Endlich, jemand verschickt Würstchengutscheine per Email. Vermutlich sollen wir dann die der Email beigefügte Zip Datei an den 3D-Proteindrucker weiterleiten, der uns sodann eine Würstchenprobe ausdruckt. So, aber vermutlich nur so ähnlich, hatten sich das die Sender der jüngsten Virenemail wohl gedacht :

Zur Eröffnung bekommen Sie einen Gutschein für kostenlose Würstchen von uns geschenkt.
Gutscheinnummer: 8E9661EA41243E
Gültigkeit: bis 21.05.2014

Mit freundlichen Grüßen,
Carolin Scheffler
+0174-932-8785

Zur Analyse:

Diese Email hält mal wieder eine nette Kleinigkeiten bereit:

Return-path: <gutschein@gordons-vom-gauhof.de>
Delivery-date: Mon, 12 May 2014 08:24:39 +0400
Received: from [213.110.89.146] (helo=host-213-110-89-146.icom.lv)

Message-ID: <trenail$emis7n8gxb@gordons-vom-gauhof.de>
Date: Mon, 12 May 2014 09:12:16 +0400
From: gordons-vom-gauhof.de>
X-Mailer: Disgustful v4.3

Natürlich paßt der Server, der die Email verschickt hat, von der Länderkennung her nicht zur Domain des Absenders. Der Server steht in Lettland, will aber Deutscher sein.  Es gibt natürlich auch deutsche Firmen, die sich ausländischer Dienstleister bedienen, auch wenn Sie nicht sollten 😉

Der Name des Programms, daß die Email abgeschickt hat und sich im X-Mailer-Header als Disgustful v4.3 geoutet hat, trifft die Situation voll: ekelhaft v4.3. Soviel ironische Selbstkritik ist natürlich einer genauerer Analyse zu unterwerfen.

Wie müßte ein Programmierer drauf sein, damit er sein für kriminelle Zwecke bestimmtes Programm ekelhaft nennt?

Der Entwickler findet sein Produkt entweder ekelhaft oder den Zweck für den es eingesetzt wird. Das bedeutet, daß was auch immer er macht, nicht seine Zustimmung findet. Also entweder tut er das, weil er sonst keine Einnahmen hat, oder weil er dazu gezwungen wird. Da Programmierer versuchen Ihre Programme mit der Zeit immer weiter zu verbessern und es sich um Version 4.3 handelt, wird schon eine Menge Zeit in dieses Programm investiert worden sein. Der Name bezieht sich also nicht mehr auf die Qualität des Codes, denn der würfte in V4.3 schon stark verbessert worden sein.

Gehen wir mal von mehreren Wochen aus, bis Version 4.3  fertig war. In der Zeit hätte jemand, der nur aus Geldnot handelt, bestimmt schon anderweitig einen Job als Entwickler gefunden, selbst wenn es nur ein Geringverdiener Job ist. Wir können also davon ausgehen, daß er jetzt dazu „gezwungen“ wird mit zu machen. Dafür gibt es zwei mögliche Gründe. Er ist dort hinein geschlittert und kann jetzt nicht mehr raus, weil man ihm droht ihn zu verpfeifen, oder er wird durch etwas anderes unter Druck gesetzt. In beiden Fällen, werden wir ohne noch eine V4.4 sehen.

Das Übliche:

Das ZIP ist zur Tarnung des Virus/Trojaners angefügt, also ab in die Tonne mit der Email.