Schlagwortarchiv „Schadsoftware“

Rechnung für Ihren Premium Zugang 43190841

Mittwoch, 25. April 2012

[Der „Premium Zugang“ ist nur echt mit Deppen Leer Zeichen]

Sehr geehrte Damen und Herren [sic!],

wir sind sehr erfreut Ihnen mitteilen zu können, dass Sie sich für Premium Mail registriert haben.
Sie können jetzt bis zu 600 Sms pro Monat kostenfrei verschicken und Ihr Onlinespeichervolumen wird grösser um 8 Gigabyte. [sic!]
26,59 Euro werden Ihnen monatlich von Ihrem Konto entzogen. [sic!] Entnehmen Sie die Zahlungsdetails bitte dem Anhang, dort finden Sie auch die Erklärung für Ihre 2 Wochen Kündigungsfrist.

Mit freudlichen Grüssen
Ihr Kundenservice

Hallo, ihren Namen kennen wir leider nicht, obwohl wir behaupten, einen Vertrag mit ihnen zu haben, der sie fluffige 27 Euro im Monat kosten soll, die wir einfach von ihrem Konto auf unser Konto beamen. Einen Namen haben wir auch nicht, wir sind einfach nur „Ihr Kundenservice“. Wenn sie jetzt immer noch nicht bemerkt haben, dass wir kriminelle Spammer sind, können sie ja mal den Anhang dieser Mail öffnen. Dieser ist ein ZIP-Archiv namens Rechnung.zip, in dem sich eine einzige Datei namens Rechnung.exe befindet. Das ist eine ausführbare Datei für Microsoft Windows, die ihnen von kriminellen Spammern zugestellt wurde. Was passieren wird, wenn sie darauf klicken, können sie sich vorstellen – sie bekommen eine ganz aktuelle Kollektion von Trojanern, Keyloggern und sonstiger Schadsoftware.

Mit mechanischem Gruß
Ihre Spammer mit der blöden Masche

Warnung: Onlinerechnung der Telekom

Dienstag, 24. April 2012

Keine Spam, sondern eine aktuelle Warnung vor einer zurzeit umlaufenden und sehr gefährlichen Spam.

Im Moment gehen Spam-E-Mails mit überzeugend nachgemachten Rechnungen der Deutschen Telekom um. Die angehängte PDF-Datei enthält eine Schadsoftware und nutzt Schwächen des Adobe Readers aus, um diese Schadsoftware auf einem Windows-Rechner zu installieren. Die Schadsoftware wird von gut achtzig Prozent der üblichen Virenscanner zurzeit noch nicht erkannt.

Diesen Mailanhang auf gar keinen Fall öffnen! Die Mail nach Möglichkeit unbesehen löschen!

Es wäre auch gar nicht so schwer gewesen, diese angebliche „Rechnung“ als das zu erkennen, was sie ist, nämlich als Spam:

Der Absender scheint korrekt, die Sprache ist fehlerfrei. selbst der Gruß des Leiters des Kundenservices zum Abschluss stimmt. Der beste Hinweis auf ein Fake ist die fehlende persönliche Ansprache: Statt „Guten Tag Herr Schmidt“ heißt es nur allgemein „Sehr geehrte Damen und Herren“, was bei Rechnungen eher ungewöhnlich ist.

Eine unpersönliche Ansprache in der Mitteilung eines Unternehmens, mit dem man einen Vertrag hat, sollte immer alle Alarmglocken schrillen lassen. Niemand würde seine Kunden unpersönlich ansprechen. Eine so formulierte Mail ist immer verdächtig. Niemals sollte in einer anonym formulierten Mail geklickt werden, niemals sollte ein Anhang aus einer derartigen Mail geöffnet werden – in Fällen von Unsicherheit kann man einfach den Kundendienst (neudeutsch: Support) des Unternehmens anrufen und fragen, was es damit auf sich hat. Die ständige Aufmerksamkeit für diese eine Kleinigkeit kombiniert mit einer äußersten Sparsamkeit beim Herausgeben des richtigen eigenen Namens im Internet ist der beste Schutz vor allen Angriffen durch die organisierte Internet-Kriminalität. Sie kann schnell viel Geld sparen und einem zudem etliche total vergällte Wochen voller unerquicklichen Schriftverkehrs mit Polizeien, Behörden, Anwälten und Inkassodienstleistern ersparen. Diese Verbrecher sind nämlich keine verpickelten Elfjährigen mit Geltungsdrang, sondern eiskalt und brutal vorgehende Kriminelle.

Der Schutz durch so genannte „Schutzprogramme“ kann hingegen nahezu wertlos sein, wie sich an diesem Beispiel zeigt – dass die Virensignaturen des neuen Schädlings spätestens übermorgen heruntergeladen werden, nutzt nichts, wenn der Rechner heute von der Internet-Mafia übernommen wurde. Diese „Schutzprogramme“ sind immer „nur“ Ergänzung, mehr nicht. Sie können nicht die eigene Verantwortung und die Benutzung des eigenen Gehirnes ersetzen.

Wer mehr Sicherheit möchte: Angesichts der immer wieder entdeckten schweren Fehler in Adobes Reader ist es vermutlich eine gute Idee, ein anderes Programm zum Betrachten von PDF-Dokumenten zu verwenden. Es stehen eine Menge kostenloser und oft gar freier Programme zur Verfügung, die zwar in der Regel kein Skripting innerhalb des Dokumentes erlauben, aber allein deshalb, wegen ihrer reduzierten Komplexität, sicherer sind. Komplexität ist grundsätzlich das Gegenteil von Sicherheit.

Noch mehr Sicherheit kann man im Moment erhalten, wenn man nicht mit dem Lieblingsbetriebssystem der Internet-Kriminellen, mit Microsoft Windows, im Internet unterwegs ist. Es gibt gute Alternativen, die für viele Menschen (zum Beispiel für mich) mehr als nur hinreichend sind.

DHL Express Tracking Notification

Montag, 16. Januar 2012

Nur ganz kurz am Rande eine AKTUELLE WARNUNG: Die Mail mit dem Betreff „DHL Express Tracking Notification“, die zurzeit wie eine Flut in die Postfächer schwappt, ist gefährlich. Der Anhang ist eine aktuelle Schadsoftware für Microsoft Windows.

Anhang nicht öffnen, Spam löschen!

Aber das macht hoffentlich sowieso jeder, wenn er eine fragwürdige Mail bekommt.

Facebook has sent you a notification

Montag, 10. Oktober 2011

Oh, das ist ja nett, ich bin dort doch gar nicht. Mal reinschauen in die Mail:

Das ist ja interessant, dass „bei Facebook“ die Nachrichten einfach so verloren gehen können. Und dann diese Gaga-Idee „von Facebook“, dass der Anwender irgendwo draufklicken muss, um die Nachrichten wiederherzustellen. Wenn „Facebook“ das kann und „Facebook“ ein Problem mit einer „verlorenen Nachricht“ feststellen kann, dann kann „Facebook“ das ja eigentlich auch ohne Klick (und vielleicht eine Hinweismail raussenden).

Die Mail ist HTML-formatiert, und der Link geht nicht zu Facebook. Er geht zu einer tollen Seite unter captivehosting (punkt) com, die nicht nur versucht, Windows-Rechnern mit einem IFRAME-Hack Schadsoftware unterzujubeln, sodern ganz nebenbei auch ein erheblich umgestaltetes „Facebook“ zeigt:

Welche komische Tablette diese Spammer allerdings genommen haben, um daran zu glauben, dass einer sofort Pimmelpillen kauft, wenn er eine betrügerische Pimmelpillen-Seite vor sich sieht, wo er eigentlich Facebook erwartet hat, das bleibt im Dunkeln.

Deshalb gehe ich auch davon aus, dass es in diesem Fall eher um das Unterjubeln von Schadsoftware geht. Die „Apotheke“ ist in diesem Fall reine Fassade. Was dort alles in den Rechner gedrückt werden soll, kann und mag ich nicht untersuchen. Entsprechende Baukästen zum Ausnutzen einer ganzen Bandbreite von Sicherheitslücken der populären Betriebssysteme werden unter den Kriminellen Preisen um die 100 Dollar gehandelt, und jeder Virenscanner hinkt den tatsächlich eingesetzten Schädlingen um ein bis zwei Tage hinterher.

Deshalb klickt man ja auch nicht in einer Spam rum. Auch nicht, wenn sie aussieht, als käme sie von Facebook, aber schon eine halbe Minute Nachdenken klar macht, dass Facebook niemals so einen Unsinn fordern würde. Übrigens kann man in der Statuszeile seiner Mailsoftware sehen, wo der Link hingeht, bevor man darauf klickt – und wenn da in einer Mail „von Facebook“ nicht Facebook steht, denn kann die Mail getrost gelöscht werden.

Warum populäre Web-Zwo-Nullsites wie Facebook, Google Plus und Twitter allerdings nicht dazu imstande sind, ihre Mails digital zu signieren, um diesem gefährlichen Markenmissbrauch durch Kriminelle wenigstens das Menschenmögliche entgegen zu setzen, kann ich auch nicht sagen. Vermutlich ist es den Betreibern dieser tollen Web-Zwo-Nullsites vollkommen egal, wenn Zugangsdaten abgephisht werden und die Computer ihrer Nutzer immer wieder einmal von Kriminellen eine aktuelle Kollektion von Schadsoftware installiert bekommen.

Your credit card is blocked

Mittwoch, 21. September 2011

Das ist die massive Spamflut des heutigen Tages, ich habe gar keine Lust mehr, das zu zählen. Ach, das macht ja auch der Rechner für mich, wenn ich das will…

$ grep '^Subject.*blocked$' spam | wc -l
     109

…aber ob ich das wirklich wollte. Ich schätze mal, dass dieser virtuelle Kothaufen auch in viele andere Postfächer gemacht wurde.

Dear Customer,
Your credit card is locked!
With your credit card was removed $ 087,2 [sic!]

Possibly illegal transaction! [sic!]

More detailed information in the attached file.

Immediately contact your bank .
Best regards, MASTER CARD CUSTOMER SERVICES.

Schon die Anrede „Sehr geehrter Kunde“ sollte klar machen, dass man hier keine Mail seines Kreditkartenunternehmens vor sich hat, sondern eine relativ schlecht gemachte Spam. Der Betrag ändert sich von Mail zu Mail, im Beispiel habe ich einen besonders missglückten Betrag mit führender Null und einer Nachkommastelle rausgepickt.

Schnellerklärung

Der Anhang ist ein ZIP-Archiv. Der Datei ist in jeder Spam anders, hat jedoch eine andere Gemeinsamkeit. Darin ist nämlich eine Datei mit einem ganz besonders lustigen Dateinamen, die so tut, als hätte sie die Dateinamenserweiterung .doc – was aber nicht stimmt. In Wirklichkeit hat hier jemand mit ein paar Steuersequenzen herumgespielt, um diesen falschen Eindruck zu erwecken, und es handelt sich um eine ausführbare Datei für Microsoft Windows und nicht um ein Dokument für Microsoft Word. Was von einem Programm zu halten ist, das einem so hinterhältig untergejubelt wird, muss ich wohl nicht vertiefen – es dürfte eine aktuelle Kollektion von Schadsoftware installieren.

Deshalb: Nicht drauf klicken! Löschen! Und generell niemals auf den Virenscanner vertrauen, wenn eine dermaßen leicht als Spam erkennbare Mail die Aufmerksamkeit erzwingen will.

Etwas technischer: Wie haben die das gemacht?

Ich gehe davon aus, dass dieser durchaus intelligente Hack in den kommenden Wochen häufiger versucht werden wird. Deshalb hier eine kurze Beschreibung, was da geschieht:

Der Dateiname endet mit der Zeichenfolge cod.exe.
Vor diesen Zeichen befinden sich (im Dateinamen) die Unicode-Zeichen U+202B und U+202E.
Diese steuern, ob der Text von links nach rechts (wie lateinische Schrift) oder von rechts nach links (wie arabische Schrift) gelesen wird und überschreiben die Einstellung für die angezeigte Sprache.
Moderne Betriebssysteme können Unicode in Dateinamen korrekt interpretieren (so dass beliebige Namen in beliebigen Sprachen und Alphabeten möglich sind) und zeigen den Namen genau so an, wie es von diesen selbst unsichtbaren Steuerzeichen gefordert wird.
Im Ergebnis wird cod ans Ende der Zeile gestellt und die Zeichenfolge wird umgekehrt, so dass der Dateiname auf exe.doc zu enden scheint, was bei oberflächlicher Betrachtung wie ein Dokument für Microsoft Word aussieht.

Ich weiß, das war immer noch etwas zu schnell, aber ich kann hier nicht das ganze Unicode-System erklären. (Auch deshalb, weil ich es nicht im vollen Umfang verstehe.)

Der irreführende Dateiname ist also möglich, weil bei der Darstellung des Dateinamens auch Unicode-Sequenzen interpretiert werden, die im Zusammenhang eines Dateinamens im Allgemeinen nicht sinnvoll sind. Diese Funktionalität wird vermutlich mit den Standardbibliotheken der grafischen Oberfläche „mitgeliefert“, der Dateiname erhält keine weitere Filterung durch den verwendeten Dateimanager. Dieses Problem ist nicht auf Windows beschränkt, ich konnte die irreführende Anzeige mit dem Thunar-Dateimanager der XFCE-Desktop-Umgebung unter Debian GNU/Linux reproduzieren. (Dort ist Gtk+ für die graphische Darstellung zuständig.) Unter Linux ist das Problem nur deshalb kleiner, weil Dateinamenserweiterungen keine so bedeutende Rolle spielen. Ob auch MacOS darauf „hereinfällt“, kann ich mangels Mac leider nicht entscheiden. Es ist ein ziemlich allgemeines Problem. Die Flexibilität moderner Betriebssysteme, die beinahe jede lebende (und manche tote) Sprache dieser Welt überall ermöglichen, kommt den kriminellen Spammern entgegen, die erfolgreich einen falschen Eindruck erwecken können. Allgemeine Abhilfe ist schwierig, es gibt gewiss noch weitere Eigenschaften von Unicode, die sich in vergleichbarer Weise ausbeuten lassen.

Der hier kurz beschriebene Trick wird wohl morgen (oder im schlimmsten Fall: übermorgen) von den meisten Virenscannern erkannt werden. Dafür hat er heute vermutlich schon einen gewaltigen Schaden angerichtet.

Für normale Menschen kann ich immer nur mit der Beharrlichkeit einer mechanisch betriebenen Gebetsmühle den immer gleichen Hinweis wiederholen: Niemals in einer Spam herumklicken! Auch dann nicht, wenn der Anhang einer Spam relativ harmlos aussieht, etwa wie eine Textdatei, ein PDF, ein Bild. Die „Kreativität“ der organisiert Kriminellen, wenn es darum geht, anderen Menschen bösartige Software unterzujubeln, sie ist schier unerschöpflich. Virenscanner und so genannte „Personal Firewalls“ sind niemals ein ausreichender Schutz. Die Sicherheit des eigenen Computers beginnt mit dem Menschen, der vorm Computer sitzt.

Und generell sollte äußerste Vorsicht bei Mailanhängen gelten, die nicht vorher verabredet waren. Wer etwas mitzuteilen hat, kann es in der Regel in der Mail schreiben und muss dafür kein Dokument anhängen.

Noch ein Hinweis

Ich habe bei einer sehr kurzen Recherche gefunden, dass dieser Trick bereits im Mai dieses Jahres als eine mögliche Schwachstelle erörtert wurde. Vier Monate sind im Bezug auf eine ausbeutbare Schwachstelle in der Internet-Kommunikation eine kleine Ewigkeit. Wenn dieses Problem bei Microsoft bekannt war, und wenn nichts in Hinsicht auf dieses Problem unternommen wurde, dann sind die Menschen, die sich auf Microsoft verlassen haben, wieder einmal verlassen gewesen. Im Ergebnis hat das organisierte Verbrechen im Internet vermutlich wieder einige zehntausende Bots für äußerst unerfreuliche Tätigkeiten zur Verfügung.

Canadian Health & Care Mall – HealthcareOnline

Montag, 5. September 2011

Eine aktuelle Warnung: Die Spams mit diesem Betreff führen zu einer „Apotheke“, in der Menschen nicht gesund, Windows-Rechner (möglicherweise auch Rechner mit anderen Betriebssystemen, aber ich simuliere für solche Zugriffe immer Windows als Betriebssystem, weil es das verbreiteste Ziel derartiger Attacken ist) aber krank werden. Es handelt sich nich um die übliche Pimmelpillen-Spam, die als Betrug schon übel genug ist, sondern um einen Versuch, über diverse Wege Schadsoftware auf dem Rechner zu installieren.

Weitere Betreffzeilen mit dieser Masche in meinem Spamfilter sind:

Medicare and Medical Insurance conspiracy
software outlet online purchase

Ich gehe davon aus, dass noch viele andere Betreffzeilen für diese kriminelle Masche in Verwendung sind.

Von daher kann ich gar nicht gründlich genug davor warnen: Niemals in einer Spam herumklicken! Das bisschen befriedigte Neugierde ist das Risiko nicht wert. Niemals auf Virenscanner verlassen! Die Kriminellen sind den Signaturen der Virenprogramme immer einen Schritt voraus. Die Spam löschen! In eindeutigen Fällen: Ungelesen löschen! Wenn man kein besonders gesichertes System zur Verfügung hat – und das meint viel mehr Vorkehrung als einen Virenscanner, eine „personal firewall“ und vergleichbare Vorsichtsmaßnahmen – kann jeder Klick in eine Spam dazu führen, dass man seinen Rechner der organisierten Internet-Kriminalität zur Verfügung stellt, und die wird damit etwas anzufangen wissen, was einem nicht gefallen kann. Es ist übrigens gar nicht so selten, dass man einige Wochen später die Kriminalpolizei kennenlernt, wenn etwa Kinderpornografie über den Rechner verbreitet wurde oder wenn der Rechner als Proxy für Betrugsgeschäfte benutzt wurde. Man selbst kommt ins Visier der Ermittler, und die Verbrecher bleiben anonym. Der Klick in die Spam ist den möglichen Ärger niemals wert. Niemals.

Kanaan Naser wants to be friends on Facebook.

Donnerstag, 25. August 2011

Danke für den Punkt nach dem Betreff. Das macht das Ausfiltern der Spam wirklich leicht, denn so etwas macht nur eines der ganz miesen Spamskripten, die schon längere Zeit im Umlauf sind.

Aha, jetzt wird wohl mal wieder nach Facebook-Anmeldedaten gephisht, aber in so richtig stilechtem HTML-Layout:

Es ist übrigens egal, ob man auf „Confirm Friend Request“ oder auf „See All Requests“ klickt, beide Links führen zu der gleichen, „liebevoll“ nachgemachten Seite in der Domain downtohole (punkt) com:

Und nein, es handelt sich nicht um Phishing.

Hier sollen Menschen dazu gebracht werden, die angeblich aktuelle Version des Flash-Players zu installieren. Zumindest sollen sie das glauben. Der Link führt in Wirklichkeit nicht etwa zu Adobe oder Macromedia, sondern zu einer ausführbaren Datei für Microsoft Windows, die von der gleichen Domain heruntergeladen wird. Überflüssig zu erwähnen, dass diese Datei namens updateflash.exe nicht etwa eine neue Version des Flash-Players installiert, sondern eine Kollektion aktueller Schadsoftware.

Aber das etwas nicht stimmt, ist ja sicherlich jedem aufgefallen, der beim Blick in die Adressleiste des Browsers gesehen hat, dass er sich gar nicht auf Facebook befindet, oder?! Bitte äußerste Vorsicht, wenn irgendwelche Websites verlangen, dass man irgendwelche Software installiert! Selbst, wenn es so aussieht, als handele es sich um große, vertraute Sites, die man jeden Tag benutzt. Ich vermute, dass diese Form des Angriffs – sie ist ja nicht wirklich neu, aber ich habe so etwas jetzt bestimmt ein halbes Jahr lang nicht gesehen – demnächst wieder häufiger werden wird. Die organisierte Internet-Kriminalität will offenbar neue Botnetze aufbauen.

Wie man sich Schadsoftware einfangen kann?

Sonntag, 17. Juli 2011

Das geht manchmal ganz einfach – in einigen Fällen reicht es zum Beispiel, wenn man mit Google oder einer anderen Suchmaschine nach Downloadmöglichkeiten für populäre Open-Source-Software sucht und naiv darin vertraut, dass die „gesponsorten Links“ oder Anzeigen dahin führen, wohin sie zu führen vorgeben:

VLC-Entwickler Ludovic Fauvet warnt […] vor mit Malware gespickten Forks der Anwendung […] Die illegalen VLC-Klone werden auf professionell gestalteten Webseiten zum Download angeboten, „funktionieren jedoch nicht wie erwartet, lassen sich nicht deinstallieren und verletzten die Privatsphäre der Anwender“ […]

Die Kriminellen nutzen Googles Werbeprogramm AdWords, um ihre präparierte Software neben den Suchergebnissen zu VLC Media Player zu promoten. Laut Fauvet werden auch andere Open-Source-Projekte auf diese Weise missbraucht: „Wir können wenig dagegen tun. Die Kriminellen haben das Geld, um AdWords zu kaufen, wir nicht. Als Non-Profit-Organisation haben wir auch nicht das Geld, um sie zu verklagen. […] Zur eigenen Sicherheit soll man sich VLC ausschließlich auf der offiziellen Projektseite herunterladen.

Während die klassische Mailspam stark rückläufig ist und kaum noch „durchkommt“, suchen sich die Internet-Verbrecher viele andere „Vertriebswege“ für ihre unerwünschten, kriminellen Überrumpelungen. Im Beispiel der Google-Ads – bemerkenswert an diesem „Vertriebsweg“ ist vor allem, dass Google offenbar keine Qualitätskontrolle der darüber verlinkten Websites vornimmt und sich deshalb mit Leichtigkeit als Vehikel für zwielichtige Machenschaften benutzen lässt – zeigt sich, dass „normale“, „legale“ Werbung und kriminelle Spam gar nicht so verschieden sind, wie das Werber gern hätten. In beiden Fällen geht es eben darum, jemanden mit allen nur denkbaren Tricks etwas anzudrehen, woran er bislang keinen Mangel gespürt hat.

Übrigens: Der beste Schutz vor dieser Art der Überrumpelung durch die organisierte Internet-Kriminalität ist die Installation eines Adblockers. Der macht auch den Rest des Internet viel erträglicher. Für ehrliche Anbieter, die auf Werbung im Internet setzen, ist das zwar schade (oder sogar geschäftsbedrohend), aber das könnten sie ja auch mal Google und den anderen großen Werbevermarktern im Internet sagen.

Aber das hilft natürlich nicht gegen die Verseuchung von Googles Suchindex durch ebenfalls zwielichtige SEO-Manipulationen. Diese sind – zusammen mit der relativen Untätigkeit Googles im Verlaufe dieser schon seit Jahren zu beobachtenden Entwicklung – der Grund dafür, dass der Nutzen Googles für Menschen mit einer Suche immer mehr abnimmt.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.