Trojaner Email ohne Trojaner

Das sieht man auch selten, daß ein Angreifer so derbe ins Klo greift mit seiner Virenemail :

Von: WhαtsΑρρ <idealpropertiesspain5964554552565484@idealpropertiesspain.es>
Subject: Situation aktualisiert am 10.03.2018

Sеhr gееhrtеr Кundе

Bittе schauеn Siе sich dеn WhαtsΑρρ -РDF-Anhαng mit diеsеr E-Mαil αn
um Ihr Jαhrеsabonnеmеnt zu vеrlängеrn

Dankе
WhαtsΑρρ-Untеrstüzung

Nicht nur die kryptischen Versuche einer Worterkennung eines Antispamprogramms zu entgehen fallen auf, nein, auch hatten die Angreifer gar kein „PDF“ Attachment an die Email angehängt 🙂

So was nenne ich mal einen richtigen Fail 😀

Wie üblich, ab in die Tonne!

Virus per Online-Einschreiben :D

Ich habe ja gedacht, ich hätte schon jeden Virengag bekommen, aber ein Online-Einschreiben, angeblich von der Post, ich hätte mich fast weggeworfen vor Lachen.

To: "Kundennr. 83386" <SPAMFALLE@SPAMFALLEN.SPAM>
From: "Post AG" <antwort@wildwildsys.com>
Reply-To: <antwort@wildwildsys.com>
Date: Mon, 27 Jun 2016 05:41:45 +0200

Hier der Inhalt:

Sehr geehrte(r)  Kundennr. 83386,

Sie erhalten folgendes Online-Einschreiben mit der Bitte um sofortigen Abruf:

Absender: Rechtsanwalt Maximilian Wagenbauer
Betreff: Auszahlung am 26.06.2016
Online-Ansicht: Hier klicken ( Ablaufdatum 26.06.2016 )
Viren-Prüfung: Erfolgreich, keine Viren

Mit freundlichen Grüßen,
Ihre Post

 

Das „Einschreiben“ kam einen Tag nach dem Datum da drin , also am 27. 😉

Die Domain wildwildsys.com kann man beruhigt auf die Blackliste setzen, die haben in den letzten Tagen nur Spams und Viren verteilt z.B. eine weitere Email auch aus unserer Spamfalle:

wenn Sie unter 55 Jahre alt sind, können Sie jetzt einen extrem

günstigen Krankenkassentarif nutzen:

unter 35 Jahre altab 54,90€/MonatJetzt unverbindlich ansehen
unter 45 Jahre altab 64,90€/MonatJetzt unverbindlich ansehen
unter 55 Jahre altab 79,00€/ MonatJetzt unverbindlich ansehen

Sie sehen, ein Vergleich würde sich in Ihrem Fall sehr lohnen.

Natürlich ist der Vergleich absolut kostenlos und unverbindlich. Mehr dazu auf meiner Seite.

Mit freundlichen Grüßen,

Dr. Hannes Kottke

Ich liebe unsere immer zu 100% richtig liegende Spamfalle 😀

Die Links in diesen Emails gehen praktischerweise auf die Domain wildwildsys.com und nicht wie sonst üblich, auf irgendwelche gehackten Webseiten. Daher kann man annehmen, daß die Betreiber der Domain selbst die Betrüger sind. Soetwas nennt sich dann hochtrabend „Email-Marketingagentur“. Da die Inhaber der Domain sich hinter einem „Privacy Guard“ verstecken, liege ich vermutlich richtig mit meiner Annahme 😉

Einmal gründlich hinsehen lohnt sich : (aus dem Whois )

Name Server: BLOCKEDDUETOSPAM.PLEASECONTACTSUPPORT.COM
Name Server: DUMMYSECONDARY.PLEASECONTACTSUPPORT.COM

Strike! 😀  Und die Domain gibt wirklich …. args..

Sollte Euch also eine Email unter kommen, die diesen Domainnamen nutzt, gleich in die Tonne damit.

Nach 10 Jahren – Der ILOVEYOU Virus ist wieder da!

Unglaublich!

Unglaubliche 10 Jahre hat es gedauert, bis der I-Love-U Virus wieder per Email verschickt wurde. Heute war es endlich soweit, unsere Spamfalle bekam Besuch dieses lange verschollenen Gastes. Frisch zum Jubiläum wurde der Virus dann auch gleich noch ins Deutsche übersetzt 🙂

ILoveU-Email

Return-path: <goral@netway-it.de>
Envelope-to: 
Delivery-date: Tue, 03 Jun 2014 12:14:22 +0200
Received: from 97e61ac0.skybroadband.com ([151.230.26.192])
	by  with smtp (Exim 4.80.1) (envelope-from <goral@netway-it.de>) 
        id 1WglBj-00123d-DR for ;
        Tue, 03 Jun 2014 12:14:22 +0200 
MIME-Version: 1.0 
Date: Tue, 03 Jun 2014 12:08:18 +0100 
X-Mailer: Burnley v0.4 
From: "D. Hagen" <goral@netway-it.de> 
Message-ID: <201403435993G39-1692961mucker@netway-it.de>
Die virusenthaltene Email stammt aus England:

inetnum:        151.228.0.0 – 151.231.255.255
netname:        BSKYB-BROADBAND-WIFI
descr:          Sky Broadband
country:        GB

Der ILOVEYOU Virus ist dann gleich passend im Zip benannt: „liebe7087.exe“ worden. Naja..

Wie immer, einfach weg damit !

kurioserweise hatte ich grade die Befürchtung, daß ein Windowsvirus bei dem Stand der WINE Implementierung unter Linux doch tatsächlich funktionieren könnte. Die ist nämlich entgegen ihrem Ruf mittlerweile richtig gut.

Wenn man schlechte Viren zu spät mailt

… oder wieso manche Virenmail einfach nur schlecht ist.

Ja, es ist wiedermal soweit, ein Virus hat es mal wieder durch die Servertests geschafft.

Der Virus/Trojaner mit dem bedrohlichen Betreff: „überfällige Zahlung“ schlug heute bei uns in der Spamfalle auf. Ich gebs zu, so eine Spamfalle ist ein 100% Indikator dafür, daß es ein Virus/Trojaner ist und ich schaue nicht mehr selbst nach. Da nicht jeder diesen Luxus hat, hier wieder die Merkmale die nicht stimmen.

Vorweg, die IP Adresse ist nur auf den ersten Blick verdächtig, weil Sie entgegen des verwendeten Hostnames nicht nach Russland zeigt, aber bei einem 65535 IP-Adressen umfassenden Netzwerkblock ist das keine Seltenheit.

From - Thu Apr 17 09:11:52 2014
Return-path: <enfranchised@frankfurterinkasso.de>
Envelope-to: to@address
Delivery-date: Wed, 16 Apr 2014 02:17:37 +0200
Received: from [190.246.114.25] (helo=osafnoby.peerline.ru)
	by hostname with smtp (Exim 4.80.1)
	(envelope-from <enfranchised@frankfurterinkasso.de>)
	id XXXXXXXXXXXXXXXXXXXXXX
	for to@address; Wed, 16 Apr 2014 02:17:37 +0200
Message-ID: <201404152349143086839sochi@frankfurterinkasso.de>
Date: Tue, 16 Apr 2014 18:31:18 -0300
From: "Gutta Sebastian" <enfranchised@frankfurterinkasso.de>
X-Mailer: Vaporier v3.8
MIME-Version: 1.0
To: <to@address>
X-Antivirus: avast! (VPS 140415-2, 16/04/2014), Outbound message
X-Antivirus-Status: Not-Tested
Subject:  =?utf-8?b?w7xiZXJmw6RsbGlnZSBaYWhsdW5n?=

Content-Type: application/x-zip-compressed;
 name="kostenplan.zip"
Content-transfer-encoding: base64
Content-Disposition: attachment;
 filename="kostenplan.zip"

Eine Software Vaporier v3.8 ist im googleindizierten Netz nicht zu finden, und im Stil eines übermächtigen Verbrecheregos ein üblicher Name. Eine Email mit einer deutschen Adresse, kommt selten aus Russland.

Das Attachment ist natürlich ein ZIP, damit die Virenscanner nicht so genau hinsehen.

Wie üblich, ab in die Tonne mit der Email.

Achja, Avira AntiVirus war ausnahmsweise schneller als unser Servervirenscanner und kannte den Virus schon. Deswegen, zu spät gemailt Jungs 🙂

Die Hotelbuchungen sind wieder da…

jaja.. der Trojanerzyklus ist wiedermal bei gefälschten hotel.de Buchungsbestätigungen nebst Virus angekommen.

Aufällig diesmal, ein und dieselbe Buchung kostet mal 88 €, mal 25 € . Natürlich können Sie das nur bemerken, wenn Sie wie ich mehrere davon geschickt bekommen haben.

Am einfachsten schauen Sie sich den Dateinamen des Attachments/Anhangs an: „HotelReservierung8930903.pdf.zip“

„blahblah…..pdf.zip“ macht keinen Sinn, denn PDF Dateien sind bereits gepackt. Ein ZIP Archiver kann daher keinen positiven Effekt auf die Größe der Email haben. ZIP wird dazu benutzt, daß die Antiviren und Antispamprogramme dieser Welt, die ZIP Datei nicht auspacken und somit den Virus durchgehen lassen.

Mittlerweile werden solche Doppelendungsfiles zurecht pauschal als Virus behandelt und aussortiert.