Category Archives: Internet

„Hello, you reached Interpol, how can we…“ *click*

Posted on by

Heute morgen wurden wir aus Indien mit Fakenews zu unserem Air-Gapped Windows-PC angerufen. 4 mal, beim 5ten mal passierte das hier 😀

„Hello, you reached Interpol, how can we…“ *click*

Irgendwie hat das Wort Interpol bei den Indern eine Allergische Reaktion hervorgerufen, ich konnte nicht mal meinen Fiktiven Namen nennen 🙂

Na gut, da bleibt wohl nur die Forensische Untersuchung. Dazu brauchen wir:

– eine Fritzbox

Denn, eine Fritzbox hat ein Funktion zum Herunterladen von Erweiterten Supportdaten für AVM, das machen wir uns zu nutze 🙂 Und Ihr müßt schnell sein, schon der nächste Anruf kann die Daten die wir brauchen, aus der Liste werfen.

Wie kommt man an die Daten ran?

Dazu loggt Ihr Euch in die Fritz!box ein, notfalls die erweitere Ansicht starten.

1) auf Inhalt klicken

2) auf „Fritz!Box Support“ klicken

3) und Daten speichern

Da sind jetzt jede Menge Daten drin, aber findet man da die richtigen. U.a. ist in den Daten die Anruferliste drin, da taucht die fiktive Nummer auf, die der Anrufer sich gegeben hat. Außerdem stehen die SIP Header der letzten Anrufe zur Verfügung, aber eben nur 3 oder 4, deswegen gleich machen 😉

Wenn Ihr weiter nach der Rufnummer sucht, dann stoßt Ihr zwangsläufig auf das hier:

2022-06-14 10:50:34.284 – IN: my=Fritz.box-IP%16:5060 peer=212.227.124.129 port=5060 UDP, sipiface=none:
INVITE sip:49meinenummer@meine-IP;uniq=4ED0D261308B18E3479371E6DE583 2.0
Via: SIP/2.0/UDP 212.227.124.129;branch=z9hG4bK558a.a1b3af1c4cb4a9d3db770f9c2540be30.0
Via: SIP/2.0/UDP 212.227.67.227;branch=z9hG4bK558a.43f57bddf2d907ac8e703c88816f28c8.0
Via: SIP/2.0/UDP 212.227.124.145;branch=z9hG4bK558a.0196cb5967141d39c551e1029d6b8409.0
Via: SIP/2.0/UDP 212.93.31.246:5060;branch=z9hG4bK1kv0so005gggdkea0210.1
Record-Route: <sip:212.227.124.129;lr=on>
Record-Route: <sip:212.227.67.227;lr=on;ftag=o6at64tt-CC-1067-OFC-1770;did=e18.5d83>
Record-Route: <sip:212.227.124.145;lr=on>
From: „+49458911245“ <sip:+49458911245@Versatel.de;transport=udp;user=phone>;tag=o6at64tt-CC-1067-OFC-1770
To: „+49meinenummer“ <sip:+49meinenummer@1und1.de;user=phone>
Call-ID: y6bosyszeetyiy769vbssneaa9yetzi6@10.18.5.64
CSeq: 1 INVITE
Contact: <sip:+49458911245@212.93.31.246:5060;user=phone;transport=udp>
History-Info: <sip:+49meinenummer@1und1.de>;index=1
History-Info: <sip:+49meinenummer@1und1.de;user=phone>;index=1.1;np=1
Max-Forwards: 59
P-Early-Media: supported
Supported: timer
Min-SE: 90
Session-Expires: 1800;refresher=uac
Allow: INVITE, ACK, OPTIONS, BYE, CANCEL, INFO, PRACK, NOTIFY, MESSAGE, REFER, UPDATE
Content-Type: application/sdp
Content-Length: 313

Die IP Adresse im Contact:-Header ist die des Anrufer, oder zumindest die, die er nach außen in dem Netz hatte. Er könnte ja auch per VPN drin sei, oder einen gehackten PC kontrollieren. Diese IP ist das einzige wahre an dem ganzen Anruf, denn um die Verbindung zu halten, müssen die SIP Pakete routebar sein, also kann man keine gefälschten IPs wie bei einem DDOS benutzen.

Mit den Daten oben könnt Ihr dann tatsächlich zur Polizei gehen und Anzeige erstatten, weil es hier tatsächlich einen Ermittlungsansatz gibt. Natürlich sind die Inder nicht wirklich in Deutschland, aber beim Provider der das SIP Gespräch an Euch durchgereicht habt, muß es auch Log zur echten IP geben, weil, wie gesagt, mit gefälschten Ips gehts nicht. Also ist da entweder ein gehackter PC / Telefonanlage im Spiel, oder ein VPN. Auf beides muß man mit IPs zugreifen. So oder so, tut ihr was Gutes 😉

Um die Anrufer aus dem obigen Beispiel kümmert sich die Kripo Wuppertal 😉

Follow-UP: „Hello, you reached Interpol, how can we …“ *click*

Florida Medical Educational Services missbraucht

Posted on by

Heute morgen erreichte mich eine Nachricht vom FMES, in der ich implizit informiert wurde, daß der FMES gehackt wurde. WTF ist der FMES???

FMES – Florida Medical Educational Services missbraucht

Ok, den FMES als „gehackt“ zu bezeichnen wäre vermutlich als Schweregrad des Cybervorfalls zu viel des Guten, einigen wir uns auf „missbraucht worden“. Das Registrierungsformular der Webseite scheint den angegebenen Benutzernamen nicht auf Validität zu prüfen und schickt dann „Sie haben sich erfolgreich angemeldet“-Emails an unschuldige Opfer, was dann so aussieht:

Message-ID: <a0a144bdf43122b651f881ea14ea579e@fmes.net>
Date: Sat, 14 May 2022 23:20:16 -0500
From: Florida Medical Educational Services <fmes@fmes.net>
Subject: You are registered successfully with FMES.net

Welcome to FMES

Your account information :Name : 🤍 Carolyn sent you a private message! View Message: https://sklbx.com/oy3x0ufO?m8d17 🤍 34m0nk

Username : dh89gl

Password : AOxG22YZyFhi

Phone : 412843779785

Die Seite des FMES ist bei genauerer Betrachtung eine Copy&Paste Seite aus den 90ern, aufgepeppt mit etwas Jquery, in dem noch Kommentare des echten Authors zufinden sind. Vermutlich ist der gesamte Security-Context auch per Copy&Paste erzeugt worden, also nicht existent. Die Email ist so schlecht gemacht, das nicht mal einTag im Body ist, obwohl die Email als TEXT/HTML markiert ist.

Sie hätten bei der Webseite vielleicht auf Profis setzen sollen 😉

Wer also von FMES.NET eine Email bekommt, kann die gleich ungesehen löschen.

Worst Fail 2022: zar@republika.ru

Posted on by

Was ist das eine, daß bei einer Betrugemails immer haben muß?  … Genau… und jetzt zum Worst Fail 2022 😀

Worst Fail 2022: zar@republika.ru

Ja, Verbrecher sind nicht die hellsten Köpfe, aber der hier fällt in die Kategorie der besonders dunklen Innenbeleuchtung 😀

To: Recipients <zar@republika.ru>
From: "KPMG Administration" <zar@republika.ru>
Subject:  Informationen Heute

Guten Tag,

Dieser E-Mail ist eine Originalkopie desselben Dokuments beigefügt, das vor einigen Tagen erfolgreich an Ihre Privatadresse geliefert wurde. 
Bitte überprüfen und befolgen Sie die darauf geschriebenen Anweisungen.

Hinweis: Wenn diese E-Mail nicht in Ihrem Posteingang angekommen ist, markieren Sie sie bitte als kein Spam.

Falls Sie Fragen oder Beratung benötigen, kontaktieren Sie mich bitte direkt unter den im Anhang angegebenen Kontaktdaten (Mo-Fr 8:00 bis 21:00 Uhr)#
oder antworten Sie einfach auf diese E-Mail.

Danke für Ihr Verständnis.

Mit freundlichen Grüßen,

Yuslay Milagros Suarez Lopez

KPMG Administration, EU Claims

Was stimmt hier wohl nicht? Genau: Kein Dokument dabei \o/

Damit ist diese Scammer-Email bislang der Worst Fail 2022 ! Dabei paßt das ins aktuelle Bild aus Russland, weil bekannt wurde, daß die jetzt Gefängnissinsassen als IT-Fachleute einsetzen wollen. Warum sitzen die wohl ein? Vielleicht, weil die erwischt wurden? 😉