Screenshot: Diaspora. Und ich fand diesen Emre aus der Türkei schon ganz schön blöd bei seinem Versuch, dort ebenfalls einen sehr ähnlich gestrickten Trickbetrug einzuleiten.
Der hier ist aber viel besser. Der hat sogar eine Website. Die sieht übrigens auch aus. Ich habe mal einen Screenshot davon gemacht, aber Vorsicht, Lachen kann sehr weh tun:
So schade, dass es Geschmack und gestalterisches Talent nicht im Appstore gibt! 🤭️
Oh, ich habe ja schon länger keine Paketspam mehr gesehen. Und diese hat sogar ein Emoji im Betreff, die ist sicherlich ganz was Tolles! 🤭️
Und dann binnen einer einzigen Minute viermal auf der gleichen Mailadresse angekommen. So schade, dass diese Computer gar keine Datenverarbeitung können, sonst hätten die Spammer bestimmt mal einen aufgeweckten Zehnjährigen gefragt, wie man mit sort und uniq die ganzen Dubletten aus dem Datenbestand entfernt.
Von: UPS <ups-tracking@email.com>
Nein, diese Mail kommt nicht von UPS. Die würden nämlich Mailadressen in ihrer eigenen Domain verwenden. Vermutlich würden sie auch kein Emoji in den Betreff machen, weil das oft schon reicht, eine Mail als Spam auszusortieren. Und ganz sicher würden sie einen nicht mit E-Mail belästigen, denn auf Paketen steht für gewöhnlich eine Lieferanschrift, aber keine Mailadresse. Woher sollten die wissen, wo sie hinmailen sollen?
Na gut, mal reinschauen:
Schnell handeln: Ihr Paket ist bereit für die Zustellung!
Kein Wunder, dass das Paket nicht bei mir ankommt. Da wohne ich doch gar nicht. 😅️
Das lustige, aber schon länger verwendete Bild haben die Spammer einmal mehr kostenlos und anonym in der so genannten „Cloud“ von Google gehostet.
Ich muss hoffentlich nicht weiter erwähnen, dass der Link auch nicht zu UPS führt, sondern in eine kriminell gecrackte Website, die mit WordPress betrieben wird. Ich habe den Betreiber dieser Website schon unterrichtet, und ich gehe davon aus, dass dieser Teil der betrügerischen Masche in Kürze erledigt sein wird. Dort gibt es zurzeit noch eine Weiterleitung in die übliche Kaskade von Weiterleitungen, und am Ende darf man auf einer obskuren Website, die in einer obskuren Domain liegt, „die Lieferung seines Paketes planen“ (dabei habe ich erfahren, dass in drei Tagen schon wieder Wochenende ist, was ich am Montagmorgen sehr begrüße) und nicht nur seine Anschrift inklusive Telefonnummer angeben, sondern auch eine Kreditkartennummer, um
Keine der Websites in dieser Kaskade befindet zurzeit in irgendeiner Blacklist. Wer sich auf den so genannten Phishingschutz im Browser verlässt, ist verlassen und kann ungehindert ins Verderben rennen.
Natürlich werden die Betrüger mit der Kreditkarte so richtig durchkaufen. Das Geld anderer Leute gibt sich ja immer ganz besonders leicht aus. Der durch Betrug angerichtete finanzielle Schaden liegt in der Regel im hohen vierstelligen oder niedrigen fünfstelligen Bereich, in wenigen Fällen sogar noch höher. Jeder Mensch kann mit seinem Geld etwas besseres anfangen, als so einem betrügerischen Geschmeiß den verfeinerten Lebensstil zu finanzieren.
Zum Glück gibt es ein ganz einfaches und sehr sicheres Mittel, mit dem man sich vor Phishing schützen kann, eine der immer noch häufigsten Betrugsmaschen im Internet: Niemals in eine E-Mail klicken! Denn wenn man nicht in eine E-Mail klickt, können einem die Betrüger nicht so einfach einen giftigen Link unterschieben. Stattdessen für häufiger besuchte Websites einfach ein Lesezeichen im Browser anlegen. Die Sendungsverfolgung von UPS findet sich zum Beispiel hier, und echte Mitteilungen von UPS enthalten eine Nummer, die man dort eingeben kann. Ach, das wisst ihr alle schon? Habe ich mir doch gleich gedacht. Aber trotzdem fallen noch genug Leute auf so ein Phishing herein, damit sich diese Nummer für die Spammer lohnt. 😕️
Wofür werde ich denn belohnt? Dafür, dass ich eine Mailadresse habe, auf die jeder Honk…
Von: Leroy Merlin <info_wjyfhinqudu@448448com.com>
…mal draufkacken kann, als wäre sie ein öffentliches Klo? 💩️
So etwas wie com.com in einer Mailadresse habe ich auch noch nie gesehen. Und jetzt, wo ich es zum ersten Mal gesehen habe, weiß ich auch gleich, warum ich das noch nie gesehen habe. 😄️
KOSTENLOSES
Dexter 108-teiliges Werkzeugset
Es dauert nur wenige Minuten, diesen fantastischen Preis zu erhalten!
Der Bote steht auch schon wieder vor der Tür und wartet nur drauf, dass ich in eine Spam klicke. Erstaunlich, dass die Spammer gar nicht bemerken, wie unendlich blöd dieser Standardspruch aus ihren Spams klingt.
Vermutlich ist es sogar gratis.
Kostenlos antworten!
Wie, muss man sonst fürs Antworten auch noch Geld bezahlen?
Sie wurden ausgewählt, um KOSTENLOS an unserem Treueprogramm teilzunehmen! Es dauert nur eine Minute, bis Sie diesen fantastischen Preis erhalten.
Welche Treue ist gemeint? Ich kenne weder den Absender, noch den angeblichen Absender, noch habe ich da in den letzten rd. 25 Jahren Werkzeug gekauft. Schon gar nicht in Frankreich. Das einzige, dem ich im letzten Vierteljahrhundert recht treu war, das war das Betrübssystem Linux, und diese Treue wurde auch immer wieder einmal auf harte Proben gestellt. BSD ist durchaus hinreißend, und Linux wird langsam moppelig und auf die ganz schlechte, undurchschaubare Art komplex, als wolle es etwas vor mir verbergen. Da freut man sich dann schon mal, wenn einem die schöne einfache Art eines richtigen Unix übern Weg läuft und völlig unkompliziert, aber ein kleines bisschen kryptisch in eine irre werdende Welt lächelt. 😍️
Aber ich höre mal auf. Nein, ich bin keinem Verkäufer treu, außer er ist in meiner Nähe oder sehr billig. Und das ist hier weder das „weder“ noch das „noch“. 😸️
![In die Spam eingebettete Grafik: Paketzustellung -- Hinweis zur Expresslieferung -- Verfolgen Sie Pakete jederzeit und überall -- Registrieren/Anmelden -- Entschuldigen Sie, wir haben Sie verpasst Der Fahrer konnte Ihr Paket nicht zustellen. -- Bitte wählen Sie ein neues Lieferdatum. -- Verhindern Sie weitere verpasste Lieferungen. Erhalten Sie aktuelle Benachrichtigungen und planen Sie mehrere Pakete gleichzeitig um mit Express My Choice®. -- [klicken Sie hier]](http://spam.tamagothi.de/wp-content/uploads/2025/02/upsspam.jpg)
Und jetzt ist dem Absender auch noch das Deutsch ausgegangen.
Alle Links führen natürlich auf die selbe Adresse beim kommerziellen URL-Kürzer Zapier. Und dann gibt es natürlich noch mehr Weiterleitungen, denn Spammer setzen keine direkten Links, wie das jeder denkende und fühlene Mensch machen würde, weil es völlig problemlos und einfach ist. Natürlich geben sich diese Spezialexperten aus dem Spameingang mal wieder alle Mühe, ihre Betrugsseite nur an einen Desktopbrowser auszuliefern, denn sie möchten nicht so gern, dass ihr Kram analysiert wird. Das sieht dann so aus:
$ location-cascade https://zpr.io/C3kwrB7Y8nfb | sed 10q 1 https://www.codeworksquick.com/3Z9LQRN/ZBL8G5G/ 2 https://t1.digitalfortress.su/aff_c?offer_id=729&aff_id=1814&aff_sub=de-lerdex&aff_sub2=1835&aff_sub3=c79c7f401a8840f098d5b2b0e6383a7d 3 http://huxi.securecloudsolutions.info/fclkv2/de-lerdex/?aff_id=push_aff_id&aff_sub2=1835&aff_sub3=c79c7f401a8840f098d5b2b0e6383a7d&aff_sub4=&aff_sub5=&affiliate_id=1814&c=%7C729&cc=dk&clickid=w2bc5mkq130u73t63l7dq3c4&clktspanic=1&cpc=0.0&cr=1835&id=w2bc5mkq130u73t63l7dq3c4&isp=Vodafone+Germany&k=de-lerdex&keyword=de-lerdex&lpc=1736364533344&lptoken=177f3623360f634a337f&modifier=&offer_id=729&privacy=1®ion=Niedersachsen&s=1814&source=&src=&superclk=v4&tracker=surfadvance.com&vid=%7Bvid%7D&view=%7Bskipped2%7D&oho=t1.digitalfortress.su&currts=1736364533&ptf=26934eb377001f66e37289a5c93fe284 4 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php#/cerimu/lerisu/ja/ko/index.php?rpclk=3mN%2FMSvjhcsRVmuj4P5zbM%2FLVIb7tUZoXtvnK5ojLB9bJq7yjeZJY6H5DBt1qwAxyHLLxabFJoTdypcCvbK%2Blxrx5dB%2BhH%2FwhLcwNsuh0jrw5YuFvJ0GJoBacp5ulYYzZvB2LPK3eizcvbxjN%2FTcct0m1JtjGakUpq52Y4tLdmi%2BfXwK4Ylqz8zOEymJYxNTCEgSmSTL4tyPJjPnhIRhwzXD%2BCfvkR05qkcgMh%2BWETN2bUFumWwHfiksKo1Ejw%2B%2BW%2BUdZsHw1yJkfjPdgQYRCdHhtfRPFGyQz%2F%2B94gs8vWcBZJ5xRxJHhWDnWN3FBV0V0f6sQA34gZ4Zsftu4OIdEZOEs8Uzt%2FAv%2FqxOIkBmgvM%2FwOW7hmMfq9cNxk8yuH5pgYAHK6BjTp6eYUSRiEQZDWLB%2B52t0vvL6dqVRFx56c2kRZzfYSJgTXh8BG1tbKC3Z%2BG%2B9vHGtQqGVYWALHmVXjqtkqPYL%2BoIC19tknOnWeKIHchCjGLHudo%2F%2Fj4k45iCWeRWCHw1OYYo8FlKMICm9%2FwwwxLQ1iIdpAu4dWxxo4xNlRczfofIckvENHO%2BoGlvmONcslRzgVF%2Fk06sdEt%2BKP0rJU%2FHmYTgHzTw%2BIOp%2B2gW2bbH4jK1sYc4yRGQxOLXBQUBueG8%2FGWIxYace%2FWOJ3rqNG6Zg9msW3PWhpvqJPO%2FnM9J8Sol%2FrnHEdz4HQoDDi8eiTbtRdaQFjT6tHCf7%2FKyGeD4rxEWjqAMfB%2BSdxpYDqkAThsIdC6nK6LIjk0hvFmtxQU6ggXQPKYF9hnfujwY35QjNQhKSubVBAwqWyAGenLR6IOCGo0g0Ig56trhkM6gpx%2B1xSKcErayZlGnFcoPUYbRVeVzFcylFOP2yywT%2F0r0rCp9sNnOL%2FbR39%2BMxMyFRf3TwMxTvA1AKLalO1b%2BCmYReBcPgGLpoV2zUfgh9TWK8AaXJF%2BtUOl9KlhFsI7r9LqBzoXkTw%3D%3D%3A%3A7a3d8f4244421ae20ebf9f51d33712ac&p=%2BLNqX503gqfEmxwEBdNClHmv0g%3D%3D%3A%3A88b115990d3675d8f635a32107302420 5 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite 6 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite?kefehe=wokexemohutohojoko 7 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite?kefehe=wokexemohutohojoko?bihefu=berafiwajamogupuze 8 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite?kefehe=wokexemohutohojoko?bihefu=berafiwajamogupuze?zedofo=zaruzokopokoxowumodo 9 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite?kefehe=wokexemohutohojoko?bihefu=berafiwajamogupuze?zedofo=zaruzokopokoxowumodo?kuyute=cuvoratoxahayiji 10 https://huxi.securecloudsolutions.info/cerimu/lerisu/ja/ko/index.php?ruviredi=rejayukixojupegite?kefehe=wokexemohutohojoko?bihefu=berafiwajamogupuze?zedofo=zaruzokopokoxowumodo?kuyute=cuvoratoxahayiji?nacuse=wusugudamujeha $ surbl t1.digitalfortress.su t1.digitalfortress.su LISTED: PH $ _
Schon die zweite Station dieser Weiterleitungskette mit Endlosschleife steht wegen Trickbetrugs (Phishing) auf allen Blacklists der Welt. ⚠️
Da wird einfach immer mehr in einer Endlosscheife an den URI drangehängt, um Analyseprogramme auszutricksen. Wer hingegen mit einem Desktopbrowser kommt – macht das bitte nicht, liebe Mitmenschen, denn es geht zu einer Website von Kriminellen! – sieht die gegenwärtige Standardseite (ohne Impressum) der betrügerischen Umfragespammer, wo immer nur ein paar Textfragmente und die Grafiken ausgetauscht werden, so dass es mal wie der ADAC, mal wie die Techniker Krankenkasse, mal wie etwas ganz anderes aussieht:
![Screenshot der betrügerischen Webseite: Über €4.000.000 an Angeboten bisher vergeben! -- Umfrage zu Leroy Merlin -- 8. Januar 2025 -- Sehr geehrte Leroy Merlin Kunde, -- Wir mchten Ihnen eine einzigartige Gelegenheit anbieten, eine brandneue Dexter Werkzeugsatz! Um sie zu erhalten, nehmen Sie einfach an dieser kurzen Umfrage zu ihren Erfahrungen mit teil Leroy Merln. -- Achtung! Dieses Umfrageangebot läuft heute ab, 08 Januar 2025. -- [Umfage starten] -- Angebot läuft ab in 6:20](http://spam.tamagothi.de/wp-content/uploads/2025/01/leroy-merlin.jpg)
So ein kurzer Text, und doch so viele Fehler darin. Und das Beste: Sogar die Marke, um die es angeblich geht, wurde falsch geschrieben. 🤭️
Wenn die unten eingeblendete Uhr nach sieben Minuten auf null runtergetickt ist, fängt sie übrigens wieder bei sieben Minuten an. Es soll ja niemand um seine wertvolle Erfahrung als Betrugsopfer gebracht werden, nur weil er zu langsam ist. Wer mir nicht glaubt, dass diese Verbrecher nicht so ganz koscher sind, kann das mit diesem Uhrenschwindel ja einfach mal ausprobieren. Man muss dafür nur warten. Und dann sehen, dass es wieder von vorne anfängt, also einfach nur für den psychologischen Druck gemacht wird. Aber bitte auf gar keinen Fall auf den Trickbetrug reinfallen! Am besten gar nicht erst in die Spam klicken! Es ist gefährlich. Schon das Klicken ist gefährlich.
Alle Daten, die man eingibt, gehen direkt an gewerbsmäßige Betrüger und werden für Betrugsgeschäfte missbraucht. Das gilt auch für die Kreditkartennummer.
Das Werkzeug gibt es natürlich nicht.
Die Spam löschen, und gut ist! 🗑️
Abt.: Umfragespam, die Pest dieser Zeit
Schon wieder? Wer wählt mich denn aus? Das Kreiswehrersatzamt? Der Betreiber eines Krematoriums?
Von: Techniker Krankenkasse Team <info_kvcpdtvehck@1001mem.ru>
Nein, es ist angeblich die Krankenkasse, deren Prämienzahler offenbar besonders empfänglich für solche Umfragespam und Gewinnspielspam von Spammern sind. Ich sehe es daran, dass ich diese Spams der Marke „beantworte uns ein paar ziemlich sinnlos wirkende Fragen und wir schenken dir einen Sachpreis“ nahezu täglich sehe, und das deutet darauf hin, dass es sich für die Spammer unvermindert lohnt. Die dabei seit Monaten einzige angegebene Krankenkasse ist die „Techniker Krankenkasse“ mit dem schnieken Deppen Leer Zeichen in der Firmierung. Dass es Spam ist, kann man in diesem Fall leicht an der angegebenen Absenderadresse erkennen. Durch einfaches Hinschauen. Die richtige „Techniker Krankenkasse“ würde Mailadressen in ihrer eigenen Domain tk.de verwenden und nicht eine obskur aussehende Absenderadresse in der russischen TLD. Spamfilter tun sich hingegen ein bisschen schwer, so dass ich davon ausgehe, dass jetzt viele Menschen genau diese Spam im Postfach haben.
Für die Kunden der „Techniker Krankenkasse“ brauchen sich die Spammer offenbar noch nicht einmal die Mühe zu machen, ihre Absenderadresse plausibel aussehen zu lassen. Das sagt in meinen Augen einiges über die Kunden der „Techniker Krankenkasse“ aus. Sie scheinen die geborenen Opfer zu sein.
Der Text ist mal „neu“ – nein, nicht „inhaltlich“, aber neu formuliert. „Formulieren“ bedeutet im Kontext der Spam: Den „neuen“ Text aus anderen Texten, deren Bedeutung man nur mithilfe eines Computerübersetzers ein bisschen erahnen kann, zusammenzusetzen. Das führt immer zu gewissen Schwächen, kommt aber eine Zeitlang besser durch die Spamfilter.
Und ich bin Papst! 😇️
Das ist ja mal wieder genau mein Name!
Ein Unternehmen, das seine Kunden behalten will, spricht sie namentlich an. Die meisten Unternehmen wollen ihre Kunden behalten. Die es nicht wollen, sind es nicht wert, Kunden zu haben.
Ihre Meinung zählt
Echt jetzt? Ich habe ja eine Meinung zu solchen Mails… 🤭️
Wir sind stets bemüht, Ihre Erfahrung zu verbessern, und diese schnelle Umfrage von 2 Minuten hilft uns dabei, noch mehr Freude für alle zu schaffen!< Sie wurden ausgewählt, um kostenlos an unserem Treueprogramm teilzunehmen! Es dauert nur eine Minute, um diesen fantastischen Preis zu erhalten. ein Medicare Kit zu gewinnen
Wenn man diesen kurzen, drangvollen „Text“ der Gattung „Die Leute zum Klicken in eine Spam bringen“ liest, fällt vor allem das völlig inhaltslose Geblubber auf, das dem genau so inhaltslosen Geblubber aus der richtigen (und im Gegensatz zur Spam leider immer noch legalen) Reklame abgeschaut ist:
*2025 Kobe wird bevorzugt. Techniker Krankenkasse.
Ich bin auserwählt, doch Kobe wird bevorzugt. 🥳️
Alle Links in dieser Spam führen auf dieselbe Adresse, egal, was es für lustige Texte sind, die da verlinkt wurden. Wo der Link hinführt, blendet die Mailsoftware übrigens ein, wenn die Maus übern Link steht. Und nein, es ist natürlich kein direkt gesetzter Link, wie ihn jeder denkende und fühlende Mensch setzen würde, weil das einfach, direkt, problemlos, schnell und am wenigsten störanfällig ist. Stattdessen wird ohne Not einer dieser Linkkürzer benutzt. In einer HTML-formatierten Mail, in der man nicht das Problem hat, dass ein angegebener Link ungünstig umbrechen könnte. Einmal ganz davon abgesehen, dass es sich auch um ein Datenschutzproblem handelt, das eine richtige Krankenkasse hoffentlich völlig vermeiden würde. Sozusagen eine Lösung ohne Problem, die aber dafür Probleme schafft.
Die weitere Weiterleitung auf Seiten der Spammer – ich breche mein kleines Kommandozeilenzitat hier schon nach der zwölften Weiterleitung ab, weil es endlos so weitergeht – führt auf Seiten der Trickbetrüger in eine Endlosschleife von Weiterleitungen:
$ location-cascade https://shorturl.at/Hkn8u | sed 12q 1 https://www.shorturl.at/Hkn8u 2 https://www.codeworksquick.com/3Z9LQRN/XGMHQN7/ 3 http://t5.digitalfortress.su/aff_c?offer_id=729&aff_id=1814&aff_sub=de-techkit&aff_sub2=1835&aff_sub3=ddd3f543828f43a0a35944c8d35b4553 4 http://mawiri.guardnet360.com/fclkv2/de-techkit/index.php?aff_id=push_aff_id&aff_sub2=1835&aff_sub3=ddd3f543828f43a0a35944c8d35b4553&aff_sub4=&aff_sub5=&affiliate_id=1814&c=%7C729&cc=de&clickid=wvdh3alrb3v7n0s6j6ocnqn8&clktspanic=1&cpc=0.0&cr=1835&id=wvdh3alrb3v7n0s6j6ocnqn8&isp=Vodafone+Germany&k=de-techkit&keyword=de-techkit&lpc=1736239326085&lptoken=177b36b5243b11d1260c&modifier=&offer_id=729&privacy=1®ion=Schleswig-Holstein&s=1814&source=&src=&superclk=v4&tracker=surfadvance.com&vid=%7Bvid%7D&view=%7Bskipped2%7D&oho=t5.digitalfortress.su&currts=1736239326&ptf=26934eb377001f66e37289a5c93fe284 5 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php#/daxawala/wawirotu/jefulu/guso/index.php?rpclk=uI4%2BHPDFm9Xn2BqacKbtXO2P0WeVxovm4HL%2FPMCplKQ%2FZw%2FXBVUpshuBnP6X%2F53xy5RNKAJ%2FJzJCHLC5NQBFKKGQaOSMuOTz61mF1vJbh%2FnWiqfOBOouYEvyp1Zivtm2meYstNTab6iwC4kEYVuwbjiY0iEUhTRNdTJDSOF%2BuraRggDuIQ5PXcM%2FKX1ou0ewuipUfr0I1NNb7xWkLL55z7KtBkmB7XvtEJErhtZ%2BkBu1mWmIeeK6NUdiR3avNjzWotTa6JmyS3TwihmLZ%2FT226CxCWNejrf774yrEMAHBuVYGpt4YbwwnP6UvQ%2FbbvoPDEOBB7A0BXgkUolgcVaBQH4F%2Fj6FpCLcBHh7J%2FAF1P7n%2Bhw%2BZvP6uVVdjeLC0fnxoMtYu%2F%2BIEjePOxAqiUwwNExk4OPqSEtrJyYclS5GTPG4%2FJNnYA6veqCf%2FP%2BYvOtwne4AF5RoBFF8yLm50U8H%2F68g%2Ffv%2FtuX8WHouWQvRV1VJZm4kCVdHpgI4DuIN2zZNiPAKhEN1l1CAHcsW6f2GXgFcH4DHQVoDCw2l2KbJHPdfmHhsWSG7a3Y%2BrnNujP3Opb%2BrzRUuAWNulDtfmZED46SqdDX2GLt9q1dW3tiN%2F3ZPxg0EXECxgLA27PyFD%2FlbFdSMtUBkvd86P%2B7ow9JbOSnhCqwt902IXcwfm8w2WpZ1r4qlv4XVbzgMvxq2TxnB1BBE64dMOSiAOa1uQqrtW9QSmIH8K8RIchZ6kr2B147FcuNQHlSiIcSJ0b8ByYwIypDSK3IzhRFVDEkIPRaXUzJGFH28pXYc8LtRykhS5JktLT9jdrwPFVOlAtEwtqJ4twMPSNYnwFQv3DiVrmhM4OiQ%2F99gtYY7OFVWiqdNbvny%2FeSc%2FxParJGu6k8pNd2QEG2f5aRhN4pmoYrqYo5BvKREiknjIypesM6awf2kE4iPON7kHgRPlKPP66MCBgH0jAsaIHaYHL24N2wW4b8eUHG2w8FpodKzQmI4pExnZQ%3D%3D%3A%3A912054845f0cae5092738ad70da87853&p=3cRxQdWI4e17nVJBmZWWD416H28%3D%3A%3A39191936b6512786993f6cafc0d51aa4 6 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa 7 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha 8 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha?tapafo=musiceyoziloyudo 9 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha?tapafo=musiceyoziloyudo?yumoduxo=jaxaxekobelomu 10 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha?tapafo=musiceyoziloyudo?yumoduxo=jaxaxekobelomu?tobetuma=dovocenubipubevoziwa 11 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha?tapafo=musiceyoziloyudo?yumoduxo=jaxaxekobelomu?tobetuma=dovocenubipubevoziwa?vuhiza=kinuzajubovapi 12 https://mawiri.guardnet360.com/daxawala/wawirotu/jefulu/guso/index.php?mewapo=gaganapifamipa?bepocati=sigobumodeyohotoha?tapafo=musiceyoziloyudo?yumoduxo=jaxaxekobelomu?tobetuma=dovocenubipubevoziwa?vuhiza=kinuzajubovapi?gegesi=vasojehecedeleyi $ surbl mawiri.guardnet360.com mawiri.guardnet360.com LISTED: PH $ _
Hier hat jemand großes Interesse daran, eine automatisierte Analyse zu erschweren. Dass es bei dieser Art des Aussperrens „unerwünschter analytischer Zugriffe“ auch Probleme mit Websuchmaschinen gibt, spielt dabei keine Rolle, denn diese Website wird ja durch gewaltige Fluten illegaler und asozialer Spam mit Gewinnversprechen bekannt gemacht, nicht durch erfreuliche oder wenigstens hilfreiche Inhalte.
Trotz dieser Mühen der Kriminellen kann man bereits sehen, dass es zur Website in einer Domain geht, die bereits wegen Trickbetrugs (Phishing) auf allen Blacklists dieser Welt steht.
Wer – anders als ich, der ich immer mit Kneifzange, Kommandozeile und einem kleinen Satz persönlich genutzter Skripten an die Links in einer Spam herangehe – auf den Link klickt, so dass die Seite in einem normalen Desktopbrowser¹ dargestellt wird, sieht hingegen etwas sehr anderes als eine Endlosschleife:
Oh, ich habe im ersten Moment fast geglaubt, es handele sich schon wieder um den ADAC. 🤭️
Alle Daten, die man auf so einer Seite eingibt, gehen direkt an Betrüger und werden entweder von diesen für Betrugszwecke – beim nächsten Mal aber mit namentlicher Ansprache und nach Angabe einer Telefonnummer telefonisch unterstützt – genutzt oder an andere Betrügerbanden verkauft. Wenn man seine Kreditkartennummer angegeben hat, können die Betrüger schön mit der Kreditkarte einkaufen gehen. Ist ja auch viel preiswerter, wenn man nicht selbst fürs Kaufen bezahlt.
Das „fantastische Geschenk“ gibt es natürlich nicht. Es ist eine Lüge. Lügen sind der preiswerteste Köder der Welt, und es sind vor allem Menschen, die darauf hereinfallen.
Bitte nicht darauf reinfallen!
¹Bitte auf gar keinen Fall solche Experimente auf einem nicht besonders gesicherten System machen! Spammer sind kriminell. Websites von Spammern sind gefährlich. Wer nicht weiß, wie man ein besonders gesichertes System herstellt, sollte gar nicht erst darüber nachdenken. Eine „personal firewall“ und ein Antivirusprogramm sind kein besonders gesichertes System. Ich habe für so etwas eine virtuelle Maschine, die ich starten und nach der Benutzung mit einem dafür angelegten Sicherungspunkt wieder in den ursprünglichen Zustand zurückversetzen kann, und selbst ein solches Verbannen in den Sandkasten ist nicht wirklich sicher. Ach ja, und ich benutze nicht Microsoft Windows, das Lieblingsbetrübssystem der Internetkriminellen, was ich zurzeit noch sehr zur Nachahmung empfehlen kann.
Oh toll! Mit völlig sinnloser Nummer. Von der Bank…
Von: ІNG <br7l4fvhy1cgxw2@itcelaya.edu.mx>
…die ihre Mails gar nicht aus der eigenen Domain versendet. Die Bank, die ich vor allem aus meinem Spameingang kenne, weil es da immer so viel Phishing gibt. Vermutlich ist es bei diesen Kunden für die Trickbetrüger oft lohnend.
Wie, Internet-E-Mail ist noch nicht online genug? 😅️
Ihre Finanz-Nachrichten für den Dezember.
Nein danke, ich falle nicht auf so genannte Investmentfonds rein, die schlechter performen als die Entscheidungen eines Zufallsgenerators, aber dafür die Banken reich machen. 🖕️
Oder habt ihr heute eine andere Geschichte vom Weihnachtsmann für mich?
Sehr geehrter Kunde,
Aber so genau mein Name!
Wir möchten Sie nochmals daran erinnern, Ihre ІNG App auf die neueste Version zu aktualisieren, um weiterhin alle Funktionen und Sicherheitsstandards nutzen zu können.
Ich habe keine App. Ich habe nicht einmal ein so genanntes „Smartphone“. Und wenn ich ein Smartphone hätte, würde ich diesem Sandkasten für kriminelle und destruktive Mitmenschen, der oft schon im Auslieferungszustand nicht deinstallierbare Schadsoftware enthält, ganz sicher nicht meine Fernkontoführung anvertrauen. Dagegen war Windows 98 ja sicher! 🥳️
Bitte klicken Sie auf den untenstehenden Button und folgen Sie den Anweisungen, um die Aktualisierung durchzuführen:
Wer da klickt, lasse alle Hoffnung fahren. Weder führt dieser Link zur Website der ING DiBa, noch ist er direkt gesetzt. Stattdessen gibts eine Weiterleitung auf eine andere Seite in der brasilianischen TLD, die aussieht, als käme sie von der ING DiBa:
Alles, was man dort eingibt, geht direkt an Kriminelle. Die räumen das Konto leer und machen außerdem noch allerlei Betrugsgeschäfte damit. Den Schaden bekommt man nicht erstattet.
Zum Glück für uns alle gibt es ein hervorragendes und hundertprozentig wirksames Mittel gegen Phishing, eine der häufigsten Trickbetrugmethoden im heutigen Internet: Niemals in eine E-Mail klicken! Wenn man nicht in die Mail klickt, kann einem kein Verbrecher so leicht einen giftigen Link unterschieben. Stattdessen unbedingt ein Lesezeichen im Webbrowser anlegen und die Website nur noch über das Lesezeichen aufrufen! Sollen die Trickbetrüger doch verhungern, weil niemand mehr auf sie hereinfällt!
Wichtig: Sie haben noch ein paar Tage Zeit, um das Update abzuschließen. Nach diesem Zeitraum können Einschränkungen bei der Nutzung der ІNG-Anwendung gelten. Um Unannehmlichkeiten zu vermeiden, bitten wir Sie, die Aktualisierung so schnell wie möglich durchzuführen.
Wenn man nach dem „Genuss“ einer solchen Spam mit komischem Absender doch unsicher sein sollte, einfach die Website der ING DiBa über das Lesezeichen im Browser aufrufen und sich dort wie gewohnt anmelden. Wenn es dabei keinen Hinweis auf derartige Probleme gibt, dann hat man einen dieser gefürchteten „Cyberangriffe“ abgewehrt. Ja, so laufen so genannte „Cyberangriffe“. Ja, so einfach kann man die abwehren. Tut das! 🛡️
Schlangenöl und Addons für Webbrowser helfen hingegen nicht. Die Kriminellen sind immer einen Schritt voraus.
Sicherheit ist übrigens, wenn man nicht klickt. 🖱️🚫️
Aber das schrieb ich ja schon.
App Store QR Code
Holen Sie sich die App für iOS
App Store QR Code
Google Play QR Code
Holen Sie sich die App für Android
Google Play QR Code
Ich rate dringend davon ab, Fernkontoführung – in der Reklame meist „Onlinebanking“ genannt – mit einem Smartphone zu machen. Außer natürlich, die Bank sagt explizit und rechtswirksam zu, für die angerichteten Schäden zu haften.
ІNG-DiBa AG
Theodor-Heuss-Allee 2
60486 Frankfurt am MainEingetragen im Handelsregister des Amtsgerichts Frankfurt am Main unter der Registernummer HRB 7727.
Vorstand: Nick Jue (Vorsitzender), Michael Clijdesdale, Eddy Henning, Daniel Llano Manibardo, Dr. Ralph Müller, Nurten Spitzer-Erdogan
Vorsitzende des Aufsichtsrates: Susanne Klöß-Braekler
So so, die ING-DiBa mit einem geradezu überkorrekten Mailimpressum ist das also. Da verstehe ich nur nicht, was dieser lustige Spruch unter der schlechten Phishingspam soll:
Diese E-Mail wird Ihnen durch Doctolib im Auftrag und im Namen Ihrer Gesundheitsfachkraft zugesandt, da Ihre Gesundheitsfachkraft die Dienste von Doctolib nutzt, um ihre Termine zu verwalten. Doctolib handelt als Auftragsverarbeiter und Ihre Gesundheitsfachkraft als verantwortliche Stelle. Wenn Sie Ihr Recht auf Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung der Verarbeitung oder ggf. Übertragbarkeit Ihrer Daten wahrnehmen möchten, können Sie sich direkt an Ihre Gesundheitsfachkraft wenden. Um mehr darüber zu erfahren, wie Doctolib Ihre personenbezogenen Daten als Auftragsverarbeiter verwaltet, lesen Sie bitte unsere Datenschutzhinweise, Abschnitt „Liste der Verarbeitungen, bei denen Doctolib im Auftrag von Akteuren des Gesundheitswesens handelt” Diese Email wird [auftragsweise] versandt durch die Doctolib GmbH, Mehringdamm 51, 10961 Berlin, Amtsgericht Charlottenburg HRB 175963B
Ach, das ist doch nicht die ING-DiBa AG, sondern meine gute Gesundheitsfachkraft bei Doctolib? 🤦♂️️
So etwas sehe ich recht häufig in Spams: Der wesentliche Text der Marke „Hallo Kunde, wir sind deine Bank, jetzt klick mal, sonst kommst du nicht mehr an dein Geld ran“ (oder eine vergleichbar dumme Masche) ist fertiggeschrieben, und dann fehlt da noch ein bisschen Zeugs drunter, dass es auch wie eine echte Mail aussieht. Aber die Gedanken des Spammers sind schon wieder im Bordell, der Mund nuckelt schon selig an der Wodkaflasche und die Konzentration ist im Eimer. Spammer wollen sich ja keine Mühe geben, sonst könnten sie ja gleich arbeiten gehen. Und dann wird da halt recht gedankenlos Zeug reinkopiert und es kommt zu peinlichen Flüchtigkeitsfehlern. So wie hier. Immer wieder lächerlich. 🤭️
Auch diese Mail ist nicht…
Von: Mein ADAC <contact@sparkonto.org>
…vom ADAC, was man hier schon an der Absenderadresse sieht, die mehr nach Phishing als nach irgendetwas anderem aussieht. Sie hat auch niemals einen Server des ADAC auch nur aus der Ferne gesehen, sondern stammt aus der Cloud von Google, dem dicksten Kumpel und Komplizen der Internetkriminellen.
ADAC Logo
Exklusives Angebot – Bis zu 75% Rabatt!
Jetzt Ihre Gesundheitslösung sichern!
Rabattcode: MEDICARE75
Keine weiteren Nachrichten? Abmelden.
Oh, der ADAC macht jetzt in Gesundheit? Ich dachte immer, der macht in Autofahren. 😅️
Die Links sind natürlich nicht direkt gesetzt, so wie das im Mitteilungen von denkenden und fühlenden Menschen üblich ist. Stattdessen geht es über einen Linkkürzer zu einer weiteren Cloudplattform:
$ location-cascade https://shorturl.at/fgs2G 1 https://www.shorturl.at/fgs2G 2 http://217.61.245.179/iptv.php $ country 217.61.245.179 217.61.245.179 is from Sweden (SE) $ whois 217.61.245.179 | grep -i ^desc descr: ELASTX Cloud Platform descr: Elastx AB $ _
Dort gibt es dann nochmal eine weitere Weiterleitung auf eine Website, die so aussieht:
![Angebliche ADAC-Website aus der Spam: Bisher verteilte Angebot von über €4.000.000! -- Umfrage über ADAC -- November 26, 2024 -- Sehr geehrter ADAC-Kunde! -- Wir möchten Ihnen die einmalige Gelegenheit bieten, eine brandneue Notfallset fürs Auto! zu erhalten Um Anspruch zu erheben, nehmen Sie einfach an dieser kurzen Umfrage zu Ihren Erfahrungen mit ADAC teil. -- Achtung! Diese Umfrageangebot läuft heute ab, November 26, 2024. -- [Umfrage starten]](http://spam.tamagothi.de/wp-content/uploads/2024/11/adacfake.jpg)
Ah, ein „Notfallset für Auto“ (vom Autor dieser lustigen Website mit Ausrufezeichen geschrieben) ist jetzt also eine Gesundheitslösung. Da kann ich nur empfehlen: Kauft euch Defibrilatoren, es ist gut für eure Gesundheit! 😂️
Ohne weitere Worte. Nicht darauf reinfallen! Das ist weder eine Umfrage (die vorgeblichen Fragen sind auch hochnotlächerlich und für Marktforschungszwecke fast so wertvoll wie ein kleines Steak), noch ist es der ADAC. Alle Daten, die man eingibt, gehen direkt an spammende Kriminelle. Oder, um es mit einem dummen Wort aus Politik und Journalismus zu sagen: An Cyberkriminelle. Geld, das man bezahlt, geht ebenfalls an Kriminelle. Irgendwelchen tollen versprochenen „Geschenke“ gibt es nicht. Sie existieren noch nicht einmal. Bitte nicht darauf reinfallen!
Aber die meisten Mitglieder eines Vereins werden doch hoffentlich wissen, dass ein Verein keine Kunden hat, sondern Mitglieder. Oder sie werden eine der vielen weiteren Schwächen in diesem Text bemerken. Oder? Oder? 😐️
Diesen wunderhübschen „Namen“ hat er wohl von seiner Mutter bekommen, der Spammer, da kann man nichts dagegen machen. Diesen keywordreichen „Namen“ muss er dann auch gleich mal mit einem Link auf Github verlinken, damit der „Name“ nicht umsonst so voller Keywords ist. Seine IP-Adresse ist aus Russland, da könnte man schon mehr gegen tun (es gibt ja VPNs), und sein Spamskript hat ein kleines Fehlerchen. Es ist eben so ein richtiger Qualitätsspammer. Aber dass das Spamskript nicht so gut funktioniert, nimmt der Spammer gern in Kauf, hauptsache, er muss nicht selbst arbeiten und morgens um 7:26 Uhr solche Kommentare für Unser täglich Spam von Hand schreiben, statt einfach seinen Rausch von gestern auszuschlafen:
Hurrah, that’s what I was seeking for, what a stuff! existing here at this weblog, thanks admin of this web site.
Kein so toller Kommentar, sondern eher eine Ausrede für den Link auf Github. Er kann ja nicht einfach „Blah“ schreiben. Sonst wird der „Kommentar“ noch gelöscht. Lob scheint oft stehenzubleiben, so oft wie ich jeden Tag von Kommentarspammern gelobt werde.
Gut, eigentlich ist Github eher fürs verteilte Entwickeln und Versionieren von Software da, aber da kann man ja auch Texte hinlegen, die man in Markdown auszeichnet, und da kann man dann den nächsten Link reinpacken. Das sieht dann so aus:
Um die Schadsoftware… ähm… den „Aktivator“ nicht weiter zu verbreiten, kann ich hier leider nicht einmal eine Archivversion verlinken. Die Spam habe ich schon bei Github gemeldet. Wer dort auf den Downloadlink klickte, käme nach einigen Weiterleitungen zu einem weiteren Downloadlink, der endlich das Herunterladen eines ZIP-Archives ermöglichte.
Das gibt heute mal wieder einen lustigen Spaziergang durch schlüpfrige Gefilde.
Mal schauen, was im Archiv steckt – ich kürze in meiner Mitschrift ein paar Zeilen raus, die sonst nur den Text aufblähen würden¹:
$ 7z l 4c1vdr0_km05___a_1_n_02024p.zip […] Scanning the drive for archives: 1 file, 49807074 bytes (48 MiB) Listing archive: 4c1vdr0_km05___a_1_n_02024p.zip […] Date Time Attr Size Compressed Name ——————- —– ———— ———— ———————— 2024-08-15 03:59:40 ….A 0 0 password = 2024 2024-09-13 11:58:57 ….A 49806734 49806734 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.rar ——————- —– ———— ———— ———————— 2024-09-13 11:58:57 49806734 49806734 2 files $ mkdir virus $ 7z -bb0 -ovirus x 4c1vdr0_km05___a_1_n_02024p.zip […] $ cd virus $ ls -l insgesamt 48640 -rw-rw-r– 1 elias elias 49806734 Sep 13 12:58 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.rar -rw-rw-r– 1 elias elias 0 Aug 15 04:59 'password = 2024' $ _
Oh, wie lustig: Sinnlose Unicodezeichen in einem Dateinamen, einfach nur, damit er irgendwie wichtig aussieht. Mehr muss man eigentlich nicht sehen, um ganz schnell wegzulaufen. Aber die Zielgruppe hält so etwas vermutlich eher für ein Qualitätsmerkmal. Die denkt sich so etwas wie „Oh, sogar der Dateiname enthält fette und kursive Buchstaben, ich wusste bis eben gar nicht, dass das geht. Das müssen ganz professionelle Profis mit speziellen Spezialkenntnissen gemacht haben, es handelt sich also nicht um Dreck, sondern um etwas richtig Leckeres und Gutes“. 👑️
Nun, das ist nicht der Fall. Und zwar niemals. Jeder denkende und fühlende Mensch würde es vermeiden, Probleme zu provozieren. Es gibt Schriftarten, die keine vollständige Unicodeabdeckung haben, und es gibt Anwender, die solche Schriftarten als Standard einstellen, weil sie ihnen gefallen oder weil diese als gut lesbar empfinden; zudem gibt es Dateisysteme, die ebenfalls völlig unerwartete Probleme bei Verwendung obskurer Sonderzeichen bereiten können. Und Betrübssysteme. Es ist noch gar nicht so lange her, dass man einen Absturz von Apples iOS mit einer Zeichenkombination provozieren konnte, die man zum Beispiel in einer Mail, einer Message oder einen Dateinamen aufnimmt. Warum sollte man so ein Risiko in Kauf nehmen, wenn man keinen Vorteil von der größeren Zeichenauswahl hat? Solche „Tricks“ auf dem Niveau eines verspielten Elfjährigen sind ein klares Warnzeichen. 💩️⚠️
Apropos „Tricks auf dem Niveau eines verspielten Elfjährigen“: Es ist natürlich für den Zweck eines Passwortes vollkommen sinnlos, ein Passwort zu vergeben, wenn man es gleich dazuschreibt. (Was leider nicht bedeutet, dass ich nicht schon hunderte von Post-it-Zetteln an Bildschirmen gesehen hätte, auf denen Passwörter notiert wurden, weil Menschen oft nicht verstehen, was der Sinn eines Passwortes ist und warum Computersicherheit durch Passwörter nur funktioniert, wenn man das Passwort auch geheimhält und immer nur dort verwendet, wo man sich damit authentifiziert. Betriebliche Passwortrichtlinen der absurden Art – so etwas wie „das Passwort muss jede Woche gewechselt werden und einen Buchstaben, eine Ziffer, ein Sonderzeichen, ein Emoji und eine ägyptische Hieroglyphe enthalten, darf aber kein Datum sein und auch nicht teilweise in einem Wörterbuch erscheinen“ – sorgen dann dafür, dass die meisten Menschen völlig überfordert sind, und das alles für einen Gewinn an „Sicherheit“ durch die erzwungenen Passwortwechsel, der gegen null tendiert.) Es würde ja auch niemand seine Haustür abschließen, um dann den Haustürschlüssel offen sichtbar an die Tür zu hängen und auch noch dranzuschreiben, dass man damit jetzt wirklich die Tür aufschließen kann. Am besten auf einem benutzerfreundlich in Blickhöhe an die Haustür geklebten Post-it-Zettel. Da könnte man sich das Abschließen auch einfach sparen. Ein unnötiger Arbeitsschritt weniger. 🗝️
Das RAR-Archiv, das in einem ZIP-Archiv verpackt wurde, wurde nur aus einem Grund passwortgeschützt: Um eine automatische Analyse durch Antivirusprogramme zu verhindern. Deshalb sage ich ja mit großer Bestimmtheit, dass es sich hier um Schadsoftware handelt. In jedem anderen Kontext wäre so eine Vorgehensweise völlig sinnlos und dumm.
Achtung, ich kürze wieder ein bisschen¹.
$ 7z -bb0 -p2024 x *.rar
[...]
Scanning the drive for archives:
1 file, 49806734 bytes (48 MiB)
Extracting archive: 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.rar
[...]
ERROR: Unsupported Method : 𝙆𝙈𝙎𝙋𝙞𝙘𝙤/read.txt
ERROR: Unsupported Method : 𝙆𝙈𝙎𝙋𝙞𝙘𝙤/𝙆𝙈𝙎𝙋𝙞𝙘𝙤.exe
Sub items Errors: 2
Archives with Errors: 1
Sub items Errors: 2
$ _
Oh, mein 7zip für die Kommandozeile hat Probleme? Vermutlich mit den obskuren, aber eigentlich zulässigen Namen für Datei und Verzeichnis? Das habe ich ja schon lange nicht mehr erlebt. (Da seht ihr noch einen Grund, warum man Spielereien mit sinnlosen Unicodezeichen im Dateinamen besser unterlässt, wenn man darauf angewiesen ist, dass es auch funktioniert. Und nein, ich habe jetzt keine Lust, ein Ticket für diesen 7zip-Fehler aufzumachen. Dafür müsste ich nämlich erstmal herausbekommen, wie man den Fehler provoziert und selbst ein entsprechendes Archiv bauen, denn dieses Archiv voller Gift und informationstechnischem Sondermüll werde ich ganz sicher nicht irgendwo hinlegen, wo es jemand auch nur versehentlich aufmachen und die Inhalte beklicken könnte. Aber vielleicht hat ja jemand anders Lust. Ich bin nur müde.)
Na gut, dann eben etwas älteres, gereifteres, robusteres! Ein Hauch von alten Zeiten weht mir in die Nüstern, wenn ich so etwas tippe – und er riecht gar nicht so schlecht:
$ unrar -p2024 e *.rar UNRAR 6.11 beta 1 freeware Copyright (c) 1993-2022 Alexander Roshal Extracting from 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.rar Extracting read.txt OK Extracting 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.exe OK All OK $ ls -l insgesamt 206596 -rw-rw-r– 1 elias elias 161739843 Aug 26 19:27 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.exe -rw-rw-r– 1 elias elias 49806734 Sep 13 12:58 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.rar -rw-rw-r– 1 elias elias 0 Aug 15 04:59 password = 2024 -rw-rw-r– 1 elias elias 677 Sep 13 12:55 read.txt $ file *.exe 𝙆𝙈𝙎𝙋𝙞𝙘𝙤.exe: PE32 executable (GUI) Intel 80386, for MS Windows, Nullsoft Installer self-extracting archive $ _
Oho, ein Archiv, in dem ein passwortgeschütztes Archiv liegt, in dem wiederum ein Archiv liegt, das sich unter Microsoft Windows beim Doppelklick selbst entpackt. Da hat jemand aber Lust, es richtig kompliziert zu machen. Ich will jetzt gar nicht weiter mit meinen länglichen Kommandozeilenmitschriften langweilen und fasse mal zusammen: Das Archiv enthält 215 Dateien aller Art, zum Beispiel DLLs, Javaarchive, ausführbare Dateien für Microsoft Windows, Schriftarten, Bilder. Alles von einem Spammer mit seiner Spam verbreitet. Ungefähr die Hälfte der gegenwärtig gebräuchlichen Antivirusprogramme erkennt den Müll schon als gefährlich oder als Schadsoftware, und ungefähr die andere Hälfte noch nicht, so dass der gläubige Nutzer öfter mal ungewarnt ins Verderben rennt. Schade für die, die sich auf ihr Schlangenöl verlassen, denn sie sind öfter mal verlassen. So ein Antivirusprogramm liegt mit seinen Signaturen immer einige Stunden oder gar Tage hinter der kriminellen Wirklichkeit zurück.
Verlasst euch lieber aufs Gehirnchen! 🧠️
Der Zweck dieser Spam war es natürlich nicht, dass Leser von Unser täglich Spam direkt auf den Link klicken sollen, um sich die Pest auf den Computer zu holen. Die Keywords im „Namen“ des Spammers machen klar, dass es in Wirklichkeit darum geht, die Suchmaschinen und insbesondere Google zu manipulieren, damit Leute nicht mehr finden, was sie suchen, sondern das, was Kriminelle und SEO-Spammer sie finden lassen wollen. Zum Beispiel, wenn sie Google oder ein angelerntes neuronales Netzwerk (wie gut Suchen mit so genannter „künstlicher Intelligenz“ manipulierbar sind, werden wir in den nächsten drei, vier Jahren noch viel häufiger erfahren, als uns lieb ist – die Leute, die es versuchen werden, weil sie davon nun einmal leben, können sehr „kreativ“ sein und die angelernten neuronalen Netze können nicht so leicht daran angepasst werden, weil niemand versteht, warum sie funktionieren) danach fragen, wo und wie sie denn jetzt ihr Windows 7 mit einem kostenlosen Download aktivieren können. Oder ihr Microsoft Office.
Die armen Schüler, die angeblich immer noch Windows 7 benutzen müssen und sich deshalb so einen Müll mit einer Spam andrehen lassen, tun mir ein bisschen leid. Vielleicht sollten sie einfach ein freies Betrübssystem nutzen… 😅️
Ach! Entf! 🗑️
¹Für die meisten Leser wird so eine Kommandozeile eh nur unverständlich und ein bisschen kryptisch sein. Leider. Aber ich kann so in nachvollziehbarer Weise zeigen, was des Pudels Kern ist.
Nein, diese Mail kommt nicht von der Deutschen Bahn. Sie wurde über eine IP-Adresse aus der Türkei versendet. Auf meiner Mailadresse ist sie dreimal angekommen. Der Spammer ist nicht dazu imstande, aus seinen zusammengeramschten Daten die Dubletten zu entfernen, was jeder aufgeweckte Zwölfjährige mit Computererfahrung hinbekommen würde. Es ist ja kein so seltenes Problem, und es gibt gleich mehrere Möglichkeiten. Ich bevorzuge sort und uniq an der Kommandozeile, obwohl es für die nachgewachsene Generation aufdringlich nach den Siebziger Jahren schmeckt, aber ich habe auch schon mit Editoren gearbeitet, die so etwas klickiklicki konnten.
Der Absender…
Von: Deutsche Bahn Gutschein <deinbahnangebot@europe.com>
…ist nicht die Deutsche Bahn AG, denn diese würde wohl ihre eigene Domain verwenden, in der auch ihre Website läuft. Weia, erzählen die mir viel Zeug auf ihrer Website! Und bunt. Und mit Bildern. Der für vermutlich über fünfzig Prozent der Leser wichtigste Link „Zur Reiseauskunft auf bahn.de“ ist ganz nach unten in die Fußzeile der Seite gerutscht und damit beinahe unsichtbar, direkt neben den Dingen, die kein normaler Websitebesucher liest: Datenschutzverletzungserklärung, Impressum, AGB. Aber warum sollte die Deutsche Bahn AG, die höchst bundesbananig „privatisierte“ Aktiengesellschaft in einhundert Prozent Besitz der Bundesrepublik Deutschland, auch im Internet freundlicher mit ihren „Beförderungsfällen“ – das Wort „Kunde“ wäre angesichts der Behandlung durch die DB und ihre oft patzigen und inkompetenten Mitarbeiter ein Hohn¹ – umgehen als in der deprimierenden Wirklichkeit.
Der Text in dieser Spam ist kurz:
100€ BahnGutschein – Der perfekte Spar-Deal für Ihre nächste Reise
So so, „BahnGutschein“ mit BinnenMajuskel. Gibt es so etwas wirklich bei der Deutschen Bahn? Kann schon sein, bei denen gibts ja auch ein „GepäckCenter“, weil das nicht so international verständlich wie „Luggage Center“ ist und trotzdem viel besser und moderner als das klare Wort „Schließfächer“ klingt. Da weiß ich gar nicht mehr, ob ich beim „McClean“, wie die Deutsche Bahn die Toiletten ohne jede weitere Kennzeichung ihres Zwecks zu nennen pflegt, kacken oder kotzen gehen soll. 😁️
Oh, es ist mir unmöglich geworden, im Kontext der Deutschen Bahn nicht sehr spöttisch und ätzend zu werden. Gut, zur Spam.
An sich sollte dort für Menschen, die keine vernünftige Mailsoftware benutzen und so etwas deshalb aus dem Web nachladen, noch ein Bild sichtbar werden, aber ärgerlicherweise kann ich das hier nicht präsentieren…
$ curl -s "https://firebasestorage.googleapis.com/v0/b/project-2-fede5.appspot.com/o/25_10_24/1/1.png?alt=media&atoken=37ecc988-9c6d-44a7-8582-c883c84fe9e1" { "error": { "code": 400, "message": "Invalid HTTP method/URL pair." } } $ _
…weil die Spammer es verpatzt haben. Von anderen Scheinumfragen und Gewinnspielen her weiß ich aber recht genau, wie es aussehen wird: Ein Foto eines Zuges, ein Logo der Deutschen Bahn, ganz tolle Anpreisung, hundert Prozent gratis. Der Link geht dann nach einer Weiterleitung über die Googlecloud in eine Domain, die nicht zur Deutschen Bahn gehört und…
$ surbl dbck.top-umfragen.de dbck.top-umfragen.de okay $ host dbck.top-umfragen.de dbck.top-umfragen.de has address 188.95.252.24 $ country 188.95.252.24 188.95.252.24 is from Spain (ES) $ _
…noch nicht auf den einschlägigen Blacklists steht. Wer sich darauf verlässt, dass irgendwelches Schlangenöl im Webbrowser vor fiesen, kriminellen Websites schützt, ist einmal mehr verlassen, denn die Blacklists liegen immer einige Stunden hinter der kriminellen Wirklichkeit zurück. Der Webserver steht in Spanien und präsentiert die folgende, für die Datensammelei mit angeblichen Umfragen ziemlich typische Seite:
Oh, habe ich eben „hundert Prozent gratis“ getippt. 😁️
Wenn man die Seite ein bisschen offen lässt, sorgt recht primitiver Javascriptcode dafür, dass die Anzahl der verbleibenden Gutscheine in unregelmäßigen Abständen immer kleiner wird. Aus 16 „übrigen“ Gutscheinen wird im Verlaufe von zwei Minuten nur noch einer. Dort bleibt die Zählung dann stehen, aber das wird die „Zielgruppe“ dieser Spammer nicht bemerken. Die sieht das, glaubt, dass ihre hundert Euro Flügel bekommen, macht dann ganz schnell und denkt nicht lange lästig nach. Wenn man die F5-Taste drückt oder im Browser auf das entsprechende Piktogramm zum Neuladen der dargestellten Seite klickt oder tappt (neudeutsch: Reload), fängt der Zähler wieder bei 16 an. Um zu erkennen, dass es sich hier um eine Lüge handelt, muss man also nur klicken können. 🖱️
Ich kann generell nur davor warnen, in eine E-Mail zu klicken oder sich solche Websites in einem normalen Webbrowser anzuschauen. Es ist Spam. Es sind Kriminelle. Dass diese Leute bösartig sind, bemerkt man schon an ihrer gleichermaßen hinterhältigen wie irreführenden Spam und an der irreführenden Webseite. Das sind keine harmlosen Spielkinder. Wenn die es irgendwie können und es sich lohnt, drücken die einem auch die neueste Kollektion von Schadsoftware auf den Rechner, und danach ist das Konto leer und die Kripo steht vor der Tür. Ich habe für so etwas eine virtuelle Maschine, deren sauberen Ausgangsstatus ich hinterher bequem wiederherstellen kann. Und ich benutze noch nicht einmal Microsoft Windows, das unangefochtene Lieblingsbetrübssystem der Internetkriminellen. Und noch etwas: Nicht einmal das alles ist völlig sicher. Es gibt keine hundertprozentige Sicherheit. Aber ich habe es hier „nur“ mit einfachen, schäbigen Verbrechern zu tun, nicht mit Gegnern, die einen hohen Aufwand treiben würden…
Für den Rest fasse ich mich kurz.
Diese ganzen Gewinnspiele und Umfragen aus der Spam sind Lüge. Es ist immer die gleiche Nummer. Bitte nicht darauf reinfallen!
¹Ergänzender Hinweis, leicht offtopic: Ich bin jahrzehntelang sehr viel und gern mit Zügen gefahren, weil es die bequemste und entspannendste Form des Reisens ist: Bequem hinsetzen, zurücklehnen und recht flott ankommen, während Deutschland an mir vorbeiscrollt. Ich habe es zwar nie nachgerechnet, aber dafür über die Jahre vermutlich viele zehntausend Deutsche Mark ausgegeben und weiß daher ziemlich genau, wovon ich rede. Dass ich Mitarbeitern der Deutschen Bahn das Tarifsystem der Deutschen Bahn mit seiner absolut irrationalen, vorsätzlich unlogischen und unheilbar gehirnzerfressenen Struktur nebst Ausnahme- und Sonderapparaten sowie zeitlich begrenzten Werbeaktionen immer wieder einmal teilweise erklären musste, weil sie sich selbst nicht damit auskannten, gehört zu meinen häufigeren Erfahrungen. Und das, obwohl es ihr einziger Job gewesen wäre: Das Produkt kennen, das man den Leuten verkauft. Statt nachzuschlagen oder mal auf ihre lustige Tastatur vor der Nase rumzutippen, werden sie patzig, arrogant, unhöflich und in einem Fall wurde es sogar mal beleidigend. Dabei war es völlig egal, ob ich in Hamburg, Bremen, Hannover, Köln, Essen, Frankfurt, Würzburg, Freiburg – sehr hübsch da, aber schade, dass die kein Deutsch sprechen können… – oder München war. Es änderte nur die mundartliche Einfärbung der gleichen Patzigkeit, Inkompentenz und Kundenverachtung. (Vom fraktal dysfunktionalen BRD-Reichshauptslum Berlin erwarte ich gar nichts anderes mehr als Kälte, Zerfall, Versagen und Rotzigkeit. Es würde mich im Alltag fürchterlich nerven, in so einer kaputten Stadt zu leben, in der gar nichts mehr funktioniert. Ich bin froh, dass ich da niemals mehr hin muss. Die vielen Leute, die es da toll finden und die mir das immer wieder gern mitgeteilt haben und mitteilen, werde ich deshalb auch nicht weiter in ihrem psychischen Schönsuff stören.) Apropos Kundenverachtung: Die Fahrkartenverkaufsautomaten kennt ihr, oder? Ich hätte mich für so eine Benutzerschnittstelle geschämt, wenn ich dafür verantwortlich gewesen wäre. Seit ich einen Lebensstandard habe, in dem ich mir das Bahnfahren nicht mehr leisten kann, könnte es sich theoretisch gebessert haben, aber in den vielen Jahren, in denen ich regelmäßig bahngefahren bin, wurde es im Laufe der Zeit nicht besser, sondern immer schlimmer. Jemanden vom Bahnhof abzuholen heißt mittlerweile für mich, dass ich eine zusätzliche Stunde für die normal gewordenen Verspätungen einplanen muss. Zum Ausgleich wurde inzwischen auch noch die Zuverlässigkeit abgeschafft, vermutlich, weil ausfallende Züge wenigstens nicht verspätet sind… und ja, ich kenne auch Zugfahren in Schweden, Dänemark, Italien, Schweiz, den Niederlanden und Frankreich. Nirgends war es jemals so mies wie hier. Und: Nirgends war es so teuer wie hier. Für die frühere DDR mit ihrer Deutschen Reichsbahn nebst ihrem teilweise museumsreifen Fuhrpark habe ich allerdings immer etwas Nachsicht und Respekt gehabt, weil es mir gar nicht so einfach vorkam, mit so einem Schrotthaufen noch einen brauchbaren und zuverlässigen Eisenbahnverkehr zu organisieren, und selbst dort waren die meist völlig unmotivierten Mitarbeiter deutlich besser. Na ja, und die Preise dafür waren halt nicht kostendeckend, sondern sozialistisch und die Münzen aus Aluminium.