Auf keinen Fall die Anhänge öffnen! 🚨

Auch, wenn diese Mail selbst noch durch empfindlich geschaltete Spamfilter hindurchkommt, handelt es sich um eine Spam. Und zwar um eine sehr gefährliche Spam mit Schadsoftware im Anhang.

Sehr geehrter Damen and Herren [sic!]

hiermit bewerbe ich mich für Ihre Firma, da ich Ihre Anforderungen erfülle und mich gerne einer neuen Herausforderung stellen möchte.

Sie suchen eine Fachkraft mit Berufspraxis. Bitte entnehmen Sie meinem Lebenslauf, dass ich meine Erfahrungen in den folgenden Jahren vielfältig erweitern konnte.

Ich bin deshalb sicher, dass ich Ihre Erwartungen an einen engagierten und flexiblen Mitarbeiter voll erfüllen werde.

Momentan arbeite Ich am Flughafen München im Öffentlichen Dienst aber könnte ab sofort bei Ihnen anfangen.

Ich würde mich sehr freuen, mich Ihnen persönlich vorstellen zu dürfen.

Mit freundlichen Grüßen
–
Gesendet mit der GMX WinPhone App

Dabei habe ich gar keine Jobs anzubieten. Diese „Bewerbung“ geht also an jede Mailadresse, die man irgendwo im Internet einsammeln kann. Damit natürlich auch an die Personalabteilungen vieler Unternehmen, die ja großen Wert auf Erreichbarkeit legen müssen. 🙁

An der Mail hängen zwei Dokumente für Microsoft Word…

$ ls -l *.doc
-rw-rw-r-- 1 elias elias 136349 Feb 11 15:25 180718_Arbeitszeugnisse_aktuell.doc
-rw-rw-r-- 1 elias elias  74532 Feb 11 15:26 190720_Bewerbung_Kaufm_Angestellte_.doc
$ _

…deren Dateinamen mit mutmaßlich darin codiertem Datum den starken Verdacht erwecken, dass es sich nicht um besonders aktuelle Dokumente handelt. Ich will es mal mit LibreOffice sagen:

Damit das auch wirklich niemand klicki-klicki überliest, sei der wichtigste Satz aus dieser Meldung hier noch einmal wiederholt:

Makros können Viren enthalten.

Microsoft Word sollte eine sehr ähnliche Warnung anzeigen.

Generell sind solche Meldungen – so lästig sie auch sein mögen, wenn man eigentlich seine Arbeit erledigen will – dafür da, gelesen und nach Möglichkeit beachtet zu werden. Ungelesenes Wegklicken von Fehlermeldungen ist immer gefährlich. Selbst, wenn man glaubt, genau zu wissen, was das für eine Meldung ist.

Wer die Ausführung der Makros freischaltet oder – was leider immer noch in vielen Betrieben üblich ist – standardmäßig freigeschaltet hat und Microsoft Office unter Microsoft Windows verwendet, hat nach dem Öffnen dieses Dokumentes einen Computer anderer Leute auf dem Schreibtisch stehen. Wenn es ganz hart kommt, befindet sich hinterher ein ganzes Betriebsnetzwerk in den Händen von Kriminellen.

Und damit der Klick auf „Makros ausführen“ auch wirklich gemacht wird, wird man im patzigen Tonfall einer angeblichen Fehlermeldung dazu aufgefordert:

Das ist natürlich keine Windows-Fehlermeldung – ich sehe sie sogar mit meinem Linux – sondern einfach nur ganz normal gesetzter Text innerhalb des Dokumentes mit gelbem Hintergrund und Rahmen. Ich habe mir das vorsätzlich unverständlich gecodete Makro jetzt nicht im Detail angeschaut, bin aber schon nach schnellem Überfliegen des Quelltextes…

Private Declare Function SideBySide Lib "urlmon" Alias _
  "URLDownloadToFileA" (ByVal pCaller As Long, ByVal szURL As String, ByVal _
    szFileName As String, ByVal dwReserved As Long, ByVal lpfnCB As Long) As Long

Private Declare Function CreateProcess Lib "kernel32" Alias "CreateProcessA" (ByVal lpApplicationName As String, ByVal lpCommandLine As String, lpProcessAttributes As Any, lpThreadAttributes As Any, ByVal bInheritHandles As Long, ByVal dwCreationFlags As Long, lpEnvironment As Any, ByVal lpCurrentDriectory As String, lpStartupInfo As STARTUPINFO, lpProcessInformation As PROCESS_INFORMATION) As Long
Private Declare Sub GetStartupInfo Lib "kernel32" Alias "GetStartupInfoA" (lpStartupInfo As STARTUPINFO)

…sehr sicher, dass hier Code aus dem Internet nachgeladen und ausgeführt wird. Nein, für ein normales Dokument werden diese Funktionen aus der Windows-API niemals benötigt. Aber so ein Office-Makro kann leider fast alles, was eine ausführbare Datei für Microsoft Windows auch kann. Zu schade, dass Microsoft für die dadurch angerichteten Schäden nicht haftbar gemacht werden kann.

Zurzeit wird die klare Schadsoftware nur von einem Drittel der gängigen Antivirus-Schlangenöle als Schadsoftware erkannt. Immerhin hat sich die Quote seit meinem letzten Schadsoftware-Anhang im Spameingang etwas verbessert. Aber wer sich auf den „Schutz“ durch Schlangenöl verlässt, ist verlassen.

Deshalb auch weiterhin äußerste Vorsicht im Umgang mit E-Mail! Dettelbach ist überall.