Muss ja sehr wichtig sein. Da ist eine Nummer drin. Und der (bei mir eigentlich recht scharf eingestellte) Spamfilter hat aus unerfindlichen Gründen auch nichts auszusetzen gehabt, sondern die Spam einfach durchgelassen.

Von: JCPLASTICS <veronica.padilla@jcplastics.com.mx>
An: admin@tamagothi.de

Und nicht nur das: Die Mail geht auch an eine ganz besondere Mailadresse… wie ich sie niemals für normale Kommunikation verwenden würde. Da sieht man mal, wie wichtig es ist. Was ist es nur, dieses „es“? 🤔️

Leider enthält die Spam kein Wort Text. Keine Begrüßung, kein Abschied, nichts. Natürlich auch kein Mailimpressum oder irgendeinen Hinweis, um was es geht. Alles, was es darin gibt, ist ein Anhang. Dieser ist eine HTML-Datei…

$ file NEW\ ORDER\ 1010025.html 
NEW ORDER 1010025.html: HTML document, ASCII text, with very long lines (9000), with CRLF line terminators
$ sed -n 15,41p NEW\ ORDER\ 1010025.html
<script>
(function (b, f) {
    var u = {
            b: 0×20b,
            f: 0×1ec,
            g: 0×218,
            h: 'UPQO',
            i: '9I9@',
            j: 'Jo94',
            k: 0×21a,
            l: 'qbQZ',
            m: 0×1cf,
            v: 0×21c,
            w: 'cjQA',
            x: 'uPsR'
        }, n = d, g = b();
    while (!![]) {
        try {
            var h = -parseInt(n(u.b, 'oIQY')) / 0×1 + parseInt(n(u.f, '&FUQ')) / 0×2 + parseInt(n(u.g, 'V66o')) / 0×3 * (-parseInt(n(0×1c9, u.h)) / 0×4) + parseInt(n(0×1ce, u.i)) / 0×5 + parseInt(n(0×1ff, u.j)) / 0×6 * (-parseInt(n(u.k, u.l)) / 0×7) + -parseInt(n(u.m, '*4HT')) / 0×8 + -parseInt(n(u.v, u.w)) / 0×9 * (-parseInt(n(0×1d7, u.x)) / 0xa);
            if (h === f)
                break;
            else
                g['push'](g['shift']());
        } catch (i) {
            g['push'](g['shift']());
        }
    }
$ _

…mit vorsätzlich extrem kryptisch formuliertem Javascript, das jede Analyse erschweren soll. Was ich da eben gezeigt habe, ist nur ein kleiner Ausschnitt, und eigentlich noch ein halbwegs verständlicher. Der größte Teil sieht eher noch schlimmer aus. Kein Mensch würde so coden, wenn er nicht etwas zu verbergen hätte.

Ich kann nur dringend empfehlen, diesen Anhang nicht zu öffnen. Denn sonst bekommt man schnell einen „Sicherheitscheck“ seines Computers durch Kriminelle, und wenn dabei ausbeutbare Lücken im Betrübssystem oder im Browser gefunden werden, gibts eine aktuelle Kollektion von Schadsoftware. Für das Antivirus-Schlangenöl würde es so aussehen, als wenn eine lokale Datei geöffnet wurde, und da wird dann auch öfter mal nicht ganz so energisch geprüft, um den vom Antivirus-Schlangenöl eh schon stark ausgebremsten Computer nicht noch lahmer werden zu lassen. VirusTotal findet zwar im Moment noch keine Schadsoftware, aber das Antivirus-Schlangenöl hinkt den laufenden kriminellen Machenschaften immer ein paar Tage hinterher, und diese Spam ist ganz frisch und eben erst angekommen. Besser und wichtiger als jedes Antivirus-Schlangenöl ist ein funktionierendes Gehirn, das sofort bemerkt, dass diese Mail stinkt und sie einfach löscht.

Für Genießer – nein, ich habe keine Lust, das alles in meiner virtuellen Maschine für solche Zwecke noch weiter zu analysieren: Es werden mindestens die folgenden Domains und IP-Adressen kontaktiert, um nach Hause zu telefonieren und Zeugs aller Art nachzuladen, während man sich ungläubig das harmlos und statisch aussehende Browserfenster anschaut.

• edge-mobile-static.azureedge.net
• business.bing.com
• goodmuzikz.com
• kit.fontawesome.com
• aadcdn.msftauth.net
• code.jquery.com
• logo.clearbit.com
• i.gyazo.com
• ip-api.com
• clients2.googleusercontent.com
• cdnjs.cloudflare.com
• 23.217.77.128
• 184.25.59.69
• 199.232.210.172
• 135.233.95.144
• 20.189.173.14
• 23.195.81.9
• 52.111.229.43
• 23.2.94.216
• 142.251.184.106
• 108.177.121.103

Der (nicht ganz aktuelle) Edge-Browser von Microsoft wird dabei zum Absturz gebracht, nachdem er mich für rd. eine halbe Minute aufgefordert hat, doch bitte meine Mailadresse und mein Passwort einzugeben, während im Hintergrund ein unscharfes Bild eines Dokumentes angezeigt wird, es werden also – neben dem Phishing auf Mailpasswörter – Fehler im Browser mit unverständlichem Programmcode provoziert. Gut, dass es nur eine virtuelle Maschine war, in der ich einfach meinen Snapshot einer sauberen Installation zurückspiele! Wäre es mein Arbeitssystem, dann „dürfte“ ich mir jetzt den Tag verderben, indem ich es neu installiere… und wäre es ein Arbeitsrechner im Netzwerk eines Unternehmens, dann hätte der Klick in die Mail vielleicht sogar die kommende Insolvenz des Unternehmens besiegelt. Das Antivirus-Schlangenöl hätte nicht einmal gewarnt. Deshalb klickt man ja auch nicht in eine E-Mail, ohne sich vorher beim angeblichen Absender telefonisch (oder über einen sonstigen anderen Kanal als E-Mail) zu vergewissern, dass die E-Mail wirklich von ihm kommt. Und wenn das nicht möglich ist oder wenn man den Absender gar nicht kennt, klickt man überhaupt nicht in eine E-Mail. Es ist dumm und gefährlich.

Dass niemand einen Anhang machen würde, wenn man etwas auch einfach und barrierefrei direkt in die Mail schreiben kann, brauche ich hoffentlich nicht zu erwähnen.