Die 100 gefährlichsten Seiten im Internet

Sonntag, 6. Juli 2008

Auch, wenn die aktuelle Ausgabe 15/2008 der Computer-Bild mit großen Lettern titelt: „Illegale Filme & Musik, fiese Viren & Abzocke: Die 100 gefährlichsten Internet-Seiten“ – wer eine tagesaktuelle Übersicht über die gefährlichsten Seiten im Internet haben möchte, der braucht dafür keine Zeitschrift zu kaufen. Es reicht ein kurzer Blick in das Mailpostfach. Jede einzelne Website, auf die mit millionenfacher Spam das Interesse gelenkt wird, ist gefährlich. Es lohnt sich wirklich nicht, diesen Ausfluss krimineller Energie anzuschauen.

Selbst, wenn die Computerbild in diesem Zusammenhang mit vollmundigen Worten ein Sicherheitspaket für den USB-Stick anbietet, das den PC zur „unverwundbaren Surf-Station“ macht, sollte jeder von jedem Klick in eine Spam absehen, wenn er nicht wirklich weiß, was er tut. Unverstandene Technik ist kein Ersatz für den eigenen Verstand.

Danke für den Hinweis an meinen Leser Kim.

Für Phishing-Opfer

Freitag, 4. Juli 2008

Wer auf eine Phishing-Masche oder einen vergleichbaren Computerbetrug hereingefallen ist und sich dabei nicht vollkommen dumm angestellt hat, der hat nach einem aktuellen (allerdings noch nicht rechtskräftigen) Urteil des Amtsgerichtes Wiesloch gute Chancen, nicht auf seinem Schaden sitzen zu bleiben. Die Bank kann in vollem Umfang für den Schaden haftbar gemacht werden, wenn der Betrug über eine gefälschte Online-Überweisung oder manipuliertes Online-Banking erfolgte und der Bankkunde beim Betrieb seines Rechners „durchschnittlichen“ Anforderungen an die Sorgfalt Genüge tat.

Obwohl sich in diesem Einzelfall 14 verschiedene Schadprogramme auf dem Computer des Bankkunden befanden, müsse die Bank für den entstandenen Schaden aufkommen, weil…

…keine Pflichtverletzung des Kunden bestehe, da er den Anforderungen an die Sorgfalt beim Absichern seines Rechners genügte. Denn von einem Kunden sei nur das zum Betrieb des Mediums erforderliche Wissen und damit eine irgendwie geartete Absicherung des Computers zu erwarten, während eine besonders ausgefeilte Form der Absicherung gegen solche kriminellen Angriffe gar nicht erforderlich ist.
…das Online-Banking auch im Interesse der Bank liege (wegen der Kostensenkung auf Seiten des Bankhauses), die mit dem Kunden keine besonderen Sicherheitsmaßnahmen vertraglich vereinbart hat.
…die Bank grundsätzlich das Fälschungsrisiko bei einem Überweisungsauftrag trage.

Als „durchschnittliche“ Anforderung an die Sorgfalt wertete es das Gericht, dass der Kunde die Installation eines Antivirus-Programmes nachweisen konnte – wobei von Seiten des Gerichts sogar eingeräumt wurde, dass dieser Schritt die durchschnittliche Anforderung möglicherweise noch übertreffe. (Natürlich liegt die spezielle Auslegung dieser Anmerkung im Einzelfall beim jeweiligen Gericht.) Die Frage der regelmäßigen Aktualisierung der Signaturen des Antivirus-Programmes wurde in der Begründung des Urteiles völlig offen gelassen. Nicht verpflichtend sei es allerdings für den Kunden gewesen, eine Firewall zu installieren.

Kurz zusammengefasst: Wer sein Betriebssystem und seinen Browser auf dem neuesten Stand hält, die aktuellen Sicherheitsupdates einspielt (oder den entsprechenden Automatismus seines Systemes verwendet) und eine Software zum Schutz gegen Schadprogramme installiert hat, würde auf der Grundlage dieses Urteils einen Phishing-Schaden von seiner Bank stets erstattet bekommen.

Auf dem Hintergrund dieses Urteiles sollten viele Opfer gängiger Betrugsmaschen eine Chance haben, zumindest ihren finanziellen Schaden von der Bank erstattet zu bekommen – so dass „nur“ die weiteren Schäden durch die Preisgabe persönlicher Daten an organisierte Kriminelle bestehen bleiben. Alles weitere wird Ihnen der Anwalt ihres Vertrauens erzählen, wenn sie selbst zum Opfer geworden sind und Ihre Bank nicht zahlen will.

Das verstehe aber bitte niemand als Aufforderung zum völlig sorglosen Umgang mit dem Internet, denn…

…es ist nicht klar, wie das blinde Vertrauen in eine Phishing-Mail, der Klick auf einen Link und die Preisgabe von vertraulichen Informationen auf einer gefälschten Seite im Internet von einem Gericht beurteilt würde. Vermutlich würde hier allerdings der Standpunkt eingenommen, dass zumindest eine Mitschuld des Opfers vorliege, wenn die URL im Browserfenster nicht geprüft wurde und wenn die ganze Vorgehensweise nicht gerade mit einer außerordentlichen und damit für das Opfer kaum durchschaubaren Perfidie durchgeführt wird.
…neben dem finanziellen Schaden sind weitere Schäden möglich, wenn der eigene Rechner als Spamschleuder oder zum Austausch illegaler Inhalte verwendet wird und wenn persönliche Beziehungen für schwer kriminelle Zeitgenossen offen gelegt werden.
…die so von der Bank erstatteten Schäden werden über kurz oder lang von der Bank wieder reingeholt, indem sie den zusätzlichen Kostenfaktor über Gebühren für ihre Leistungen und über gesteigerte Zinssätze für Darlehen auf die Gesamtheit ihrer Kunden abwälzen wird. Aus der Unvorsicht einiger Computernutzer wird damit ein Schaden für alle Menschen, die der Dienste einer Bank bedürfen. Und wer zählte nicht dazu?
…in vielen Fällen wird eine eventuelle Regresspflicht der Bank und ihr Umfang erst in einem Rechtsstreit festgestellt werden, der auch mit einem persönlichen Kostenrisiko verbunden ist, das nicht jeder tragen kann oder will. Von daher ist es gut möglich, dass Banken in vielen Fällen eine für den betrogenen Kunden eher nachteilhafte außergerichtliche Einigung mit Übernahme eines Teilbetrages der Schadenssumme anbieten werden, um weitere Kosten aus der gegenwärtigen Rechtsauffassung zu vermeiden.

Es gilt also – trotz dieser scheinbar günstigen Rechtslage – es gar nicht erst so weit kommen zu lassen, dass man seinen Computer den Verbrechern zur freien Nutzung übergibt. Das ist auch nicht schwierig. Die Grundregel ist sogar sehr einfach: Spam erkennen, Spam im Maileingang unbeachtet löschen, niemals auf einen Link in einer Spam klicken, niemals eine über Spam (auch Spamkommentare in Foren, Gästebüchern oder Weblogs) verlinkte Website ansurfen! Egal, wie attraktiv das Angebot dort auch aussehen mag. Egal, wie harmlos das Angebot dort auch aussehen mag. Egal, wie nützlich das Angebot dort auch aussehen mag. Jede Spam ist illegal und zudem asozial, mit Spammern wird man keinen Spaß haben und keine Geschäfte machen können. Aber man kommt schnell an einen ernsthaften und schmerzhaften Schaden.

Wer es schafft, Spam sicher zu erkennen und stets zu ignorieren, der kann kaum noch zum Opfer eines gängigen Betruges werden. Das ist – unter dem Gesichtspunkt der Sicherheit am Computer – fast noch wichtiger als die Verwendung von Antiviren-Programmen, die mit ihren Erkennungen sowieso immer zwei bis drei Tage hinter den neuesten Entwicklungen der Verbrecher hinterherhinken. Keine auf dem Computer installierte Software kann den Verstand des Menschen vor dem Computer ersetzen, es handelt sich immer nur um eine Ergänzung.

Zu hoffen bleibt jetzt allerdings, dass die Banken das Thema „Phishing“ nicht mehr auf die leichte Schulter nehmen, sondern im eigenen Interesse für eine umfassende und allgemein verständliche Aufklärung ihrer Kunden sorgen. Solche Bemühungen waren bislang leider nicht sichtbar, obwohl sie wohl so manchen Schaden verhindert hätten. Vielleicht wird es unter der neuen Rechtslage sogar einigen Banken endlich möglich, ihre Websites zum Online-Banking in einer Weise zu gestalten, die auch mit weniger angreifbaren Betriebssystemen und restriktiv konfigurierten Browsern verwendbar ist.

Karriere fuer Sie

Donnerstag, 3. Juli 2008

Hallo!

Aber hallo doch! Für eine Anrede mit Namen hat es mal wieder nicht gereicht, was? Na ja, wer nicht einmal einen Umlaut in den Betreff kriegt, der schafft eben auch andere Dinge nicht.

Unser Unternehmen bietet Ihnen die Position eines Manager-Assistenten in Teilzeit von zu Hause aus. […]

Euer Unternehmen, das es in dieser Mail leider verabsäumt hat, auch nur seine Firmierung, eine Website oder gar eine Anschrift mitzuteilen, will also einen Unbekannten, den es nicht einmal namentlich kennt, zum Assistenten im „Management“ machen. Das muss aber ein heiteres Unternehmen sein, das auf diese Weise an seine „Führungskräfte“ kommt. Und das müssen heitere Hohlnieten sein, die so etwas glauben können.

[…] Sie brauchen nichts zu investieren und keine speziellen Kenntnisse. Sie brauchen nur einige Stunden in der Woche und können den Job von überall in Deutschland ausführen.

Und das Beste daran: Eure „Führungskräfte“ müssen nicht einmal etwas können. Es reicht bestimmt aus, wenn die ein Konto haben, auf dem sie Geld in ihrem eigenen Namen annehmen, das sie dann bar und anonymisiert an eure tolle „Firma“ weiterleiten. So kommt ihr an das Geld, und eure „Assistenten des Managements“ kommen vor Gericht. Das ist doch wirklich toll, wer würde das nicht wollen?

Unsere Anforderungen:

Oh, jetzt muss man doch noch etwas können…

- Sie sollten PC-Kenntnisse haben, sich sicherim Internet bewegen und E-mail´s bearbeiten können.

[Schreibfehler und Deppenapostroph aus dem Original]

Wer diese Schrottmail empfangen hat, der kann ja schon Mail. Und wer darauf reinfällt, der bewegt sich alles andere als „sicher“ im Netz der Netze, denn dafür bedarf es eines Gehirns. Aber hirnlose Opfer sind euch bei eurem Betrug bestimmt recht. PC-Kenntnisse hat wohl auch jeder Mailempfänger…

- Sie sollten Englisch-Grundkenntnisse haben.

Of course, für Grundkenntnisse reicht es noch bei jedem. Kriegt man schließlich in der Schule. Und ich dachte schon, hier kämen jetzt die harten Anforderungen.

Sind Sie interessiert und möchten mehr über uns und Ihre Position erfahren? Dann richten Sie Ihre Kurzbewerbung an: germany@pix-consult.com

Nein, ich bin nicht interessiert. Schon gar nicht, wenn ich eure Spam nicht einmal mit der Antworten-Funktion meiner Mailsoftware beantworten kann, weil ihr nicht so viel Internet-Kenntnisse habt, dass ihr eine anständige Antwortadresse angeben könnt. Und solche Schwachköppe fordern von mir, dass ich E-Mails bearbeiten kann. Das mit der Antwortadresse in einem Skript kriegt jeder fünfjährige Nachwuchshäcker auf dem Kackpott hin, wo kriegt ihr also diese hirnlosen Loser her, die eure Spamskripten immer wieder so schmählich verkacken? Sucht doch besser mal jemanden, der ein bisschen programmieren kann und sich mit der guten, alten E-Mail auskennt, den braucht ihr gerade viel dringender.

Ach ja, und fälscht eure Absenderadressen mal etwas besser. Und verwendet für den Mailversand keine Rechner mit einer dynamischen IP-Adresse von einem Einwahlprovider. Und gebt, wenn eurer Scheißskript SMTP macht, beim HELO nicht einfach nur eine IP-Adresse an. Schon gar nicht eine, die schon längst in der Blacklist von Spamhaus ist, weil ihr den Zombie-PC schon so lange benutzt habt. Wenn ihr solchen Kleinkram auch noch hinbekommt, denn kommt ihr vielleicht sogar durch meinen Spamfilter.

Und wenn ihr da durchgekommen seid, denn denkt euch eine anständige und plausible Firmierung für euren Ableger der Phishing-Mafia aus. Und überlegt einmal in aller Ruhe, dass niemand euren schnell hingepfuschten Text ernst nehmen kann, selbst wenn er ihn zu Gesicht bekommt. Wer so blöd ist, das er darauf reinfallen kann, der kriegt hier nicht einmal mehr ein Konto und ist damit für euch unbrauchbar. Also denkt euch eine etwas bessere Story aus. Selbst ich lese und kommentiere das viel lieber als eurer hier hingestümpertes Werk. Wenn ihr es dann auch noch schafft, eine HTML-formatierte Mail so zu gestalten, dass ihr eine unsortierte Liste nicht mit Minuszeichen am Zeilenanfang einleitet, sondern das dafür vorgesehene Tag nehmt, denn nähert ihr euch langsam einer gewissen Chance, sogar noch ein paar dumme Opfer zu finden.

So könnt ihr es einfach nur vergessen. Eure Schrottmail ist nutzlos und bringt gar nichts.

Vielen Dank.

Aber gern geschehen!

Capital One TowerNet

Mittwoch, 2. Juli 2008

So hieß der angebliche, gewerbliche Absender einer Mail, die mich als Kunden begrüßte. Allerdings handelt es sich hier „nur“ um die neueste Phishing-Welle, mehr nicht…

Dear Capital One TowerNET customer,

Security and confidentiality are at the heart of the Capital One. Your details (and your money) is protected by a number of technologies, including Secure Sockets Layer (SSL) encryption.

Na, denn ist ja alles in Ordnung. Wieso müsst ihr so etwas schreiben?

We would like to notify you that Capital One Commercial carries out customer details confirmation procedure that is compulsory for all Capital One Commercial customers. This procedure is attributed to a routine banking software update.

Und was hat es mit dem SSL zu tun, wenn ich mich anmelden soll? Nichts! Einfach nur ein bisschen Blah, um unerfahrene Netzuser dazu zu bringen, dass sie ihre Zugangsdaten an Verbrecher geben.

Please login to Capital One TowerNET using the link below and follow the instructions on the screen.

http://towernet7.capitalonebank.com[…]

Und ganz wichtig: Bloß den Link aus einer Mail nehmen, die zwar wahnsinnig viel von Sicherheit gefaselt hat, aber dafür nicht einmal digital signiert ist! Aber wer völlig unerfahren ist, glaubt das und klickt auf eine URL, die scheinbar die Domain der eigenen Bank ist. Aber nur scheinbar, denn diese Mail ist in HTML formatiert und der Link führt auf einen anderen Server. Dort bekommt man eine liebevoll nachgemachte Website zu sehen, die vorgibt, dass man sich bei seiner Bank anmelden könne. Kann man aber nicht. Stattdessen gibt man einen Satz Anmeldedaten an organisierte Kriminelle, die gewiss eine Verwendung dafür haben, die einem nicht gefallen kann.

Ich habe den überlangen Link in diesem Zitat gekürzt, der sicherlich recht überzeugend den typischen URLs dieses Bankhauses nachgestaltet war. Nur soviel: Er führte auf den Server web376.com…

Ganz viel Vorschussbetrug

Montag, 30. Juni 2008

Ohne, dass ich mal wieder eine solche Mail sarkastisch und böse kommentieren will, dennoch der Hinweis. Im Moment gibt es relativ viele Versuche des Vorschussbetruges über Mail – allerdings vor allem in englischer Sprache.

Die Machart dieses Betruges ist immer wieder gleich. Eine zuvor unbekannte Person, die übrigens auch keine persönliche Anrede formulieren kann (wie auch, bei einigen Millionen automatisch erzeugten Spams an eine Liste von Mailadressen), behauptet, dass sie eines Gehilfen für eine etwas windige finanzielle Transaktion im Umfang mehrerer Millionen Dollars benötige. Ob es sich dabei um Erbschaften handelt, die sonst an den Staat fallen würden, ob es sich um das Geld eines verunglückten Kunden handelt, dass man sich gemeinsam unterm Nagel reißen will oder ob sich die Betrüger eine andere Masche ausgedacht haben, ist dabei recht egal.

Angeboten wird das „Geschäft“, dass man sich gemeinsam unter Angabe falscher Daten das Geld unterm Nagel reißt. Die versprochene Beteiligung am Erfolg für das Opfer dieses Betruges liegt im siebenstelligen Bereich. Obwohl jedem Denkenden schon bei Benutzung des „gesunden Menschenverstandes“ klar sein sollte, dass niemand solche „Geschäfte“ mit einem wildfremden Menschen durchführen wird, fallen leider immer wieder Menschen auf diese Masche herein.

Natürlich existiert dieses Geld gar nicht. Aber im Fortlauf des Betruges muss das Opfer ein wenig in Vorleistung treten – da fehlt mal jenes Papier, mal die andere Urkunde und vielleicht auch einmal eine notarielle Beurkundung. Aber was sind schon diese paar zehntausend Euro, die sich dabei zusammenläppern können, gegen die versprochene Beute in Millionenhöhe? Zumal man sehr schnell in scheinbar engem Kontakt mit sehr geübt auftretenden Betrügern steht, die aus ihrer kriminellen Erfahrung heraus sehr genau wissen, wie sie auftreten müssen, damit immer mehr Geld nachgeschmissen wird. Am Ende löst sich der oft persönlich gehaltene Kontakt genau so in Luft auf wie die Millionen von Dollars, und zurück bleibt ein Betrugsopfer, das wegen seiner Mittäterschaft an einer windigen Unternehmung und oft auch wegen seiner Scham nicht einmal eine Anzeige erstatten mag. Diese wäre auch ziemlich fruchtlos, da über die Täter auf der anderen Seite beinahe nichts bekannt ist.

Kurz gesagt: Die einzigen, die hier durch massenhaften Betrug ihre Millionen machen, sind die Absender dieser Mails – wenn genug leichtgläubige Menschen darauf reinfallen. Diese Mails sollten also wie normale Spam behandelt und gelöscht werden. Nur, wer sehr erfahren ist und weiß, wie man im Internet seine wirkliche Identität verbergen kann, sollte die nahe liegende Idee verwirklichen, mit diesen organisierten Kriminellen in Kontakt zu kommen und ihr Geschäft ein wenig aufzuhalten, indem sie in eine zeitraubende Kommunikation verwickelt werden. Dabei auf einen Fall auf ein persönliches Treffen einlassen, denn diese Leute fackeln auch nicht lange.

Ende der Warnung.

Das Geschmacks-Geheimnis

Freitag, 27. Juni 2008

Und mal wieder ein Ausschnitt aus der Seuche des realen Briefkastens. Der folgende Scan stammt aus einer Postwurfreklame von extra, die zurzeit in Briefkästen in der hannöverschen Südstadt verklappt wird:

Grafenland - Für besten Geschmack - Grillgut von Grafenland: Das Geschmacks-Geheimnis! - Bei den Grillartikeln von Grafenland sorgen absolut hochwertige Zutaten für besten Geschmack.

Dieser Kürzsttext aus dem unkreativen Hirn eines Werbers ist so typisch, dass sich eine genauere „inhaltliche“ Betrachtung lohnt.

Die Mitteilung beginnt mit dem claim „Für besten Geschmack“, der unter der Marke „Grafenland“ steht. Jeder stelle sich einmal die Frage, was dort sonst stehen könnte. Es ist eine Nullaussage. Die gegenteilige Aussage „Für faden, widerwärtigen Geschmack“ ist für den Zweck der Werbung undenkbar.

Diese Nullaussage wird von der ersten (und übrigens einzigen) wirklichen Information gefolgt. Es handelt sich hier um Grillgut. Der Marke „Grafenland“. Es geht um gewürzte Fleischstücke und Tierdärme mit in der Regel weniger appetitlichem Fleisch, das aber mit Gewürzen noch einmal konsumierbar gemacht wird. Diese können des Sommers über glühender Holzkohle gebraten werden. Das ist eine klare und hilfreiche Information.

Nach so viel Klarheit muss unser ~~Hirnficker~~ Werber auch gleich etwas völlig Unklares von sich geben. Denn wie es sein kann, dass eine in zigtausendfacher Drucksache massenhaft offenbar gemachte Mitteilung ein „Geschmacks-Geheimnis“ sein kann, das bleibt das Geheimnis des Werbers. Zumal die darunter stehenden Informationen (sie sind hier gekürzt) gar nicht nach alchimistischen Geheimrezepten oder irgendeiner Hexerei klingen… 😀

Make $75 per online survey

Freitag, 27. Juni 2008

Und wieder einmal denkt so ein Spammer, dass viele Menschen saudumm werden, wenn sie eine Möglichkeit sehen, mit wenig Mühe an Geld zu kommen:

How would you like to make 75 – 250 every single day just for clicking your mouse?

Eigentlich würde ich das Geld ja lieber fürs Nichtstun kriegen. Aber wenn der das versprechen würde, dann würde noch jemanden auffallen, dass wohl nirgends Geld verschenkt wird.

Start earning Minutes from now!

Klar, können muss man auch nichts, damit einem irgendwelche Leute aus lauter Großzügigkeit mit massenhaft Geld beschenken. Die machen das einfach, weil sie zu viel Geld haben und nix damit anzufangen wissen, da geben sie es halt voraussetzungslos an irgendwelche Leute, die mit eifrigen Finger irgendwo rumklicken.

The „CashCreation“ – System that allows you to start making m.oney on the Internet 15 minutes from now – without any investment or advertising.

Und die große Anpreisung nimmt kein Ende. Damit auch der merkbefreiteste Depp noch bemerken kann, dass er es hier mit der Spam eines Kriminellen zu tun hat, versucht sich dieser Schrotttext allerdings mit der etwas sonderbaren Interpunktion bei „m.oney“ an den Spamfiltern vorbeizumogeln. Als ob „Cash“ nicht genau so anfällig wäre. Ich kenne übrigens auch ein „System zur Schaffung von Bargeld“: Eine Druckmaschine. Aber damit muss man drucken, da reicht das Klicken nicht.

All you have to do is click your mouse!

Und glauben sollst du. Klicken und glauben. Ein krimineller Spammer wird dich ganz bestimmt nicht belügen. Und dein Klick macht dich reich. Du kannst ja gleich damit anfangen:

For Full details please read the attached .html file

Klick einfach auf das Icon der angehängten Datei und mach sie in deinem Browser auf! Du bist nur einen Klick vom Reichtum entfernt! Glaube uns, denn wir sind Verbrecher! Klick auf die Datei! Da erfährst du alles! Jeden Tag flattern die Dollars in dein Haus! Klick auf die Datei!

Nun, wer es tut, wird sein blaues Wunder erleben. Diese so harmlos daher kommende HTML-Datei enthält eigentlich gar keinen richtigen Text, sondern nur etwas JavaScript. Und zwar eines, das seinen wahren Inhalt auch lieber versteckt, deshalb beginnt es auch mit den Worten…

document.write(unescape(“%3C%53 […]

…und geht in genau diesem Stil weiter. Wer mag, kann es sich gern einmal als Text anschauen. Ich habe das jetzt nicht analysiert, aber man kann sich darauf verlassen, dass mit diesem einen Klick nicht das große Geld kommt, sondern der übelste kriminelle Angriff gegen den eigenen Computer. Dabei kommt vielleicht für die Kriminellen der Spammafia das große Geld, aber gewiss nicht für den Deppen, der darauf geklickt hat.

Und das die Browser heute gesicherter sind, haben die Spammer auch bedacht, denn ihre Schrottmail schließt mit den Worten

To view FULL DETAILS please click on Information Bar and Allow Blocked Content in your browser. Thank you

Wenigstens bedanken die sich dafür, dass einer so blöd ist, eventuelle Sicherheitsmaßnahmen des Browsers einfach abzuschalten. Das ist mal etwas Neues.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.