Schlagwortarchiv „Schadsoftware“

Caution You have deferred mails diligent

Donnerstag, 3. Dezember 2015

Hey, Spammer,

wenn du schon so tun willst, als ob du YouTube wärst, dann solltest du vielleicht einen gefälschten Absender benutzen, der nicht in der Domain smartfella (punkt) com liegt, sondern irgendwas mit YouTube zu tun hat. Ich meine ja nur: Wenn du schon einen Absender fälschst…

Und vielleicht solltest du auch…

Screenshot der angeblichen E-Mail von YouTube mit dem Text: YouTube -- You have deferred mail. -- View mails. -- Cordially, YouTube team

…das richtige Logo von YouTube verwenden, damits wenigstens nach YouTube aussieht. Dann hättest du sogar eine kleine Chance, dass einige Menschen auf einen Link mit dem Linktext „View mails“ klicken, obwohl YouTube keinen eigenen Maildienst hat.

Unter der verlinkten Website gibts übrigens eine „kostenlose Sicherheitsüberprüfung“ von Browser und Computer durch Schwerkriminelle, und wenn die Möglichkeit besteht, wird eine üble Kollektion aktueller Schadsoftware installiert. Der Virenscanner schützt davor nur bedingt, aber ein Browser-Addon wie NoScript würde diese Übernahme des Computers unterbinden – es sei denn, jemand ist so blöd, und erlaubt der dann angezeigten weißen Seite, die mal wieder in einem gecrackten WordPress-Blog platziert wurde, die Ausführung von Skripten, obwohl nichts daran auch nur entfernt an YouTube erinnert. Gegen Dummheit hilft kein Addon und keine Schutzsoftware; NoScript hilft nur dagegen, dass jeder Webseite eines Unbekannten aus dem Web das Privileg eingeräumt wird, Programmcode im Browser auszuführen.

Ach, deshalb machst du das so, dass nur Dumme drauf reinfallen können, Spammer…

Du bist ja ein ganz Beschi… ähm… Gerissener!

Dein dich „genießender“
Nachtwächter

Wer sich gerade Ihre Website anschaut

Dienstag, 24. November 2015

Oh, da hat ja jemand ins Honigtöpfchen gegriffen…

Ja, diese Spam kommt auf Adressen an, die im Web „eingesammelt“ wurden. In diesem Fall war es sogar eine Adresse, die für menschliche Leser niemals sichtbar wird, sehr wohl aber für die Harvester-Skripten der Spammer.

Hallo, ich sehe, dass Ihre Website ein Plug-in zum Zählen der Besucher einsetzt.

Ich kenne deinen Namen nicht. Ich habe mir deine Website „angesehen“, aber das Impressum nicht gefunden. Ich war ja viel zu beschäftigt damit, zu gucken, ob da irgendein Statistik-Dingens drin ist. Ich war so beschäftigt damit, dass ich sogar entsprechende „Plugins“ dort gesehen habe, wo es sie definitiv nicht gibt¹. Denn meine Spam ist Schrotmunition. Wenn ich nur bei einem Zehntel der im Web eingesammelten Mailadressen zufällig treffe und wenn von diesem Zehntel der Empfänger ein Hundertstel so blöd ist, darauf reinzufallen, habe ich schon gewonnen – denn ich kann meine ohne Spam nicht weggehenden „Inhalte“ über die Websites anderer Leute verteilen.

Denn ich habe, tam tam tam, ein großartiges Angebot für dich: Lass meinen Code in deiner Website laufen! Ich bin nur Spammer, da kann also nichts passieren.

Darf ich Ihnen ein weiteres Plug-in ans Herz legen, mit dem Sie gleichzeitig den oder die Besucher Ihrer Website sehen können? Probieren Sie es doch einfach mal auf Ihrer Website aus.
Dies ist der Code:
http://tool.kindprotect.xyz/tools/ref/?mailurl=10

Und weil ich mich wirklich nur an die Dümmsten der Dümmsten der Dümmsten richte, behaupte ich einfach, dass man damit die Besucher einer Website sehen könne. Versteht ihr? Das müsst ihr euch einfach so vorstellen, dass sich mein Butt-Plug… ähm… Plug-in auf die Datenleitung stellt und eure Besucher dazu auffordert, den Internetausweis vorzuzeigen und ein Foto machen zu lassen, das ihr euch angucken könnt.

So, und jetzt klickt schon in die Spam! Und dann schaut euch an, was ich euch tolles anzubieten habe! Dazu kann niemand „nein“ sagen! Füg Code von einem Spammer in deine Website ein, erlaub dem Spammer darüber das Platzieren beliebiger Inhalte sowie das Einbetten beliebigen Javascript-Codes innerhalb deiner Website! Ist ja nur ein Angebot von einem Spammer… was kann da schon schiefgehen…

Vielen Dank
Martin Horak
kindprotect.xyz

Auch, wenn es so bliebe, wie im Moment – ich als angespammte „Zielgruppe“ dieses Bauernfangs habe auf die Inhalte der Server anderer Leute ja nicht den geringsten Einfluss – und wenn ich über diesen IFRAME und den zugehörigen Link „nur“ einen SEO-trächtigen Link auf eine Website eines Spammers setzte, wäre mir das schon zuviel. Zumal die „Besucheranzeige“ sogar dann Besucher anzeigt, wenn sie einfach nur ohne Referer² aufgerufen wird und somit gar keine Information darüber hat, für welche Site sie die Infos anzeigen soll. Oder kurz gesagt: Das Ding sieht schon auf dem zweiten Blick wie ein nutzloses Blendwerk aus, aber die Öffnung der eigenen Website für Spammer und das Setzen von Spamlinks für Suchmaschinen bleibt von der völligen Nutzlosigkeit unberührt bestehen. Wer auf diesen Spammer reinfällt, hat nichts davon, wird aber selbst zum Spammer!

Ach, und um auch diese Frage noch zu klären: Was ist das überhaupt für eine Website, die da mit Spamlinks in den Suchmaschinen nach oben gebracht werden soll? Nun: Im Moment ist diese Website leer. Es handelt sich um ein Gerüst ohne Inhalte. Diese werden wohl erst später kommen, wenn die E-Mail-Spam zu tausenden von Links geführt hat – und auch, wenn ich mit dieser Anmerkung langweile: In der Bundesrepublik Deutschland kann man für Links auf kriminelle Websites haftbar gemacht werden. Angesichts der Spam und der gesamten Vorgehensweise kann ich nur strikt davon abraten, diesen Spammer mit seinem wahrscheinlich nutzlosen Statistik-Blendwerk zu verlinken.

¹Ich verwende seit einigen Monaten gar keine Statistiken mehr; ja, ich werte nicht einmal mehr die Logdateien des Webservers aus, wie ich es früher jahrelang gemacht habe, um Aufschluss darüber zu bekommen, welche Themen zurzeit auf Interesse stoßen (und: Welche Spams gerade wieder bei anderen umlaufen). Was ich beibehalte, ist ein Skriptchen, das an einigen Stellen öffentlich die Anzahl der Besucher anzeigt.

²Die korrekte Schreibweise ist „Referrer“, der lustige Rechtschreibfehler ist vor vielen Jahren Bestandteil des HTT-Protokolls geworden. Wenn ich mich – wie hier – auf das HTT-Protokoll beziehe, verwende ich immer die falsche Schreibweise aus diesem Protokoll, um das Verständnis zu erleichtern.

Attention, You have deferred mails seducer

Samstag, 21. November 2015

Vor jedem anderen Wort: Diese E-Mail…

Screenshot der Phishing-Mail

…kommt natürlich nicht von Skype. Sie hat niemals einen Server von Microsoft gesehen. Mein Exemplar wurde von einer dynamischen IP-Adresse eines italienischen Zugangsproviders aus versendet, stammt also mit an Sicherheit grenzender Wahrscheinlichkeit von einem mit krimineller Schadsoftware übernommenen Privatrechner.

Die Spam ist auch bei mir angekommen. Ich habe kein Microsoft-Konto, und ich habe niemals in meinem Leben Skype benutzt oder mich dafür registriert – ich bevorzuge nämlich Kommunikationskanäle, die dezentral sind und keine eingebaute Abhörschnittstelle haben.

Skype

Aha, du willst „Skype“ sein? Dein gefälschter Absender kam aber aus der Domain cramco (punkt) com. Ich meine ja nur: Wenn du schon einen Absender für deine kriminellen Drecksspams fälschst, kannst du das ja eigentlich auch ein bisschen überzeugender machen… ach, geht nicht, weil du ein dummer Vollpfosten bist? Na gut, dann bleib eben dumm, Spammer! Schade, dass man daran meist nur langsam stirbt.

You have deferred mail.

Aha, ich habe also keinen Namen, mit dem ich bei Skype registriert bin. Und verzögerte Post. Sehr überzeugend, vor allem, wenn der…

View mails.

…klicki klicki Link gar nicht zu Skype oder zu Microsoft geht, sondern in das Include-Verzeichnis eines mit einem Crack übernommenen WordPress-Blogs, das in griechischer Sprache geführt wird. Freundlicherweise hat der Hoster dieser Website auf einen Hinweis hin ganz schnell die kriminelle Scheiße weggemacht, aber es steht zu befürchten, dass du gerade tausende WordPress-Blogs gecrackt und in Phishing-Sites und Schadsoftwareschleudern verwandelt hast.

Von einem Klick kann ich übrigens nur abraten, denn die „kostenlose Sicherheitsüberprüfung“ und die Übernahme des Computers durch Kriminelle, wenn eine ausbeutbare Lücke auf dem Computer besteht, kommt gleich hinterher. Derartige Überrumpelungen sind oft tagesaktuell, so dass das (eh schon fragwürdige) Antivirus-Programm versagt. Dagegen hilft übrigens – neben der Benutzung möglichst aktueller Software und eines möglichst aktuellen Betriebssystemes – nur ein Browser-Addon wie NoScript zusammen mit der Browsereinstellung, dass Plugin-Inhalte erst nach explizitem Klick aktiviert werden. Unter den Bedingungen der voll entwickelten und technisch kompetenten Internet-Kriminalität der Zehner Jahre ist es einfach eine unfassbar dumme Idee, jeder übern Weg laufenden Website aus einem anonymisierenden Medium zu gestatten, dass sie Skriptcode im Browser ausführen kann. Es handelt sich schlicht um eine der ganzen Welt zur Verfügung gestellte Schnittstelle, Programme auf beliebigen Computern laufen zu lassen – weder Werber mit ihren gesteigerten „Bedürfnissen“ der klandestinen Rezipientenüberwachung noch Verbrecher mit ihren gesteigerten „Bedürfnissen“ nach Geld, Mailadressen, Kontakten, Namen, Anschriften, Bankkonten und Internetaccounts anderer Menschen können diesem Angebot widerstehen.

Cordially
Skype team

Wenn du Bratschädel, Matschbirne und Zwielichtgestalt das Skype-Team bist, dann ist mein Blog hier aber Hochliteratur! 😀

© 2015 Skype and/or Microsoft. The Skype name, associated trade marks and logos and the „S“ logo are trade marks of Skype or related entities. Skype Communications S.a.r.l. 23-29 Rives de Clausen, L-2165 Luxembourg.

So so, das bescheuert-einschüchternd proklamierte Urheberrecht auf eine Spam liegt also bei Skype und/oder bei Microsoft… vielleicht liegt es ja noch und/oder ganz woanders oder gar dazwischen.

Payment Details.

Dienstag, 3. November 2015

Danke, mit Punkt am Ende des Betreffs. Sicheres Spammerkmal, automatisch aussortierter Müll. Bitte so weitermachen, Spammer!

FYI,

I made the payment conforming to the proforma invoice on behalf of our sister company. I am attaching the proof of the payment.

keep me updated as soon as you confirm payment.

Kind Regards
Susanne Sцhngen
Address: West Quarter. Lime Street. N: 4 Apartment 22
Pendik / ISTANBUL
Turkey.
Tel: 0296 310 xxxx
Web: www.yadadanismanlik.com

Aha, ich habe also Geld überwiesen bekommen. Von jemandem, der aus der Türkei kommt, aber beim Mailschreiben die kyrillische Codepage verwendet und deshalb „Sцhngen“ mit Nachnamen heißt. Von jemandem, der eine schnell rausgesuchte Adresse angibt, aber nicht einmal den Namen desjenigen zu sagen weiß, dem da Geld überwiesen wurde. Und alles Nähere zu diesen Nullaussagen mit vielen Worten steht dann im Anhang.

Ihr kennt das Muster.

Der Anhang ist… nein, diesmal kein ZIP-Archiv, sondern ein PDF¹. Das ist das Neue daran.

Und da steht nicht etwa drin, um was es geht, sondern darin steht in grafischer Form eines der beliebtesten Textfragmente der Spammer und Reklameidioten, das ansonsten von lebenden und fühlenden Menschen wegen seines impliziten Unsinns niemals getippt wird:

Click here!

Wer auf diesen (oder einen ähnlich doofen) Text klickt, nur, weil man darauf so fein klicken kann, der lasse alle Hoffnung fahren!

Der Link zum angeblich sicheren Anschauen der Datei geht in die Domain freetoair (punkt) ru, und dort erhält man keineswegs nur die Möglichkeit…

Screenshot der Phishing-Seite für Adobe-IDs

…Kriminellen eine Kombination aus Mailadresse und Passwort zu geben. Zusätzlich läuft im Hintergrund ein beachtlicher und für mich auf die Schnelle² nicht zu analysierender Javascript-Apparat ab:

Screenshot der Quelltext-Ansicht des Firefox mit dem vorsätzlich kryptisch formulierten Javascript aus der vorgeblichen Phishing-Seite

Der „kostenlose Sicherheitstest“, der hier von Kriminellen auf den Webbrowser losgelassen wird (und beim Auffinden einer ausbeutbaren Lücke von einer Übernahme des Computers durch Kriminelle gefolgt wird), wird zurzeit von den meisten Antivirus-Schlangenölen nicht als Bedrohung erkannt.

Wer hingegen schlau ist, sich deshalb nicht auf ein Antivirus-Schlangenöl verlässt und mit einem Browser-Addon wie NoScript dafür sorgt, dass nicht jeder dahergeklickten Website das Privileg eingeräumt wird, Programmcode im Browser auszuführen, ist vor solchen Attacken über den Browser weitgehend geschützt – übrigens auch, wenn diese besser vorgetragen werden als in dieser schlecht gemachten Spam. Etwas mehr darüber, wie man seinen Computer absichert (und warum Antivirus-Schlangenöl dabei – im Gegensatz zu den irreführenden und erlogenen Behauptungen in der Reklame – nicht die größte Rolle spielt) habe ich auf meiner Homepage geschrieben.

¹Ihr wisst ja: auf keinen Fall, niemals und bloß nicht Anhänge aus Spams öffnen! Das bisschen befriedigte Neugierde ist den möglichen Ärger nicht wert. Ich habe dieses PDF übrigens betrachtet, indem ich es in Gimp importiert habe… und selbst das noch auf einem besonders gesicherten System. Generell rate ich davon ab, den Adobe Reader zum Lesen von PDFs zu benutzen. Nehmt bitte lieber ein reines Anzeigeprogramm wie Evince (das ist natürlich mein Favorit), das keinen Code anderer Leute auf eurem Computer ausführt, wenn ihr nur lesen wollt. Praktisch jedes PDF, das mir in die Hände kommt, kann ich mit Evince lesen – die einzige Ausnahme war ein Handbuch, das mir vor etwa fünf Jahren übern Weg gelaufen ist. Zum Glück ist es kein Problem, in so einem Fall einfach den fetten, gefährlichen, überkomplexen und bei Kriminellen für Angriffe äußerst beliebten Adobe Reader zu verwenden…

²Um den ausgesprochen kryptisch gecodeten Wust auf der Seite zu durchsteigen, brauchte ich einige Wochen! In denen ich nichts anderes mache! Das ist ausgefeilte, kriminelle Brut! Darüber hinaus sieht auch das verwendete CSS teilweise verdächtig aus, weil kleine grafische Elemente eine auffallend große, base64-codierte Repräsentation haben, als ob Codeausführung durch Bufferüberläufe in Browsern getriggert werden sollte. Dagegen schützt übrigens nur die ausschließliche Verwendung aktueller Software.

You have missed notifications contemporary

Dienstag, 3. November 2015

Oh, „YouTube“ kann ja sein eigenes Logo gar nicht mehr. Und der Absender „YouTube Notifier“ verwendet die Absenderadresse cwei (at) mail2hot (punkt) com und keine Adresse in der Domain von YouTube. Und der explizit eingetragene Name des Empfängers ist nicht etwa der bei YouTube verwendete Name, sondern unnötigerweise noch einmal die Mailadresse des Empfängers.

Ich glaube, dass niemand auf diese Spam reinfallen kann, der seine fünf Sinne beisammen hat. Die verlinkte Website wird leider zurzeit von den meisten Antivirus-Programmen nicht als Schadsoftwareschleuder erkannt, aber vor einem Klick kann ich nur warnen. Sie enthält unsichtbare Inhalte und eine in Javascript gecodete Weiterleitung auf eine Website, die sich schon eine beachtliche „Reputation“ als betrügerisch, illegal, virusverseucht und spambeworben abgeholt hat und deshalb auf mehreren einschlägigen Blacklists steht – nur die Antivirus-Schlangenöle versagen in ihrer Mehrzahl beim Erkennen dieser Website als kriminelle Dreckschleuder. Das Problemchen mit den Blacklists ist ja auch der Grund, warum in den Spams ein Link in ein gecracktes WordPress-Blog gelegt wurde, das dann dorthin weiterleitet…

Und deshalb klickt man übrigens niemals in eine Spam.

Wer so schlau ist, nicht jeder dahergelaufenen Website das Ausführen von JavaScript zu gestatten und mithilfe eines geeigneten Addons dieses Privileg nur für vertrauenswürdige Sites einschaltet, kann übrigens gar nicht auf diese Weise überrumpelt werden – und ist generell viel sicherer im Web unterwegs. In diesem Fall hätte es nur eine weiße Seite gegeben.

Warum man immer mit Adblocker surft!

Freitag, 23. Oktober 2015

Hier geht es nicht um eine Spam, sondern um einen Hinweis auf eine aktuelle Meldung bei Heise Online:

Besucher der Webseiten arcor.de, ebay.de und t-online.de können sich mit den Exploit-Kits Angler und Neutrino infizieren, warnen Sicherheitsforscher von Malwarebytes. Aktuell soll eine von Unbekannten initiierte Malvertising-Kampagne die Exploit-Kits verteilen

Die Benutzung eines Adblockers verhindert eine derartige Übernahme des Computers durch Kriminelle an der Wurzel, und das selbst dann, wenn die konkret verwendete Schadsoftware bei den Herstellern von Antivirus-Schlangenölen noch nicht bekannt ist. Adblocker sind unverzichtbare Schutzsoftware zum Aufrechterhalt der Computersicherheit – und die Gefahr durch schadsoftwareverseuchte Ads kann einem selbst auf renommierten und hoch angesehenen Websites wie etwa der Website von Arcor, Ebay oder T-Online begegnen. Wer dazu auffordert, Adblocker abzuschalten, damit sein Geschäftsmodell besser funktioniert, ist ein Komplize der organisierten Kriminalität. Das gilt auch für journalistische Produkte.

Sie würden doch aucn nicht ihr Antivirusprogramm abschalten, weil sie ein dahergelaufener, anonym bleibender Websitebetreiber darum bittet, oder? Lassen sie sich bitte niemals, niemals, niemals von Journalisten und Presseverlegern zu einer derartigen Dummheit hinreißen, surfen sie grundsätzlich nur mit einem guten, funktionierenden Adblocker! Ich empfehle übrigens uBlock Origin.

Und wenn sie schon einmal dabei sind, installieren sie bitte auch gleich einen wirksamen JavaScript-Blocker, um nicht jeder irgendwann einmal angesurften Website das Privileg einzuräumen, Programmcode innerhalb ihres Browsers aus ihrem Computer auszuführen! Ansonsten haben sie nämlich auch recht schnell einen Rechner anderer Leute auf dem Schreibtisch stehen, und das Antivirus-Schlangenöl erweist sich erschreckend oft als nutzlos dagegen.

New voicemail 3:35AM

Freitag, 16. Oktober 2015

Wer schreibt denn da?

Von: Whats App <er (punkt) steinnn (at) csu (strich) landtag (punkt) de>

Bwahahahaha!

Muss ich noch erklären, dass diese toll gestaltete HTML-Mail…

…mit einer angeblichen „New voice message“ eines leider völlig unerwähnten anderen Menschen nicht von WhatsApp kommt? Wenn die Spammer sogar zu doof sind, sich beim Fälschen des Absenders etwas einigermaßen überzeugendes auszudenken, ist es wirklich leicht, niemals auf eine Spam reinzufallen. (Aber Achtung! Viele Spammer machen es viel besser!)

Der Klick auf „Play“ führt dann auch nicht zu WhatsApp, sondern in die Domain lovelessknives (punkt) com. Wer darauf klickt, lasse alle Hoffnung fahren! Erstmal gibt es eine Weiterleitung, die natürlich nicht in Klartext formuliert ist, sondern schön undurchschaubar mit JavaScript und einem bisschen „Kryptografie“ aus dem Spamkindergarten erledigt wird:

Diese lustig formulierte JavaScript-Weiterleitung führt in die Website der Domain naturalherbsoutlet (punkt) ru, und das, was man dort zu sehen bekommt, ist eine der vielen Inkarnationen der Betrugsnummer „Canadian Pharmacy“ – eine kanadische „Apotheke“ in der russischen TLD, die eher nichts gegen Erkältungsbeschwerden zu verkaufen hat:

Aber warum sollte jemand, der glaubt, gleich nach dem Klick eine WhatsApp-Nachricht zu hören, jetzt auf einmal Interesse an Pimmelpillen bekommen? Richtig, das ist schon ein bisschen verdächtig. Deshalb ist wohl die Website auch als „attackierend“ gemeldet und wird in den meisten Browsern nur noch angezeigt, wenn man einen auffälligen alarmroten Hinweis wegklickt, dass man das Risiko eingeht. Ich konnte zwar keine Anzeichen für einen Angriff erkennen, aber ich habe hier auch nicht durchanalysiert und außerdem keinen Standard-Browser verwendet, so dass entsprechender Code möglicherweise gar nicht erst ausgeliefert wird. Links aus einer Spam sind in keinem Fall vertrauenswürdig und können schnell einen Ärger verursachen, der in keinem guten Verhältnis zur befriedigten Neugierde steht. Wer in seinem Browser keinerlei Vorkehrungen trifft, wer also nicht mindestens ein Browser-Addon wie NoScript verwendet, kann nach einem einzigen Klick in eine Spam – die keineswegs so leicht als Spam erkennbar sein muss wie in diesem Beispiel – einen Computer anderer Leute auf dem Tisch stehen haben, denn die Verbrecher sind auf neuestem technischen Stand. Ein so genanntes „Antivirusprogramm“ hilft dagegen eher nicht, es erkennt nur schon bekannte Schädlinge und Angriffe, und niemals die frischeste Brut der Kriminellen. Nicht einmal seinen Hersteller kann ein so genanntes Antivirus-Programm schützen!

Diese Spam ist ein Zustecksel meines Lesers E.T.

Warum Adblocker auch weiterhin unverzichtbar sind

Donnerstag, 8. Oktober 2015

Keine Spam, nur ein Hinweis auf einen Artikel bei Heise Online:

Doch wie kommen die Opfer überhaupt in Kontakt mit den Angler-Servern? Meistens arbeiten die Täter mit iFrames oder Werbeschaltungen. Talos fand die bösartige Werbung auf großen Nachrichten-, Immobilien- und Popkultur-Webseiten.

Wer immer noch ohne Adblocker im Web unterwegs ist, sollte es ganz lesen! Heise Online: Exploit-Kit Angler macht Millionen mit Erpressungs-Trojanern. Und danach unbedingt und möglichst sofort einen Adblocker installieren, der für die Computersicherheit beim täglichen „Surfen“ wesentlich wichtiger als ein Antivirus-Programm ist! Außerdem ist er sehr schnell installiert, kostet nichts und macht das ganze Web viel schneller und schöner. Ich empfehle (und verwende selbst) uBlock Origin.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.