Tag Archives: Trojaner

dumm – dümmer – Bundestag

Posted on by

Wie gestern bekannt wurde, hat das BSI herausgefunden, wie der Angriff auf den Bundestag abgelaufen ist. Es war ein Insiderjob, denn wie sich herausgestellt hat, sind Bundestagsmitarbeiter und -abgeordnete nicht schlauer als der Durchschnittsbürger.

Der Klassiker: Sie bekommen eine Email mit einem Link drin und klicken einfach drauf.

Nochmal für alle :

1. Keine Emails von Fremden öffnen, auf die man nicht wartet.
2. Keine Links und Emails von Fremden anklicken
3. Wenn man schon 1. + 2. ignoriert, dann nur mit einem Browser bei dem Flash und Javascript abgeschaltet sind und der NICHT von Microsoft stammt.
4. Sich nicht bei den Leuten beschweren, die einem ins Gesicht gesagt haben, daß man selbst Schuld sei an seinem Opferstatus.

Ein bisschen Literatur zum Nachlesen: Archiv

Dichtungstrojaner

Posted on by

Mit Liebesgedichten versuchen Kriminelle derzeit Ihnen Trojaner unter zu jubeln.

Zitate wie diesem :

„Den richtigen Mann liebt man zweimal, einmal am Anfang und dann immer.

K. Hoyer“

folgen Anlagen von Emails wie „6434.zip“  worin dann z.b. das „gambling584.doc“ steckt.

Als treuer Leser dieses Blogs wissen Sie jetzt natürlich bereits, daß das ZIP zur Verdeckung des eigentlichen Trojaners dienen soll, in der Hoffnung, daß die Antispamstools das Zip nicht auspacken. Das Word Document ist wie immer an Windows User gerichtet und sollte auf keinen Fall geöffnet werden.

Neu ist die Gedichtsmasche übrigens nicht. Damit die Heueristiken der Antispamtools nicht so fündig werden, benutzen Spammer schon lange zufällige Textzeilen in den Emails, um die Erkennungsrate niedrig zu halten.

Wem das Gedicht nicht schon merkwürdig vorkam, kann sich natürlich auch mal den Header der Email ansehen:

Received: from [46.27.99.195] (helo=tgssand-soil.com.au)
	by XXXXXXXXXXXXXXXXXXX with smtp (Exim 4.80.1)
	(envelope-from .de>)
	id 1X2Tpg-0007uw-Ha
	for XXXXXXXXXXXXXXXXXXXXXXXXX; Thu, 03 Jul 2014 02:21:57 +0200

Da es sich im eine Deutsche Adresse handeln soll, fällt natürlich der australische Server sofort ins Auge. Da paßt so natürlich nicht zusammen.

X-Mailer: Ironhandedly v3.6

Wie uns Google glaubhaft versichert, gibt es dieses Emailprogramm nicht 🙂

Mehr Beweise braucht man eigentlich nicht mehr um es als Trojaner zu identifizieren. Also weg damit in die digitale Mülltonne.

 

 

 

öfter mal was neues: CAB Viren

Posted on by

Öfter mal was neues, fordern auch immer mehr Spammer und Virenversender. Heute hatten wir mal wieder was „neues“ im Postfach der Spamfalle: als Rechnung getarnte Windows „CAB“ Files.

Natürlich ist es nicht wirklich „neu“, sondern hängt von der aktuellen Schwachstellenlage bei Windows ab. CAB Files gab es schon früher, aber seit wir das Blog dazu schreiben, hatten wir noch keine einzige im Postfach. Es scheint etwas aus der Mode gekommen zu sein.

Die Email an sich hat leider nicht viel interessantes zu vermelden, keine krassen Grammatikfehler, keine Rechtschreibschwäche, keine lustigen HTML Elemente, kurz um aus unserer Sicht: total langweilig.

Der Email-Header:

Return-path: <auftrag@vodafone-telecommerce.de>
Received: from 93-62-140-242.ip22.fastwebnet.it ([93.62.140.242] helo=kdzbmpr.kelezter.info)
	by unser.server.de with smtp (Exim 4.80.1)
	(envelope-from <auftrag@vodafone-telecommerce.de>)
	id 1WwJUs-0001rj-3e
	for unsere@spamfalle; Mon, 16 Jun 2014 11:51:34 +0200
From: "Mümün Blume" <auftrag@vodafone-telecommerce.de>
Date: Mon, 16 Jun 2014 11:51:12 +0200
MIME-Version: 1.0
Message-ID: <11293172932-interrupting@vodafone-telecommerce.de>
X-Mailer: Rescuers v5.3
Subject:  Bestellen 9183837644

An dem Header kann man nur das übliche aussetzen, daß der angebliche Absender nicht zum Servernamen paßt, der die Email wirklich gemailt hat und natürlich der Name des Mailers, der das verschickt hat .

Guten Tag,

Wir danken Sie für die Benutzung unserer Dienstleistungen.
Ihre Bestellung #9183837644 wird 19.06.2014 verschickt werden. 

Transaktionsnummer: D8FC1234A42D 
Datum: 16.06.2014 09:38:21 
Summe: €101.39 
Bezahlungstyp: Kreditkarte 

Die ganze Summe können Sie in der Datei rechnung286.cab herunterladen. 

Mit freundlichen Grüßen,
 Mümün Blume
 +4939718350893

Beim Auswürfeln des Namens hatte die KI des Spammerrechners bestimmt viel Spaß.

Wenn Sie diese „Rechnung“ bekommen sollten, wie üblich ab in die Tonne damit.