Kategoriearchiv „Phishing“

Ihre PACKSTATION wurde deaktiviert

Montag, 10. September 2012

Wie, ich habe eine Packstation?! 😀

Sehr geehrte/r Packstation-Kunde,

Wir haben wir üblich nicht die geringste Ahnung, wie sie heißen, obwohl…

in den letzten 24 Stunden wurde mehrfach versucht, sich Zugang zu Ihrer PACKSTATION zu verschaffen.

…wir angeblich mit ihnen in einer Geschäftsbeziehung stehen. Aber natürlich sind wir nicht DHL, obwohl wir die Absenderadresse gefälscht haben, sondern Spammer mit einer Phishing-Masche, die gern fremde Anschriften für eigene illegale Geschäfte missbrauchen.

Wir gehen davon aus, dass es sich um einen unberechtigten Zugangsversuch gehandelt hat – daher haben wir aus Sicherheitsgründen Ihre PACKSTATION deaktiviert.

Deshalb machen wir erstmal Alarm. Wer verunsichert und verängstigt ist, ist gleich viel bereiter, etwas unaufmerksamer das zu tun, was Spammer von ihnen wollen. Zum Beispiel…

Durch diese Deaktivierung können Sie nicht mehr auf Ihre PACKSTATION zugreifen. Damit Sie Ihre PACKSTATION weiterhin wie gewohnt nutzen können, ist eine Entsperrung vonnöten.

https://dhl.de/privatkunden/paket/aktivierung.htm?56e4810eh530a32m87

…auf einen Link klicken, um wieder an die Packstation zu kommen. Die Mail ist natürlich HTML-formatiert, und der Link geht auch nicht zu DHL, sondern zum Server pack (strich) station (punkt) be. Dort kann man in einer flugs nachgebauten DHL-Seite seine PostNummer, sein Internet-Passwort und die PIN für die Packstation absetzen. Nachdem man dort brav seine Daten eingegeben hat – ich habe es gerade mit ein paar Phantasiedaten durchprobiert – bedanken sich die Phisher für das Vertrauen und sagen einen, dass man jetzt wieder seine Packstation deutschlandweit nutzen kann.

In Wirklichkeit können diese Halunken natürlich die Packstation nutzen. Und die werden Anwendungen dafür haben, denn sie bleiben bei ihren Geschäften doch lieber unidentifizierbar, damit sie nicht diese hässlichen Handschellen umgelegt bekommen.

Viele Grüße
Dirk Sebastian
Marktkommunikation DHL Paket

So heißt der wirkliche Absender garantiert nicht.

Hinweis: Es besteht keine Gefahr für Ihre PACKSTATION. Diese neue Maßnahme tritt automatisiert nach 3 fehlgeschlagenen Loginversuche ein und dient der Abwehr vor Angriffen.

Was bei der Abwehr von Angriffen wirklich helfen könnte, ist die Beachtung der von DHL gegebenen Sicherheitshinweise. Den im Zusammenhang mit diesem plumpen Phishing wichtigsten Hinweis gebe ich hier gern noch einmal wieder – die Hervorhebung habe ich aus dem Original übernommen:

Aktuell sind wieder verstärkt Phishing-Mails in Umlauf, in denen Sie aufgefordert werden, ihr gesperrtes Packstation Konto zu entsperren. Diese E-Mails verlinken auf eine gefälschte DHL-Seite, auf der man seine PostNummer, Passwort und PIN eingeben soll. Bitte beachten Sie grundsätzlich: DHL Packstation wird Sie niemals nach Ihrer PIN fragen, weder telefonisch, noch postalisch oder per E-Mail!

Ich hoffe, das ist deutlich genug.

Diese Phishing-Spam wurde mir von einer Leserin weitergeleitet. Danke!

Konto-Status

Samstag, 1. September 2012

Lieber PayPal Kunde,

Lieber Spammer,

schön, dass du gleich in der Anrede klar machst, dass es sich um eine kriminelle Spam handelt – denn PayPal würde selbstverständlich seine Kunden mit Namen ansprechen. Wenn PayPal überhaupt solche Mails verschickte – was PayPal niemals tut.

Um Ihr PayPal-Konto zu aktualisieren, liegt Ihnen in Ihrer E-Mail Adresse ein Formular zur Verfügung. [sic!]

Bitte laden Sie das Formular aus [sic!], rufen Sie über Ihren Internet-Browser [sic!] und folgen Sie den Anweisungen auf dem Bildschirm.

Hinweis: Das Formular muss in einem modernen Browser geöffnet werden, dass JavaScript aktiviert hat. [sic!] (z.B. Internet Explorer, Mozilla Firefox)

Der Link geht zwar im Original zu einer Seite zum Herunterladen eines Java-Plugins und hat nichts mit JavaScript zu tun, aber warum sollte so ein Verbrecher auch wissen, was er da tippt. Wenn er von irgendetwas Ahnung hätte, wäre er ja kein stinkender, asozialer Spammer geworden.

Nach Abschluss dieser Phase [sic!] wird die Aktualisierung Ihres PayPal-Kontos normal funktionieren. [sic!]

Wir entschuldigen uns für die Unannehmlichkeiten und danken Ihnen für Ihre Zeit. [sic!]

Für weitere Informationen kontaktieren Sie bitte den Kundenservice.

Mit freundlichen Grüßen,

PayPal-Team.

PayPal Email ID PP565

Copyright © 1999-2012 PayPal. Alle Rechte vorbehalten.

Angehängt ist ein HTML-Dokument, das einem leichtgläubigen Opfer einen vollständigen Datenstriptease ermöglicht, so dass die Verbrecher Zugang zur Kreditkarte und zum PayPal-Account haben. Der Verbrecher hat sich nicht die geringste Mühe gegeben, dieses Dokument ein bisschen anzupassen. Obwohl es nur lokal im Browser angezeigt wird, enthält es noch ein paar PHP-Zeilen, die gewöhnlich von einem Webserver mit PHP-Modul oder durch serverseitigen Aufruf eines PHP-Interpreters ausgeführt würden. Oder meint der das mit JavaScript?

Wenn der Spammer von irgendetwas Ahnung hätte… ach!

Der Zugriff auf Ihr Konto wurde eingeschr?nkt.

Montag, 13. August 2012

Es ist ja nicht so, dass die Spammer nichts an ihren Nummern ändern würden.

Es scheint sogar so zu sein, dass die Spammer genau lesen, wie naive Internetnutzer über typische Maschen im Internetbetrug aufgeklärt werden, um dann ihre Spam ein wenig anzupassen.

Der Absender der folgenden Komposition aus HTML-Gestaltung und Phishing-Mail hat sich etwa folgendes gedacht: „Der Polizist da in der Zeitung, der hat gesagt, dass die Phishing-Mails den echten Mails täuschend ähnlich sehen. Da lasse ich mein PayPal-Phishing doch mal völlig anders als die corporate identity von PayPal aussehen, und schon merken die Leute nicht mehr, dass es eine Phishing-Mail ist. Und dann geben die mir hunderte von neuen Zugangsdaten für meine Betrugsgeschäfte“.

Dann setzte er sich an die Tasten und gestaltete eine beachtliche HTML-Mail.

Und so sah das Meisterwerk des unbekannten Künstlers schließlich aus (zum Vergrößern klicken):

Es wird mit Sicherheit ein grandioser Erfolg werden!

Wir gesperrt Ihrem Konto für sicherheit.

Mittwoch, 8. August 2012

Dieses Meisterwerk des Phishings muss man einfach in seinem originalen HTML-Layout genießen, um die reizvolle Kombination eines Strebens nach gestalterischer Exzellenz mit der unfassbaren Blödheit in der Durchführung der Masche genießen zu können:

Immerhin ist „Ihr Name: nicht verfügbar“ die bis jetzt kreativste Ausrede eines Phishing-Spammers für die fehlende persönliche Ansprache des angeblichen Kunden. Ich muss nicht noch eigens erwähnen, dass die Sparkasse mit diesen Spams nichts zu tun hat, oder?! Der Link führt deshalb auch nicht auf eine Website der Sparkasse, sondern zu einem Server mit dem schönen Namen net77 (strich) 43 (strich) 56 (strich) 76 (punkt) mclink (punkt) it. Das sieht man übrigens in der Statuszeile des Mailprogrammes, wenn man mit der Maus über den Link geht – ein Klick ist dafür nicht erforderlich. Dieses bisschen Aufmerksamkeit vor dem Klicken kann einem eine Menge Ärger ersparen, wenn die Phishing-Mails mal besser werden oder wenn – was sich in letzter Zeit sehr häuft – man sogar mit seinem richtigen Namen angsprochen wird.

Denn die Phishing-Site dieser Verbrecher ist schon sehr „liebevoll“ gebaut worden und glänzt auch damit, dass sie das Zwerchfell nicht mit so einem miserablen Deutsch wie in der Mail reizt (Zum Vergrößern Vorschaubilder klicken):

Mit besseren Phishing-Mails könnte sehr wohl jemand auf diese Site reinfallen – vor allem, wenn sie unter einer Domain läge, die etwas mehr Vertrauen erweckte.

Da zurzeit nach etlichen Cracks großer Websites riesige Datenbanken mit der Kombination Mailadresse und echter Name unter den Verbrechern zirkulieren, erwarte ich für die kommende Zeit eine neue Blüte des alten Phishings. Gut gebaute Websites und überzeugend formulierte Mails mit persönlicher Ansprache könnten leicht ein Zehntel der Empfänger dazu bringen, der organisierten Internet-Kriminalität Konten und persönliche Identitäten für ihre Machenschaften zur Verfügung zu stellen.

DESHALB IST ES WICHTIG, immer daran zu denken, dass Banken und Sparkassen derartige Mails niemals versenden. Die E-Mail „einer Bank“ mit der Aufforderung, auf einen Link zu klicken und irgendwelche Daten zu „bestätigen“, ist immer ein Phishing-Versuch der Kriminellen. Generell sollte man es vermeiden, die Website seiner Bank (oder eine beliebige andere Website, die für Spammer und Kriminelle interessant ist: also fast jede) aufzurufen, indem man in eine Mail klickt. Die Lesezeichenfunktion des Webbrowsers ist nicht zur Zierde da, sondern kann auch ein gutes Mittel gegen die einfach gestrickte Kriminalität der Phisher sein.

Strato Sehr geehrter User: Wir sind derzeit in Kontoführung Dienst tätig.

Dienstag, 26. Juni 2012

WICHTIGER HINWEIS AN EMPFÄNGER: Diese Mail kommt nicht von Strato. Sie ist ein Betrugsversuch. Bitte nicht darin herumklicken, sondern die Müll einfach löschen.

Sehr geehrter Abonnent, [sic!]

Wir sind derzeit in Rechnung Wartung [sic!] tätig.
Als Abonnent sind Sie verpflichtet, Ihre weitere Mitgliedschaft zu bestätigen.
Bei Nichtbeachtung Ihre weitere Mitgliedschaft bestätigen wird [sic!], um Service-Aufhängung [sic!] führen.

Klicken Sie hier, um sich anzumelden und in einem einfachen Schritt zu bestätigen.

BITTE BEACHTEN SIE: Dies ist eine Zwangsmaßnahme. Bei Nichtbeachtung Aktualisieren Sie Ihre Informationen werden anService-Aufhängung [sic!] führen
Danke [sic!]
Admin
Strato Admin Update ® [sic!]
Copyright © 2012

Eine unfassbar schlechte Phishing-Mail, die ich hier nur erwähne, weil ich Phishing auf Strato-Dienstleistungen bislang noch nicht gesehen habe. Gut, dass sie so schlecht ist, dass eigentlich niemand darauf hereinfallen kann, denn sonst hätten die Verbrecher demnächst jede Menge Webspace und Mailadressen zur Verfügung.

Strato wäre dennoch in meinen Augen gut beraten, einen auffälligen Hinweis auf das Phishing in seiner Website zu platzieren, um die letzten Zweifel bei einigen Empfängern der Mail zu zerstreuen. Ein solcher Hinweis fehlt zurzeit (26. Juni, 16.12 Uhr) noch. Ich weiß allerdings nicht, ob Strato seine Kunden nicht per E-Mail kontaktiert hat oder über einen anderen Weg aufklärt.

Fraud Prävention Suite

Freitag, 15. Juni 2012

AKTUELLE WARNUNG: Die angeblich von DHL stammenden Mails, die zur „Verifizierung“ eines Packstation-Accounts aufrufen, stammen nicht von DHL. Es handelt sich um überzeugendes und deshalb sehr gefährliches Phishing.

Also auf keinen Fall darauf hereinfallen!

Grundsätzlich immer daran denken, dass keine Firma mit einer E-Mail dazu auffordern wird, Passwörter oder vergleichbare Zugangsdaten preiszugeben. Auch bei Mails mit persönlicher Ansprache immer sehr skeptisch bleiben und im Zweifelsfall lieber einmal telefonische Rücksprache halten, als übereilt etwas zu tun, was nur Internetkriminellen nützt. Oder, um es mit DHL zu sagen:

Wir werden Sie niemals im Internet oder telefonisch nach Ihrer PIN fragen, diese benötigen Sie ausschließlich zur Bedienung der PACKSTATION-Automaten.

Im Moment ist es noch offen, wie die Phisher an die Daten gelangt sind. Es handelt sich um ein überzeugend durchgeführtes Phishing, bei dem die Mails an die richtige Mailadresse gehen und die Postnummern der Empfänger bekannt sind. Einige Kommentare in öffentlichen Foren deuten zurzeit stark darauf hin, dass DHL selbst das Datenleck sein könnte – diese Möglichkeit wird allerdings im Moment von DHL zurückgewiesen.

Die Qualität der zuvor irgendwo kriminell abgegriffenen Daten ist so gut, dass Standardtipps zur Vermeidung und Erkennung von Phishing nicht greifen. Wer eine eigene Adresse ausschließlich für die Packstation verwendet hat, bekommt die Spam an genau diese Adresse. Die angegebene Postnummer stimmt. Sehr viele Empfänger der Spam werden keinen Verdacht geschöpft haben. Wer darauf hereingefallen ist, muss sofort tätig werden! Welche Möglichkeiten es gibt, wird sich für Kunden gewiss auf der richtigen DHL-Website erschließen. Das an Phisher gegebene Passwort sollte auf der Stelle geändert werden, um die Kontrolle über den eigenen Account zu behalten.

Alles weitere bei DHL – ich kenne die dortigen Abläufe nicht.

Change your Password

Dienstag, 12. Juni 2012

This is an automatic message from the Internet Movie Database (IMDb) registration system.

Dies ist eine über ein Botnetz versandte Mail, die auch bei Leuten ankommt, die noch nie etwas von der IMDb gehört haben. Deshalb fehlt auch jede Anrede.

Our system detected your password is too weak. Short passwords are easy to guess.

Wir haben uns gedacht: Es wäre doch schön, wenn wir mal wieder ein paar Leute einen Haufen persönlicher Daten irgendwo eingeben lassen, damit wir mit den so übernommenen Identitäten unsere kriminellen Geschäfte machen können.

Please follow this link :

https://secure.imdb.com/password_update/imdb/31764577128474171815

Bitte wundere dich nicht weiter darüber, dass das wirkliche Ziel des Links in dieser HTML-formatierten Mail ganz woanders hingeht.

[Die Phishing-Seite wurde über ein gecracktes Forum jemanden anders auf den Webserver gespielt. Sie ist inzwischen entfernt worden.]

If you used your IMDb password at any other sites, you‘ll need to change those passwords as well.

Bitte sei so nett, und verwende das Passwort, das du uns mitteilst, an möglichst vielen anderen Stellen im Web. Wir werden diese Stellen schon finden und uns nutzbar machen.

Regards,
IMDb User Protection help
http://imdb.com/register/

Mit roboterhaftem Gruß
Deine Phishing-Spammer

Hi Dear Friend

Samstag, 9. Juni 2012

Weil gerade so viel PayPal-Phishing bei mir ankommt, sei auch diese wunderschöne Kombination aus dem Streben nach gestalterischer Exzellenz und der Unfähigkeit zum adäquaten Ausdruck hier kurz erwähnt:

Hi Dear Friend, You violated the Terms of Service of 1.8 and we have to block your account. Look for a detailed explanation on the website of ... service. With regards www.paypal.com

Egal, auf welchen Link einer klickt: Sie gehen alle zur Website der Schurken.

Anders, als man auf dem ersten Blick glauben möchte, geht es hier allerdings nicht um Phishing. Vielmehr ist die Zielseite eine kaum durchschaubare JavaScript-Wüste zusammen mit der Aufforderung, doch bitte ein paar Sekunden Geduld zu haben, bis zur eigentlichen Seite weitergeleitet wird. Ich habe das nicht vollständig analysiert, sondern mir nur einen flüchtigen Eindruck davon verschafft. Es wird ein unsichtbarer IFRAME verwendet, um darin verschiedene Multimedia-Dateien darzustellen, es wird versucht, in einem anderen unsichtbaren IFRAME ein kleines PDF darzustellen, es wird ein relativ kleines Java-Applet eingebettet und Flash kommt auch nicht zu kurz. Desweiteren werden mehrfach obskure HTML-Dokumente in anderen unsichtbaren Bereichen geladen.

Oder kurz gesagt: Hier wird mit hoher Wahrscheinlichkeit jede bekannte Sicherheitslücke ausgenutzt, wenn sie offen ist.

Die flapsige Formulierung und der dumme Stil sind vermutlich keine Unfähigkeit, sondern Kalkül. Menschen, die eine derartige Mail mit der Anrede „Hallo lieber Freund“ für eine Geschäftskorrespondenz halten, werden wohl in der Regel auch keine besonders gut gesicherten Rechner verwenden…

Und diese Dummheit einiger Leute versaut dem Rest der Internetnutzer das Leben.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.