Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.


Schlagwortarchiv „HTML“

Change your Password

Dienstag, 12. Juni 2012

This is an automatic message from the Internet Movie Database (IMDb) registration system.

Dies ist eine über ein Botnetz versandte Mail, die auch bei Leuten ankommt, die noch nie etwas von der IMDb gehört haben. Deshalb fehlt auch jede Anrede.

Our system detected your password is too weak. Short passwords are easy to guess.

Wir haben uns gedacht: Es wäre doch schön, wenn wir mal wieder ein paar Leute einen Haufen persönlicher Daten irgendwo eingeben lassen, damit wir mit den so übernommenen Identitäten unsere kriminellen Geschäfte machen können.

Please follow this link :

https://secure.imdb.com/password_update/imdb/31764577128474171815

Bitte wundere dich nicht weiter darüber, dass das wirkliche Ziel des Links in dieser HTML-formatierten Mail ganz woanders hingeht.

[Die Phishing-Seite wurde über ein gecracktes Forum jemanden anders auf den Webserver gespielt. Sie ist inzwischen entfernt worden.]

If you used your IMDb password at any other sites, you‘ll need to change those passwords as well.

Bitte sei so nett, und verwende das Passwort, das du uns mitteilst, an möglichst vielen anderen Stellen im Web. Wir werden diese Stellen schon finden und uns nutzbar machen.

Regards,
IMDb User Protection help
http://imdb.com/register/

Mit roboterhaftem Gruß
Deine Phishing-Spammer

Hi Dear Friend

Samstag, 9. Juni 2012

Weil gerade so viel PayPal-Phishing bei mir ankommt, sei auch diese wunderschöne Kombination aus dem Streben nach gestalterischer Exzellenz und der Unfähigkeit zum adäquaten Ausdruck hier kurz erwähnt:

Hi Dear Friend, You violated the Terms of Service of 1.8 and we have to block your account. Look for a detailed explanation on the website of ... service. With regards www.paypal.com

Egal, auf welchen Link einer klickt: Sie gehen alle zur Website der Schurken.

Anders, als man auf dem ersten Blick glauben möchte, geht es hier allerdings nicht um Phishing. Vielmehr ist die Zielseite eine kaum durchschaubare JavaScript-Wüste zusammen mit der Aufforderung, doch bitte ein paar Sekunden Geduld zu haben, bis zur eigentlichen Seite weitergeleitet wird. Ich habe das nicht vollständig analysiert, sondern mir nur einen flüchtigen Eindruck davon verschafft. Es wird ein unsichtbarer IFRAME verwendet, um darin verschiedene Multimedia-Dateien darzustellen, es wird versucht, in einem anderen unsichtbaren IFRAME ein kleines PDF darzustellen, es wird ein relativ kleines Java-Applet eingebettet und Flash kommt auch nicht zu kurz. Desweiteren werden mehrfach obskure HTML-Dokumente in anderen unsichtbaren Bereichen geladen.

Oder kurz gesagt: Hier wird mit hoher Wahrscheinlichkeit jede bekannte Sicherheitslücke ausgenutzt, wenn sie offen ist.

Die flapsige Formulierung und der dumme Stil sind vermutlich keine Unfähigkeit, sondern Kalkül. Menschen, die eine derartige Mail mit der Anrede „Hallo lieber Freund“ für eine Geschäftskorrespondenz halten, werden wohl in der Regel auch keine besonders gut gesicherten Rechner verwenden…

Und diese Dummheit einiger Leute versaut dem Rest der Internetnutzer das Leben.

Mastercard Verifikations Abgleich!

Freitag, 11. Mai 2012

MasterCard Daten-Abgleich

Mit wem? Ach ja, mit kriminellen Phishern.

Sehr geehrte Damen und Herren,

Die wissen natürlich auch nicht, wie der Empfänger heißt und sprechen ihn deshalb – im Gegensatz zu einem Kreditinstitut – auch nicht mit Namen an.

aufgrund der rasant ansteigenden Probleme durch Cyberkriminalität, sehen wir uns als Ihr Dienstleister dazu gezwungen, für das höchste Maß an Sicherheit für Sie zu sorgen.

Diese hier wissen nicht einmal, wie man diese komischen Vokale mit den Pünktchen darüber in eine HTML-Mail reinbekommt. Klar, das hätten sie sich schnell anlesen können, aber wenn sie sich Mühe geben wollten, wären sie ja keine kriminellen Spammer geworden.

Aber dafür ist der Text jetzt sehr komisch:

Verifizierungsvorgang

Nach langwierigeren Testphasen sowie Überarbeitungen unseres Systems freuen wir uns, Ihnen das neue Secure Transaction System kurz STS vorstellen zu dürfen.

Sie als Kunde werden nach der einmaligen Validation keinen feststellbaren Unterschied wahrnehmen, jedoch werden sie ab diesem Moment abgesicherte Transaktionen im Internet ohne Einschränkungen durchführen können. STS ist für sie Kostenlos und sofort nach erfolgreicher Verifizierung aktiv.

In der Tat, das stimmt. Wer darauf reingefallen ist, wird danach erstmal keinen Unterschied feststellen, wenn er irgendwas mit seiner Kreditkarte macht. Er wird halt nur irgendwann feststellen, dass seine Kreditkartendaten für kriminelle Geschäfte benutzt werden und dass sein Konto geplündert wurde.

Bitte füllen Sie alle nötigen Details auf folgender Seite aus um ihr Verifikation abzuschließen.;Verifikation abschließen

Im Original geht der Link auf mastercards (strich) verifikation (punkt) net, eine recht überzeugend klingende Domain. Den Hosting-Provider der Website habe ich eben über den Vorgang informiert, so dass diese betrügerische Site vermutlich in Kürze verschwunden sein wird. Sie sieht zurzeit übrigens so aus:

Screenshot der betrügerischen Website

„Herzallerliebst“ darin die alarmierend formulierte Warnung:

Sehr geehrte Kunden,
Wegen sicherheitstechnischen Mängeln [sic!] in diversen größeren Onlineshops [sic!] in Deutschland sind wir gezwungen [sic!], unsere Kunden einer Kartenverifizierung zu unterziehen [sic! Eine „Kartenverifizierung“ der Kunden!]. Wenn Sie eine Mastercard besitzen, empfehlen wir Ihnen, diese Kartenverifizierung sofort durchzuführen [Komma fehlt] um eine allfällige Kartensperrung [sic!] zu verhindern. Wenn Sie Ihre Karte nicht verifizieren, sehen wir uns gezwungen, diese binnen 2 Tagen zu Ihrem Schutz [sic!] zu sperren.

Herzlichen Dank für Ihr Verständnis [sic!]

Harald Fischer
Mastercard Sicherheitsteam Deutschland

Auch wenn die technische Gestaltung wesentlich gelungener ist als die Phishing-Spam, muss man nicht besonders wach sein, um an der Sprache zu bemerken, dass kein Unternehmen so mit seinen Kunden kommunizieren würde.

Aber weiter in der Spam:

WICHTIG: Wenn Sie Ihre Kreditkarte regelmäßig nutzen, empfehlen wir Ihnen DRINGEND, dass Sie Ihre Kreditkarte schützen, um möglichen Betrugsversuche auszuschließen.

Mit freundlichen Grüßen,
Mastercard Services

Die wirklichen Sicherheitshinweise von Mastercard kann man übrigens auf der echten Website von Mastercard nachlesen. Ich kann Kartennutzer gar nicht oft genug auffordern, das zu lesen – und fortan jede derartige Mail, auch wenn sie nicht so stümperhaft ist, in den virtuellen Papierkorb zu werfen.

Mastercard Ltd. USA, registriert in America & Washington unter der Nummer 4260907.
Sitz der Gesellschaft: Welken House, 10-11 Charterhouse Square, New York, EC1M 6EH, America.
Autorisiert und reguliert von der Financial Services Authority (FSA) Amerika.

Das mag alles stimmen, aber von Mastercard kommt diese Mail nicht.

Welcome to Evia island, Greece

Mittwoch, 9. Mai 2012

Spammer's Hall of Shame: Avantis Suite Hotel, Evia island, Griechenland

In die „Hall of Shame“ kommen nur die ganz Harten. Die, bei denen sich der mutige Einsatz von Technik und das Streben nach gestalterischer Exzellenz mit saudummer Stümperei paart. Die, bei denen die Worte erst einmal Luft holen müssen, ehe sie das Gesehene beschreiben können. Wenn du hier landen willst, Spammer, denn musst du dir schon Mühe bei deiner Müllproduktion geben…

Der Text der HTML-formatierten Mail war kurz und bündig, und eigentlich hätte es damit genug sein können:

Welcome to Evia island, Greece

If you do not want to receive any more newsletters, click Unsubscribe

Was man im Zitat nicht so gut sieht, ist, wie der Link auf die Dreckssite der Spammer gelegt wurde. Normale Menschen setzen, wenn sie kommunizieren wollen, wo eine Website liegt, einfach einen direkten Link, in diesem Fall wäre er auf avantis (strich) hotel (punkt) gr gegangen – aber Spammer wissen eben, dass sie Schlechtes tun und dass es Spamfilter und Blacklists gibt, so dass sie ihren Link lieber nicht ganz so direkt setzen, um die automatische Auswertung ihrer Drecksmails zu erschweren. Das Ergebnis solcher Bemühungen in der Verschleierung der wirklich verlinkten Website kann dann eine bemerkenswerte Länge und Umständlichkeit erreichen und zeigt jedem Menschen beim Betrachten deutlich, dass er es mit Abschaum zu tun hat:

Der Link auf das Avantis Suite Hotel spricht für sich selbst

Es ist eben einfach nur die gewöhnliche, asoziale, kriminelle, stinkende Spam – übrigens verschickt mit der IP-Adresse eines Anbieters für das Hosting virtueller Server in Kansas City, den ich eben mit der üblichen Abuse-Mail über das Problem informiert habe. Dieser „Newsletter“ ohne „News“ und „Letter“ hat sich allerdings nicht auf den zitierten Text und einen Link beschränkt und er hatte auch noch nicht genug damit, klandestin mit einem eingebetteten Webbug nachschauen zu wollen, ob die Spam auch ankommt. Nein, da waren auch noch zwei schwergewichtige Grafiken (im Folgenden natürlich herunterskaliert) eingebettet, damit sich die Elektronen in den Internetleitungen auch ja nicht langweilen und damit das Postfach des Empfängers auch ja so richtig mit Müll vollgestopft werde:

Grafik Eins aus der Spammail

Grafik Zwei aus der Spammail

Natürlich waren auch diese Grafiken mit der Website eines Hotels verlinkt, dessen Betreiber aus irgendwelchen Gründen zu der Auffassung gekommen sind, dass es ohne asoziale, stinkende, kriminelle Spam keine Gäste mehr finden wird. Und generell schienen sie es in dieser Situation auch nicht mehr für nötig zu halten, sich beim Spammen irgendwelche Mühe zu geben, sondern scannten einfach nur eine fertige, für den Druck gedachte Reklame ein, fügten eher stümperhaft auf der zweiten eingescannten Seite in gar nicht zum ursprünglichen Entwurf passenden Schriftarten eine Internetadresse und eine Mailadresse hinzu und klatschen gleich daneben eine völlig nutzlose und durch mindestens dreimalige JPEG-Bearbeitung hoffnungslos mit Artefakten verdorbene Grafik mit einer Kollektion von „social icons“, die in dieser Verwendung natürlich sinnlos sind. Sie machen das so schäbig, schnell und stümperhaft, weil sie ganz genau wissen, dass jedes zuviel an Mühe, ja, sogar das Abtippen der fertigen Werbetexte für den besseren Transport mittels des Mediums E-Mail, einfach nur noch zuviel für ihr gewiss nicht besonders empfehlenswertes Hotel wäre.

Diese durch die Spam in die Welt gegebene Selbsteinschätzung der Hotelbetreiber widerspricht den üblichen, auch in dieser Spam wiedergegebenen Werbelügen deutlich und schrill genug, so dass ich ihr mit großem Vergnügen zustimme. Wer eine Übernachtung in Griechenland sucht, wird sicherlich beim seriösen Mitbewerb fündig werden und muss zu seinem eigenen Glück nicht auf das „Avantis Suites Hotel“ auf Evia zurückgreifen. Ich würde jedenfalls lieber Urlaub mit Gaddafi machen, als im Hotel eines asozialen Spammers zu übernachten.

Den Hotelbetreibern wünsche ich von ganzem Herzen, dass sie bald viel Freude mit dem Insolvenzverwalter haben.

Glenda Kelly has sent you a new private message

Donnerstag, 26. April 2012

Nicht, dass eine Spam mit einer angeblichen Benachrichtung von einem Web-Zwo-Nulldienst ungewöhnlich oder bemerkenswert wäre, aber dass diese Masche auch…

Screenshot der HTML-formatierten Spammail, die angeblich von MySpace kommen soll

…auf MySpace-Nutzer losgelassen wird, ist mir neu. Ich hätte MySpace (das Facebook vorangegangen ist) für so tot gehalten, dass nicht einmal mehr Spammer etwas aus diesem Kadaver herausholen können.

Natürlich führen alle Links in dieser Spam nicht etwa zu MySpace, sondern auf eine Weiterleitung auf eine Weiterleitung auf eine Weiterleitung auf die Website unter der vielsagenden und gerade erst am am 19. April eingerichteten Domain mysaleviagra (punkt) com. Dort gibt es einen dieser „Apotheker“ mit einem relativ einseitigen Angebot an Arzneimitteln:

Screenshot der Website der betrügerischen Apotheke

Ein Angebot, das sich an Leute richtet, die es völlig normal und unverdächtig finden, wenn sie auf einen Link zu MySpace zu klicken glauben und als Ergebnis vor ihren Augen eine Pimmelpillen-Apotheke haben – und die dann auch noch damit beginnen, bei einem so untergejubelten Anbieter etwas zu bestellen. Was das für Leute sind und wo man sie findet? Keine Ahnung. In meiner Umgebung haben alle Menschen genug Resthirn, um nach einer solchen Überrumpelung jedes Vertrauen zu verlieren.

Wer aber wirklich glaubt, dass man in den Apotheken der Spammer Medikamente bestellen kann, lese bitte einfach beim AntiSpam e.V. weiter.

KW14 / 06.04.2012 > Ultimateclub > Gutschein

Freitag, 6. April 2012

Das ist ja nett, dass mir der Absender dieser Mail im Betreff sagt, was für ein Datum wir gerade haben. Sonst könnte man das ja glatt vergessen. Und die aufwändig formatierte HTML-Mail mit jeder Menge eingebetteten Grafikmüll vermittelt genau den richtigen Eindruck: Wenn man schon nichts zu sagen hat, muss man das wenigstens in aufwändiger Gestaltung tun.

Screenshot der Spam

Das Nachempfinden des Layouts erspare ich mir.

Ein whois -H claudia-adams.com hat mir übrigens verraten, dass diese Domain von einer angeblich in der Tschechischen Republik wohnenden Gestalt registriert wurde, deren Telefonnummer unglücklicherweise nur aus Nullen besteht.

Willkommen zu Ihrem Newsletter für (KW14 / 06.04.2012) […]

Toll, ihr kennt nicht meinen Namen, aber sagt, dass es sich hier um „meinen“ Newsletter handelt.

[…] beim besten Portal im deutschsprachigen Raum, mit tausenden zufriedenen Kunden, seit 1998.

Seit 1998?! Das habe ich eben beim whois gesehen, denn die Domain dieses „besten Portales“ wurde am 23. Februar 2012 registriert.

Uns ist es gelungen ein neues Amateurgirl Claudia Adams für unsere Seite zugewinnen. Bei uns ist alles Inklusive, wir haben die echte Flatrate. Sie erhalten Sofortzugang völlig anonym mit täglichen Updates.

Und ganz neue und vor allem echte Amateure.

Ihre registrierten Zugangsdaten für den Ultimateclub sind:
http://www.claudia-adams.com
Benutzername: [… Meine Mailadresse]
Passwort: 635236

Toller Benutzername! Aber was wollt ihr betrügerischen Spammer denn sonst tun, wenn ihr keinen richtigen Namen oder gebräuchlichen Nick eurer Empfänger habt?

Wir sind von unserem neuen Amateurgirl Claudia Adams überzeugt und möchten Ihnen nun als Kunde von uns einen vollen Monat (30 Tage) die Möglichkeit geben, dass neue Amateurgirl und die Verbesserungen auf unserem Portal bei ULTIMATECLUB auf Herz und Nieren zu prüfen. Deshalb erhalten Sie von uns einen kostenlosen Gutschein den Sie im Memberbereich aktivieren können. Dieses Gratisangebot erhalten nur Kunden von uns, die sich registriert haben. Es ist völlig kostenlos für diesen Monat, hierfür entstehen Ihnen keinerlei Kosten! Wir freuen uns auf Ihr Feedback.

Der Gutschein ist kostenlos, dafür entstehen keine Kosten. Weil er nichts kostet, was heißt, dass man nichts dafür bezahlt. Der Rest kostet gewiss, und zwar gesalzen. Und ob man dafür wohl etwas bekommen wird, das es da drüben bei YouPorn¹ nicht kostenlos gibt?

Ihr Gutscheincode lautet: 19ZMRLXWT5

Der einzige Code, den ich euch gebe, lautet: LMAA!

Ich wünsche Ihnen viel Spaß mit unseren Angeboten und sollten Sie eine Frage haben, wenden Sie sich über das Kontaktformular an unseren Support der für Sie 24/7 erreichbar ist. Sie erhalten diese E-Mail, da Sie sich für den Ultimateclub Newsletter angemeldet haben. Sie können sich hier jederzeit abmelden!

Das heißt auf Richtigdeutsch: Bitte seien sie so doof, einen Spammer für einen seriösen Anbieter zu halten. Diese Spam haben sie völlig ohne Grund erhalten.

Ihre Claire M. Mathes
Presidentin of Ultimateclub, Inc.

Wow! Eine Präsidentin! :mrgreen:

¹Wegen des Jugendschutzes in der BRD kann ich YouPorn leider nicht direkt verlinken. Aber die URL ist nicht schwierig zu erraten, wirklich nicht. Ich bin froh, dass es YouPorn gibt, denn ohne diese Site hätte ich derartige Spam in ähnlichen Fluten wie die Betrugscasinos und Pimmelapotheker.

R01EX Discount-1694

Freitag, 23. März 2012

R01EX Discount-1694 Click here!

Ein prächtiges Exemplar der Gattung Spam, dass ich selbst an mich selbst geschrieben haben soll – wer da nicht merkt, dass der Absender gefälscht ist, wird vermutlich auch einen Gülletank für einen Getränkeautomaten halten. Das ganze kombiniert mit etwas 13375P34K für Spammer im Betreff, dem dümmsten denkbaren Linktext, den man in einer HTML-formatierten Mail verwenden kann und einem Zählpixel, der zurückfunkt, dass die Spam unter dieser Adresse auch angekommen ist (hier natürlich nicht geladen).

Auch in den täglich auf dem Mailserver einbrandenden, stinkenden Fluten der Spam gibt es besonders miese Einzelstücke. So etwas wie diese Spam zum Beispiel…

Bestellbestätigung

Mittwoch, 29. Februar 2012

Aber ich bestelle doch gar nichts bei eBay. Und seit wann versendet eBay Mails mit dem Absender das (strich) schnelle (strich) geld (at) email (strich) counter (punkt) com?

Ihre Ware wurde versendet!

DHL Paketvervolgung

Überflüssig zu erwähnen, dass der Link nicht zu DHL führt, sondern in die obskure und zurzeit in der Spam massiv auftretende Domain email (strich) counter (punkt) com. Ganz wie gehabt, enthält die HTML-formatierte Spam auch wieder einen Webbug, so dass bereits das Anschauen der Spam reicht, um den Spammern mitzuteilen, dass die Spam auch angekommen ist.

Wer auf den Link klickt – da hängt ebenfalls eine eindeutige ID dran, um den Verbrechern mitzuteilen, dass die Spam ankommt – sieht eine angebliche Möglichkeit, durch Zocken in obskuren Internet-Spielhöllen „Geld zu verdienen“, die ich an anderer Stelle bereits beschrieben habe. Wer neugierig auf den kompletten Inhalt ist, kann ihn noch eine Zeitlang von BayFiles herunterladen – dass es sich um ein Machwerk von Kriminellen handelt und dass jedes Wort darin Lüge ist, habe ich ja schon erwähnt. Übers Internet ist der Dreck zurzeit nicht mehr verfügbar, weil die Website unter der Domain www (punkt) email (strich) counter (punkt) com zurzeit „abgeschossen“ ist. Normalerweise habe ich ja nur wenig Verständnis für eine DoS-Attacke, aber in diesem Fall wird durch die destruktive Vorgehensweise verhindert, dass weiterer Schaden entsteht.

Wie kommen die Spammer nur immer auf ihre tollen Ideen? Da bekommt jemand in gutem Glauben eine Spam, klickt rein und glaubt bei DHL zu landen. Und wenn er dann auf einer obskuren Betrüger-Site landet, die ihm erzählt, dass er durch Zocken reich werden kann, soll ihn diese Überrumpelung also dafür öffnen, ein so genanntes „Casino“ im Internet zu besuchen. Obwohl er gerade erst gesehen hat, dass er belogen wird. Es ist eine abenteuerliche, seltsame geistige Welt in den Hirnen der Spammer.