerte Post. Sehr überzeugend, vor allem, wenn der…

View mails.

…klicki klicki Link gar nicht zu Skype oder zu Microsoft geht, sondern in das Include-Verzeichnis eines mit einem Crack übernommenen WordPress-Blogs, das in griechischer Sprache geführt wird. Freundlicherweise hat der Hoster dieser Website auf einen Hinweis hin ganz schnell die kriminelle Scheiße weggemacht, aber es steht zu befürchten, dass du gerade tausende WordPress-Blogs gecrackt und in Phishing-Sites und Schadsoftwareschleudern verwandelt hast.

Von einem Klick kann ich übrigens nur abraten, denn die „kostenlose Sicherheitsüberprüfung“ und die Übernahme des Computers durch Kriminelle, wenn eine ausbeutbare Lücke auf dem Computer besteht, kommt gleich hinterher. Derartige Überrumpelungen sind oft tagesaktuell, so dass das (eh schon fragwürdige) Antivirus-Programm versagt. Dagegen hilft übrigens – neben der Benutzung möglichst aktueller Software und eines möglichst aktuellen Betriebssystemes – nur ein Browser-Addon wie NoScript zusammen mit der Browsereinstellung, dass Plugin-Inhalte erst nach explizitem Klick aktiviert werden. Unter den Bedingungen der voll entwickelten und technisch kompetenten Internet-Kriminalität der Zehner Jahre ist es einfach eine unfassbar dumme Idee, jeder übern Weg laufenden Website aus einem anonymisierenden Medium zu gestatten, dass sie Skriptcode im Browser ausführen kann. Es handelt sich schlicht um eine der ganzen Welt zur Verfügung gestellte Schnittstelle, Programme auf beliebigen Computern laufen zu lassen – weder Werber mit ihren gesteigerten „Bedürfnissen“ der klandestinen Rezipientenüberwachung noch Verbrecher mit ihren gesteigerten „Bedürfnissen“ nach Geld, Mailadressen, Kontakten, Namen, Anschriften, Bankkonten und Internetaccounts anderer Menschen können diesem Angebot widerstehen.

Cordially
Skype team

Wenn du Bratschädel, Matschbirne und Zwielichtgestalt das Skype-Team bist, dann ist mein Blog hier aber Hochliteratur! 😀

© 2015 Skype and/or Microsoft. The Skype name, associated trade marks and logos and the „S“ logo are trade marks of Skype or related entities. Skype Communications S.a.r.l. 23-29 Rives de Clausen, L-2165 Luxembourg.

So so, das bescheuert-einschüchternd proklamierte Urheberrecht auf eine Spam liegt also bei Skype und/oder bei Microsoft… vielleicht liegt es ja noch und/oder ganz woanders oder gar dazwischen.

Payment Details.

Dienstag, 3. November 2015

Danke, mit Punkt am Ende des Betreffs. Sicheres Spammerkmal, automatisch aussortierter Müll. Bitte so weitermachen, Spammer!

FYI,

I made the payment conforming to the proforma invoice on behalf of our sister company. I am attaching the proof of the payment.

keep me updated as soon as you confirm payment.

Kind Regards
Susanne Sцhngen
Address: West Quarter. Lime Street. N: 4 Apartment 22
Pendik / ISTANBUL
Turkey.
Tel: 0296 310 xxxx
Web: www.yadadanismanlik.com

Aha, ich habe also Geld überwiesen bekommen. Von jemandem, der aus der Türkei kommt, aber beim Mailschreiben die kyrillische Codepage verwendet und deshalb „Sцhngen“ mit Nachnamen heißt. Von jemandem, der eine schnell rausgesuchte Adresse angibt, aber nicht einmal den Namen desjenigen zu sagen weiß, dem da Geld überwiesen wurde. Und alles Nähere zu diesen Nullaussagen mit vielen Worten steht dann im Anhang.

Ihr kennt das Muster.

Der Anhang ist… nein, diesmal kein ZIP-Archiv, sondern ein PDF¹. Das ist das Neue daran.

Und da steht nicht etwa drin, um was es geht, sondern darin steht in grafischer Form eines der beliebtesten Textfragmente der Spammer und Reklameidioten, das ansonsten von lebenden und fühlenden Menschen wegen seines impliziten Unsinns niemals getippt wird:

Click here!

Wer auf diesen (oder einen ähnlich doofen) Text klickt, nur, weil man darauf so fein klicken kann, der lasse alle Hoffnung fahren!

Der Link zum angeblich sicheren Anschauen der Datei geht in die Domain freetoair (punkt) ru, und dort erhält man keineswegs nur die Möglichkeit…

Screenshot der Phishing-Seite für Adobe-IDs

…Kriminellen eine Kombination aus Mailadresse und Passwort zu geben. Zusätzlich läuft im Hintergrund ein beachtlicher und für mich auf die Schnelle² nicht zu analysierender Javascript-Apparat ab:

Screenshot der Quelltext-Ansicht des Firefox mit dem vorsätzlich kryptisch formulierten Javascript aus der vorgeblichen Phishing-Seite

Der „kostenlose Sicherheitstest“, der hier von Kriminellen auf den Webbrowser losgelassen wird (und beim Auffinden einer ausbeutbaren Lücke von einer Übernahme des Computers durch Kriminelle gefolgt wird), wird zurzeit von den meisten Antivirus-Schlangenölen nicht als Bedrohung erkannt.

Wer hingegen schlau ist, sich deshalb nicht auf ein Antivirus-Schlangenöl verlässt und mit einem Browser-Addon wie NoScript dafür sorgt, dass nicht jeder dahergeklickten Website das Privileg eingeräumt wird, Programmcode im Browser auszuführen, ist vor solchen Attacken über den Browser weitgehend geschützt – übrigens auch, wenn diese besser vorgetragen werden als in dieser schlecht gemachten Spam. Etwas mehr darüber, wie man seinen Computer absichert (und warum Antivirus-Schlangenöl dabei – im Gegensatz zu den irreführenden und erlogenen Behauptungen in der Reklame – nicht die größte Rolle spielt) habe ich auf meiner Homepage geschrieben.

¹Ihr wisst ja: auf keinen Fall, niemals und bloß nicht Anhänge aus Spams öffnen! Das bisschen befriedigte Neugierde ist den möglichen Ärger nicht wert. Ich habe dieses PDF übrigens betrachtet, indem ich es in Gimp importiert habe… und selbst das noch auf einem besonders gesicherten System. Generell rate ich davon ab, den Adobe Reader zum Lesen von PDFs zu benutzen. Nehmt bitte lieber ein reines Anzeigeprogramm wie Evince (das ist natürlich mein Favorit), das keinen Code anderer Leute auf eurem Computer ausführt, wenn ihr nur lesen wollt. Praktisch jedes PDF, das mir in die Hände kommt, kann ich mit Evince lesen – die einzige Ausnahme war ein Handbuch, das mir vor etwa fünf Jahren übern Weg gelaufen ist. Zum Glück ist es kein Problem, in so einem Fall einfach den fetten, gefährlichen, überkomplexen und bei Kriminellen für Angriffe äußerst beliebten Adobe Reader zu verwenden…

²Um den ausgesprochen kryptisch gecodeten Wust auf der Seite zu durchsteigen, brauchte ich einige Wochen! In denen ich nichts anderes mache! Das ist ausgefeilte, kriminelle Brut! Darüber hinaus sieht auch das verwendete CSS teilweise verdächtig aus, weil kleine grafische Elemente eine auffallend große, base64-codierte Repräsentation haben, als ob Codeausführung durch Bufferüberläufe in Browsern getriggert werden sollte. Dagegen schützt übrigens nur die ausschließliche Verwendung aktueller Software.

You have missed notifications contemporary

Dienstag, 3. November 2015

Oh, „YouTube“ kann ja sein eigenes Logo gar nicht mehr. Und der Absender „YouTube Notifier“ verwendet die Absenderadresse cwei (at) mail2hot (punkt) com und keine Adresse in der Domain von YouTube. Und der explizit eingetragene Name des Empfängers ist nicht etwa der bei YouTube verwendete Name, sondern unnötigerweise noch einmal die Mailadresse des Empfängers.

Ich glaube, dass niemand auf diese Spam reinfallen kann, der seine fünf Sinne beisammen hat. Die verlinkte Website wird leider zurzeit von den meisten Antivirus-Programmen nicht als Schadsoftwareschleuder erkannt, aber vor einem Klick kann ich nur warnen. Sie enthält unsichtbare Inhalte und eine in Javascript gecodete Weiterleitung auf eine Website, die sich schon eine beachtliche „Reputation“ als betrügerisch, illegal, virusverseucht und spambeworben abgeholt hat und deshalb auf mehreren einschlägigen Blacklists steht – nur die Antivirus-Schlangenöle versagen in ihrer Mehrzahl beim Erkennen dieser Website als kriminelle Dreckschleuder. Das Problemchen mit den Blacklists ist ja auch der Grund, warum in den Spams ein Link in ein gecracktes WordPress-Blog gelegt wurde, das dann dorthin weiterleitet…

Und deshalb klickt man übrigens niemals in eine Spam.

Wer so schlau ist, nicht jeder dahergelaufenen Website das Ausführen von JavaScript zu gestatten und mithilfe eines geeigneten Addons dieses Privileg nur für vertrauenswürdige Sites einschaltet, kann übrigens gar nicht auf diese Weise überrumpelt werden – und ist generell viel sicherer im Web unterwegs. In diesem Fall hätte es nur eine weiße Seite gegeben.

Warum man immer mit Adblocker surft!

Freitag, 23. Oktober 2015

Hier geht es nicht um eine Spam, sondern um einen Hinweis auf eine aktuelle Meldung bei Heise Online:

Besucher der Webseiten arcor.de, ebay.de und t-online.de können sich mit den Exploit-Kits Angler und Neutrino infizieren, warnen Sicherheitsforscher von Malwarebytes. Aktuell soll eine von Unbekannten initiierte Malvertising-Kampagne die Exploit-Kits verteilen

Die Benutzung eines Adblockers verhindert eine derartige Übernahme des Computers durch Kriminelle an der Wurzel, und das selbst dann, wenn die konkret verwendete Schadsoftware bei den Herstellern von Antivirus-Schlangenölen noch nicht bekannt ist. Adblocker sind unverzichtbare Schutzsoftware zum Aufrechterhalt der Computersicherheit – und die Gefahr durch schadsoftwareverseuchte Ads kann einem selbst auf renommierten und hoch angesehenen Websites wie etwa der Website von Arcor, Ebay oder T-Online begegnen. Wer dazu auffordert, Adblocker abzuschalten, damit sein Geschäftsmodell besser funktioniert, ist ein Komplize der organisierten Kriminalität. Das gilt auch für journalistische Produkte.

Sie würden doch aucn nicht ihr Antivirusprogramm abschalten, weil sie ein dahergelaufener, anonym bleibender Websitebetreiber darum bittet, oder? Lassen sie sich bitte niemals, niemals, niemals von Journalisten und Presseverlegern zu einer derartigen Dummheit hinreißen, surfen sie grundsätzlich nur mit einem guten, funktionierenden Adblocker! Ich empfehle übrigens uBlock Origin.

Und wenn sie schon einmal dabei sind, installieren sie bitte auch gleich einen wirksamen JavaScript-Blocker, um nicht jeder irgendwann einmal angesurften Website das Privileg einzuräumen, Programmcode innerhalb ihres Browsers aus ihrem Computer auszuführen! Ansonsten haben sie nämlich auch recht schnell einen Rechner anderer Leute auf dem Schreibtisch stehen, und das Antivirus-Schlangenöl erweist sich erschreckend oft als nutzlos dagegen.

New voicemail 3:35AM

Freitag, 16. Oktober 2015

Wer schreibt denn da?

Von: Whats App <er (punkt) steinnn (at) csu (strich) landtag (punkt) de>

Bwahahahaha!

Muss ich noch erklären, dass diese toll gestaltete HTML-Mail…

…mit einer angeblichen „New voice message“ eines leider völlig unerwähnten anderen Menschen nicht von WhatsApp kommt? Wenn die Spammer sogar zu doof sind, sich beim Fälschen des Absenders etwas einigermaßen überzeugendes auszudenken, ist es wirklich leicht, niemals auf eine Spam reinzufallen. (Aber Achtung! Viele Spammer machen es viel besser!)

Der Klick auf „Play“ führt dann auch nicht zu WhatsApp, sondern in die Domain lovelessknives (punkt) com. Wer darauf klickt, lasse alle Hoffnung fahren! Erstmal gibt es eine Weiterleitung, die natürlich nicht in Klartext formuliert ist, sondern schön undurchschaubar mit JavaScript und einem bisschen „Kryptografie“ aus dem Spamkindergarten erledigt wird:

Diese lustig formulierte JavaScript-Weiterleitung führt in die Website der Domain naturalherbsoutlet (punkt) ru, und das, was man dort zu sehen bekommt, ist eine der vielen Inkarnationen der Betrugsnummer „Canadian Pharmacy“ – eine kanadische „Apotheke“ in der russischen TLD, die eher nichts gegen Erkältungsbeschwerden zu verkaufen hat:

Aber warum sollte jemand, der glaubt, gleich nach dem Klick eine WhatsApp-Nachricht zu hören, jetzt auf einmal Interesse an Pimmelpillen bekommen? Richtig, das ist schon ein bisschen verdächtig. Deshalb ist wohl die Website auch als „attackierend“ gemeldet und wird in den meisten Browsern nur noch angezeigt, wenn man einen auffälligen alarmroten Hinweis wegklickt, dass man das Risiko eingeht. Ich konnte zwar keine Anzeichen für einen Angriff erkennen, aber ich habe hier auch nicht durchanalysiert und außerdem keinen Standard-Browser verwendet, so dass entsprechender Code möglicherweise gar nicht erst ausgeliefert wird. Links aus einer Spam sind in keinem Fall vertrauenswürdig und können schnell einen Ärger verursachen, der in keinem guten Verhältnis zur befriedigten Neugierde steht. Wer in seinem Browser keinerlei Vorkehrungen trifft, wer also nicht mindestens ein Browser-Addon wie NoScript verwendet, kann nach einem einzigen Klick in eine Spam – die keineswegs so leicht als Spam erkennbar sein muss wie in diesem Beispiel – einen Computer anderer Leute auf dem Tisch stehen haben, denn die Verbrecher sind auf neuestem technischen Stand. Ein so genanntes „Antivirusprogramm“ hilft dagegen eher nicht, es erkennt nur schon bekannte Schädlinge und Angriffe, und niemals die frischeste Brut der Kriminellen. Nicht einmal seinen Hersteller kann ein so genanntes Antivirus-Programm schützen!

Diese Spam ist ein Zustecksel meines Lesers E.T.

Warum Adblocker auch weiterhin unverzichtbar sind

Donnerstag, 8. Oktober 2015

Keine Spam, nur ein Hinweis auf einen Artikel bei Heise Online:

Doch wie kommen die Opfer überhaupt in Kontakt mit den Angler-Servern? Meistens arbeiten die Täter mit iFrames oder Werbeschaltungen. Talos fand die bösartige Werbung auf großen Nachrichten-, Immobilien- und Popkultur-Webseiten.

Wer immer noch ohne Adblocker im Web unterwegs ist, sollte es ganz lesen! Heise Online: Exploit-Kit Angler macht Millionen mit Erpressungs-Trojanern. Und danach unbedingt und möglichst sofort einen Adblocker installieren, der für die Computersicherheit beim täglichen „Surfen“ wesentlich wichtiger als ein Antivirus-Programm ist! Außerdem ist er sehr schnell installiert, kostet nichts und macht das ganze Web viel schneller und schöner. Ich empfehle (und verwende selbst) uBlock Origin.

Neuerung

Mittwoch, 23. September 2015

Von: PayPal <lomonov (at) mop (punkt) ir>

Ah ja, das ist also die neue Mailadresse von PayPal? Wenn man schon den Absender fälscht, kann man es auch besser machen als dieser Vollidiot mit seinem Trojanerpaket.

Natürlich kommt diese Mail nicht von PayPal. Die Zeichencodierung im folgenden Zitat ist Original, der Spammer hat es also nicht für nötig befunden, sein Skript vor der Benutzung mal zu testen. Ich halte es allerdings für möglich, dass diese Spam in Kürze auch in „gut“ ihren Weg in diverse Postfächer nimmt, und es ist in dieser Formulierung eine sehr gefährliche Masche.

Wichtige Kundeninformation

Sehr geehrter Paypal-Kunde [Genau mein Name!],

Sie mĂ¶chten eine Gutschrift in HĂ¶he von 25â‚¬ erhalten? Das ist ganz einfach!

Installieren Sie jetzt unsere neue PayPal App auf Ihrem Smartphone und erhalten Sie automatisch eine Gutschrift in HĂ¶he von 25,00â‚¬.

Klicken Sie auf „App herunterladen“ falls Sie diese E-Mail ĂĽber Ihr Smartphone lesen.

Falls Sie diese Email ĂĽber Ihren PC/Laptop lesen, Ă¶ffnen Sie diese EMail auf Ihrem Smartphone und laden Sie es anschlieĂźend herunter.

App herunterladen

Vielen Dank,
Ihr Team von PayPal

Hilfe-Center | Konfliktlösungen | Sicherheits-Center

[Den Standard-Footer einer PayPal-Mail, ebenfalls mit „zerschossenem“ Text, zitiere ich hier nicht…]

Der Link geht nicht in die Domain von PayPal, sondern in die Domain mit dem schönen „R-lastigen“ Namen sicherheitsmanagerr (punkt) asia – und die Datei namens PayPal (punkt) apk, die man dort bekommt, ist erwartungsgemäß das reinste Gift. Wer sich diese App auf seinem Android-Handy installiert hat, hat ein schweres Problem und sollte sich sofort um Schadensbegrenzung bemühen. Sämtliche auf dem Telefon verfügbaren Daten – einschließlich Kontakte, gespeicherte Passwörter, Zugang zum Google-Account, Dateien – befinden sich möglicherweise in den Händen von Kriminellen, und natürlich wurde das Online-Banking, so man dieses leichtsinnigerweise über ein Wischofon betreibt, manipuliert.

Zum Glück wird hoffentlich niemand so naiv sein, eine obskure App aus einer sonderbaren Quelle zu installieren (und das auch noch vorher im Telefon explizit zu erlauben), weil sie in einer unpersönlich formulierten E-Mail empfohlen wird – mit dem Versprechen eines Geldgeschenkes als billigem Köder. Oder? 🙁

TOP URGENT

Montag, 21. September 2015

Dear Sir,
Pls find the attached file FYR
Regards
Shaji

Ja, dieser Spammer glaubt, dass es noch viel dringender aussieht, wenn er den gesamten Text fett setzt.

Auch, wenn ich das schon lange nicht mehr geschrieben habe: Einen Mailanhang sollte man nur mit größter Vorsicht behandeln! Das gilt umso mehr, wenn es sich um ein ZIP-Archiv handelt, in dem sich nur eine einzige Datei befindet. In diesen Fällen handelt es sich beinahe immer um Schadsoftware. Selbst bei einer E-Mail von einem bekannten Absender ist es empfehlenswert, vor dem Öffnen telefonisch Rücksprache zu halten, denn der Absender einer E-Mail ist beliebig fälschbar und im Zeitalter der Handy-Trojaner und der allgemeinen datenmäßigen Selbstentblößung auf Social-Media-Websites muss man davon ausgehen, dass Verbrecher wissen, welche Menschen miteinander bekannt sind und entsprechende Absender in ihre Spams schreiben können.

An dieser unpersönlich formulierten Spam eines unbekannten Absenders hängt eine Datei mit dem Namen PAYMENT COPY (punkt) ZIP, und dieses ZIP-Archiv enthält eine einzige Datei namens PAYMENT COPY (punkt) EXE. Es handelt sich um eine ausführbare Datei für Microsoft Windows, die mit einer Spam zugestellt wurde. Wer darauf doppelklickt, hat hinterher einen Computer anderer Leute auf dem Schreibtisch stehen.

Ein Antivirus-Schlangenöl schützt in vielen Fällen nicht davor. Zurzeit wird dieser Anhang von weniger als fünf Prozent der gängigen Antivirus-Programme als Schadsoftware erkannt. Wer sich nicht auf den „Zauber unverstandener Programme“ verlässt, solche Mails als Spam erkennt und einfach löscht, ist hingegen auf der sicheren Seite.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.