Wir erpressen Sie jetzt mal..oder so :D

Herzlich Willkommen zu einer neuen Ausgabe von „Erpresser – Man muß sie einfach gern haben“ .. wieso? na weil ich dann wieder was zu schreiben habe und Ihr was zu Lachen 😀

Kommen wir zu dieser Erpresser-Spam:

Ich markiere mal die Anekdoten farblich…

Return-path: <junko@kotorinouta.com>
Envelope-to: <#### eine unserer echten Adressen####>
Delivery-date: Mon, 08 Jul 2019 11:44:24 +0200
Received: from www1765.sakura.ne.jp ([112.78.112.75])
	by XXXXXXXXXXX.de with esmtps (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
	(XXXXXXXXXXXXXXXXXXXXXXXXXX)
	(envelope-from <junko@kotorinouta.com>)
	id XXXXXXXXXXXXXXXXX
	for <#### eine unserer echten Adressen####>; Mon, 08 Jul 2019 10:44:23 +0200
Received: from [127.0.0.1] (dynamic-189-45-26-22.webnet.psi.br [189.45.26.22])
	(authenticated bits=0)
	by www1765.sakura.ne.jp (8.15.2/8.15.2) with ESMTPSA id x585vAi13157658
	(version=TLSv1 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO)
	for <#### eine unserer echten Adressen####>; Mon, 8 Jul 2019 17:44:21 +0900 (JST)
	(envelope-from junko@kotorinouta.com)
To: <#### eine unserer echten Adressen####>
From: Mylah <junko@kotorinouta.com>
MIME-Version: 1.0
Message-ID: <2b514q3322k452d@kotorinouta.com>
Content-Transfer-Encoding: quoted-printable
Content-Type: text/plain; charset=UTF-8
Date: Mon, 8 Jul 2019 12:56:54 +0300
List-Help: <http://friend.kotorinouta.com/help/forsubscribers>
X-EVENT_NAME: trxzzkst
X-Virus-Flag: YES
Subject:  Security Alert. Your accounts were hacked by a criminal group.

Hello!

I am a hacker who has access to your operating system.
I also have full access to your account.

I've been watching you for a few months now.
The fact is that you were infected with malware through an adult site =
that you visited.

If you are not familiar with this, I will explain.
Trojan Virus gives me full access and control over a computer or other=
 device.
This means that I can see everything on your screen, turn on the camer=
a and microphone, but you do not know about it.

I also have access to all your contacts and all your correspondence.

Why your antivirus did not detect malware?
Answer: My malware uses the driver, I update its signatures every 4 ho=
urs so that your antivirus is silent.

I made a video showing how you satisfy yourself in the left half of th=
e screen, and in the right half you see the video that you watched.
With one click of the mouse, I can send this video to all your emails =
and contacts on social networks.
I can also post access to all your e-mail correspondence and messenger=
s that you use.

If you want to prevent this,
transfer the amount of $500 to my bitcoin address (if you do not know =
how to do this, write to Google: "Buy Bitcoin").

My bitcoin address (BTC Wallet) is:  3HsB65YE6xgdt6x8Nnrxjck1YMNK1kMka=
L

After receiving the payment, I will delete the video and you will neve=
r hear me again.
I give you 50 hours (more than 2 days) to pay.
I have a notice reading this letter, and the timer will work when you =
see this letter.

Filing a complaint somewhere does not make sense because this email ca=
nnot be tracked like my bitcoin address.
I do not make any mistakes.

If I find that you have shared this message with someone else, the vid=
eo will be immediately distributed.

Best regards!

Solche Emails gibt es ja zu Hauf, der braucht man inhaltlich keine große Aufmerksamkeit schenken. Wir schauen uns mal an, was wir so über den Möchtegernerpresser herausbekommen:

1. Die Einlieferung der Email stammt aus Brasilien, DSL Anschluß, ergo gehackter PC oder seine echte IP 🙂

from [127.0.0.1] (dynamic-189-45-26-22.webnet.psi.br [189.45.26.22])

2. Was auch immer da per SMTP die Email in Japan eingeliefert hat, es hält nicht viel von moderner Software:

(version=TLSv1 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO)

3. Es handelt sich möglicherweise um eine Mailingliste bei einer Kinder-Sozialhilfe:

List-Help: <http://friend.kotorinouta.com/help/forsubscribers>

Google kennt zu der Domain folgende Info:

Poesie-Kindergarten für das Sozialhilfswerk Koori no Uta-Kindergarten Chigasaki-Stadt, privater Kindergarten der Präfektur Kanagawa

Also ein ziemlich fieser Charakter dieser Erpresser, wenn er einen Kindergarten als Tarnung für seine Aktivitäten benutzt.

4. Offensichtlich hat der Erpresser auch von der Technik keine Ahnung:

Filing a complaint somewhere does not make sense because this email cannot be tracked like my bitcoin address. I do not make any mistakes.

Der erste Fehler war, die Email an uns zuschicken. Fehler Nummer 2, natürlich kann man Emails bis zur Sender IP  verfolgen, wobei man das gar nicht muß, da uns der Erpresser freundlicherwiese seine Bitcoinadresse genannt hat

Bitcoin Adressen, und damit Bitcoins, lassen sich durch die Blockchain tracken, egal ob Bitcoin Mixer im Spiel sind oder nicht. Die Blockchain ist nicht anonym und der Benutzer auch nicht, im Gegensatz zu echtem Bargeld, das ist bis auf die Fingerabdrücke und DNS Spuren anonym! Es ist nämlich im wahrsten Sinne waschbar 🙂

Wenn man Bitcoins waschen will, muß man damit ins Spielcasino gehen. in China nehmen viele Casinos auch Digitales Geld an und man muß es ja nicht zwangsweise verlieren 😉

Es hat wohl noch niemand bezahlt

Stand 13:30 Uhr hat wohl niemand etwas auf dieses Konto überwiesen, was mich nicht wundert, die Scamwelle schappt ja schon seit jetztem Sommer durchs Netz:

https://www.blockchain.com/de/btc/address/3HsB65YE6xgdt6x8Nnrxjck1YMNK1kMkaL

oder auch

https://www.bitcoinabuse.com/reports/3HsB65YE6xgdt6x8Nnrxjck1YMNK1kMkaL

Wie immer …

Ab in die digitale Müllhalde damit!

Games: Sam & Max sind wieder da!

Wie wir aus informierten Kreisen erfahren haben, sind die brutalsten Ermittler der 80er und 90er Jahre wieder im Einsatz. Diesmal ermitteln Sie gegen die Untergrundmafia. Ermittler Max dazu: „Dieser Hamster fühlt sich bereits an wie Gummi!“ Das verwundert kaum, da besagter Hamster bereits seit über 4 Stunden in der Hand des als gewaltbereit geltenden Max ist. Zeugen des Verhöres konnten ein Bild aus dem Tollhaus schmuggeln:

Weiterhin wurde bekannt, daß ein bekannter Mediziner in die Ermittlungen von Sam & Max involviert ist. Der als verschroben geltende Doktor betreibt ein erfolgloses Landhotel in der Nähe von Freelance, in dem einst der Strom entdeckt wurde und einige andere, etwas bizzare Dinge. Doktor E. , dereinst von dem Physikstudenten B.B. aus Freelance, eines Umweltverbrechens überführt, scheint heute als Unschuldiger in den Akten geführt zu werden, was bezweifelt werden darf, traut man den Insiderinformationen einer gewissen Laverne, nebenfalls von Beruf Studentin.

Im Fokus der Ermittlungen steht ein Hamster, der ohne Beweise von Sam & Max in einem der Hotelzimmer verhört wird. Dies wird solange der Fall sein bis laut Sam: „Jemand einen anderen Verdächtigen beschafft.“ Wir wissen nicht, wer diesen Verdächtigen „besorgen“ soll. Kennen Sie zufällig so jemanden?

Hallo und herzlich willkommen zu …


…dem Prologue zum Fanspiel von David Schornsheim und Stefanie Enge. Ihr hattet jetzt Sam & Max II erwartet oder? Reingelegt 🙂 Aber, die kommen natürlich auch vor, sonst hätte ich das nicht erwähnt 😉 Das Spiel ist für Linux verfügbar, da es mit der Unity Engine gemacht wurde, die für alle Majorplattformen eine Version erstellen kann. Wer sich ein Bild von der Sache machen will, kann sich ein kleines Let’s Play von mir ansehen. Lediglich die erste halbe Stunde wird gezeigt, das noch nicht ganz fertige Spiel dauert aber bequem 2 Stunden und hält eine Reihe von wahnsinnigen Stunts bereit 😀

Der inoffizielle Nachfolger von Day of the Tentacle  macht dem Original alle Ehre und kommt in moderner 3k Auflösung daher, die man aber auf eigenen Wunsch hin, wieder in die Zeit der 80er Jahre verwandeln kann 🙂 Genau wie in Day of the Tentacle dreht sich alles um zeitreisende Hamster, ein verschrobenes Genie, dicke Bandmitglieder und eine Lila Tentakel! Das Nicht-Seefood will wieder die Welt erobern und ist noch mächtiger und böser als im ersten Teil, denn diesmal steht auch das Schicksal des Universums auf dem Spiel! Gemäß dem Schurken Motto: „Die Welt ist nicht genug!“

Genug der Worte, lasst Bilder sprechen !! Mu har har !!!

 

Return of the Tentacle ist noch nicht ganz fertig, da die zweite Hälfte des Spiel noch in der Mache ist. Bis dahin haben wir aber locker 2 Stunden Spielspaß vor uns! Wer Day of the Tentacle kennt,  wird sich gleich richtig zurecht finden, besonders da die Steuerung des Spiel sagenhaft einfach geworden ist. „Nimm“ „Gib“ „Benutze“ usw. sind einer intuitiven Maussteuerung gewichen, was leider zum einzigen Schwachpunkt des Spiels wird: Touchpads, und damit Tablets, kann man leider nicht benutzen.

Wer das (unfertige) Spiel downloaden will, kann das hier tun:

https://catmic.itch.io/return-of-the-tentacle

Neben Deutsch und Englisch als Tonspur sind eine Menge übersetzte Untertitel für eine Vielzahl von Sprachen verfügbar.

Ich wünsche allen ganz viel Spaß mit dem Spiel! Und DANKE an die Macher!

IoT, das Smart-Home und die Realitäten

Ist doch immer wieder komisch oder, man kann sich als Eingeweihter in die Netzwelt tausendmal gegen IoT aussprechen, die Leute machen es trotzdem, fallen auf die Nase und machen weiter, als wenn nichts gewesen wäre.

Angefangen mit dem berühmten Spam-Kühlschrank:

https://www.it-business.de/kuehlschrank-versendet-spam-mails-a-430696/

aus denen keiner gelernt hat, über Smarte Alarmanlagen, die es Einbrechern leicht machen:

https://www.heise.de/security/meldung/Sicherheitsluecke-in-Alarmanlagen-von-ABUS-und-Climax-3247868.html

bis zum Milliarden Datenleak des chinesichen Smart-Home-Anbieters Orvibo:

https://www.golem.de/news/datenleck-smart-home-datenbank-mit-2-milliarden-eintraegen-im-internet-1907-142375.html

der ziemlich sorglos mit seinen Kunden, deren geheimen Passwörtern und Adressen umgegangen ist:

„Die Sicherheitsforscher konnten ohne jeglichen Passwortschutz auf die Elasticsearch-Datenbank zugreifen. Diese enthielt neben E-Mail-Adressen, Nutzernamen und Passwörten auch die Account-Reset-Codes.“(Zitat: golem.de s.o.)

Was ist eigentlich so „smart“ an der IoT Scheisse? Das man als Hersteller ohne Gegenleistung und ohne Rücksicht auf Verluste seiner Kunden Kohle scheffeln kann?

Was passiert jetzt?

Ich habe ja die unbegründete Hoffnung, daß, wo in China noch die Todesstrafe vollstreckt wird, endlich mal ein Hydra-Smart-Kopf abgeschlagen wird. Wie das bei Hydras so üblich ist, wächst der Kopf einfach nach und am Ende hat man noch mehr davon. Da es für den Hersteller größtenteils folgenlos bleiben wird, wird auch die Branche einfach so weiter machen. Ja, wir brauchen die vollumfängliche Herstellerhaftung, da kommen wir nicht drum rum!

 

 

Firefox: ungepatchte 17 Jahre alte Sicherheitslücke

Wie uns die TheHackerNews heute mitteilen, gibt es im Firefox eine ungepatche Sicherheitslücke, die streng genommen, seit 17 Jahren im Firefox schlummert.

Same-Origin-Policy versagt

Die Same-Origin-Policy versagt bei Zugriffen auf „file://“ URLs. Was andere Browser schon vor Jahren behoben haben, ist für die Firefox Entwickler nicht wichtig, da es bislang keinen Exploit dafür gab. Das hat sich geändert:

Was wir hier sehen, wenn das Bild denn scharf wird (runterladen per youtube-dl hilft dabei), ist folgendes:

Eine Email mit einem HTML Attachment wird in einem Webmail geöffnet.
Die HTML Datei wird von Firefox abgespeichert, wie man sieht im HOME des Users!
Die HTML Datei wird mit Firefox über file://…  geöffnet und ..
präsentiert uns den Inhalt des Verzeichnisses.

Die HTML Seite enthält Javascriptcode, der über die File und Fetch Api vom Browser das Verzeichnis und die Dateien ausliest und dann mit AJAX die Daten exfiltriert.

Ein Patch dafür ist nicht in Arbeit, da Mozilla die Lücke nicht als solche anerkennt. Mal sehen ob sich das jetzt ändert 😉

Quelle: https://thehackernews.com/2019/07/firefox-same-origin-policy-hacking.html

Scammer werden immer nachlässiger

Da rollte uns heute morgen doch glatt diese Scammer E-Mail ins Postfach, die einen kuriosen Inhalt hatte:

Beginnen Sie in den nächsten 6 Minuten damit, 
Geld zu verdienen beeilen Sie sich, 
es sind nur noch wenige Plätze verfügbar, 
um mit dieser großartigen Plattform Geld zu verdienen.
Heller announced it was time to leave and retired to the local pilot seat. I dutifully struggled to shut the airlock but my hands werent working. Heller didnt wait. He lifted us from the pad while I dangled out of the open door until someone pulled me in and slammed it shut. 
Die Mitglieder profitieren bereits davon und dies ist Ihre letzte Chance, 
um an Bord zu kommen und es jenen gleich zu tun.
Menschen auf der ganzen Welt verdienen Millionen und nun sind Sie an der Reihe. 
Folgen Sie diesem Link, um sich heute kostenlos anzumelden.


Viele Verpassen Sie es nicht, Walter Herrmann

Jetzt wird nur dummerweise nicht ganz klar, wie man denn dem Link folgen soll 🙂 Ihr werdet es auch nicht schaffen, denn da ist kein Link mitgekommen 😀

…Eine Iteration der Scammer E-Mail später…

fand sich dann dieser Link:

http://lexus-krasnoyarsk-club.ru/pjrucpddzcurz
(der Link wurde zu Ihrem Schutz entschärft)

Diese leitete den User in einer Stafette weiter …

„https://go.info-project-1.ru/go/0e0b1c43-ff12-4481-89fa-2819b6f98b57“
„http://go.2track500.com/aff_c?offer_id=405&aff_id=4434“
„https://woodsilvergold.com/api/v1/flows/198/click?id=1026cf10367efd6611146713838ff1&amp;offer_id=405&amp;affiliate_id=4434&amp;device_brand=Robot&amp;device_model=Bot+or+Crawler&amp;device_os=&amp;ip=37.143.199.61&amp;country_code=DE&amp;advertiser_id=2&amp;source=&amp;aff_sub=&amp;aff_sub2=&amp;aff_sub3=&amp;aff_sub4=&amp;aff_sub5=“

um dann bei

„https://bitcoincodesoftapps.com?click=50743610&amp;mode=optin&amp;api_url=%2F%2Fwoodsilvergold.com%2Fapi%2Fv1&amp;p=woodsilvergold.com%2Fapi%2Fv1%2Fpixels%2F50743610%3Fpixels%3D440&amp;pL=woodsilvergold.com%2Fapi%2Fv1%2Fpixels%2F50743610%3Fpixels%3D441&amp;push=0“

vermutlich einen Clickbetrug zu begehen 🙂 Den Link habe ich dann nicht mehr mitgemacht 😉

Da in letzter Zeit aus Russland echt nur Müll angeschwemmt wurde, hat sich folgende Regel in der Firewall als brauchbar herausgestellt :

REJECT all — 185.254.188.0/22 0.0.0.0/0 reject-with icmp-port-unreachable

Denn auch die ursprüngliche Scammer-Domain liegt in dem Netzwerk. Es besteht der Verdacht, daß das gesamte Netzwerk zu einer Neuauflage des RBN gehört, ergo nur Verbrecherseiten beherbergt.Rate mal welche IP der die letzte Domain in der Kette hat …

bitcoincodesoftapps.com has address 185.254.188.7

und oh Wunder…schaut mal wo der original Link herkommt …

lexus-krasnoyarsk-club.ru has address 185.254.188.162

na sowas aber auch.. welch ein Zufall 😉