Phishing: Neue Qualität - Teil 2

Hallo Axel

Wenn Du etwas mit PGP verschlüsselst, kommen teilweise ähnliche Dinge heraus.
Eine Kollegin von mir hängt ihre PGP Signatur an viele Mails. Da sehe ich gewisse Gemeinsamkeiten.

Arbeitest Du mit Paypal?
Dann würde ich einmal auch Deinem Konto nachsehen, ob da was gelaufen ist.
Zur Sicherheit aber über einen anderen Rechner. Nicht das Du Dir schon einen Trojaner
eingefangen hast, der nur noch auf die Anmeldung bei Paypal wartet.

Hallo Axel.

Ersteinmal großes Lob, dass Du Dir 'suspekte' E-Mails im Texteditor anschaust - das kann ich jedem nur zur Nachahmung empfehlen.

Bzgl. des Mailheaders gibt es drei Bereiche (im Folgenden rot markiert), bei denen einem die Alarmglocken läuten sollten und man getrost die E-Mail, gleich ungeöffnet im E-Mailprogramm, ins digitale Nirvana verfrachten solte.

Ich versuche es mal einfach und verständlich aufzubröseln:

Zitat von Axel

[...]

[i]From - Mon Aug 17 09:19:49 2015
X-Account-Key: account1
X-UIDL: 0M9vqK-1ZcA1Z0u9Q-00B60Q
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
X-Mozilla-Keys:
Received: from omc.digitalengineers.be ([84.22.101.41]) by mx-ha.gmx.net
(mxgmx011) with ESMTPS (Nemesis) id 0M9vqK-1ZcA1Z0u9Q-00B60Q for
<axla@gmx.de>; Mon, 17 Aug 2015 07:12:33 +0200
Received: from [82.211.34.48] (port=56286 helo=omc.digitalengineers.be)
by omc.digitalengineers.be with esmtpa (Exim 4.85)
(envelope-from <service@paypal.de>)
id 1ZRCik-0002fg-23
for axla@gmx.de; Mon, 17 Aug 2015 07:12:32 +0200
Return-path: service@paypal.de
Date: Mon, 17 Aug 2015 07:12:28 +0200
From: "service@paypal.de" <service@paypal.de>
To: Axel Langnert <axla@gmx.de>
MIME-Version: 1.0
Message-ID: <21de5cbec9f0cef850f5df1498924988@omc.digitalengineers.be>
Subject: =?utf-8?B?W1NwYW1dIEJlc3TDpHRpZ3VuZyBJaHJlcg==?==?utf-8?B?IFBheVBhbC1aYWhsdW5nIGFuIEtvbnRy?==?utf-8?B?YSBHbWJIIFRvcCBTaG9w?=
X-Priority: 3
X-Mailer: PHPMailer 5.2.7 (https://github.com/PHPMailer/PHPMailer/)
Content-Type: multipart/alternative;
boundary="b1_21de5cbec9f0cef850f5df1498924988"
Content-Transfer-Encoding: 8bit
X-AntiAbuse: This header was added to track abuse, please include it with any abuse report
X-AntiAbuse: Primary Hostname - omc.digitalengineers.be
X-AntiAbuse: Original Domain - gmx.de
X-AntiAbuse: Originator/Caller UID/GID - [47 12] / [47 12]
X-AntiAbuse: Sender Address Domain - paypal.de
X-Get-Message-Sender-Via: omc.digitalengineers.be: authenticated_id: [email][email='info@hotelstgery.com'][/email][/email]

[...]

Alles anzeigen

Hintergrund:
Received: beschreibt hier den tatsächlichen Emailserver, der die E-Mail Dir (über gmx) zugestellt hat - in diesem Fall omc.digitalengineers.be (Belgien)
dann Kommt der "Umschlag" - hier "envelope-from" und da haben die Buben halt paypal eingetragen. Das ist dann die angezeigte Absenderadresse. (php machts einem hier aber auch echt einfach)

Hier kann man schon mit dem Stock dran fühlen, dass paypal niemals über einen belgischen Emailserver namens omc.digitalengineers.be seine mails verschicken würde.

Die ganze mail ist übrigens mit einem Ruby-System auf github (zweite Rotmarkierung) generiert worden - pfiffig aber auch verräterisch, da paypal seine Emails nicht per OpenSource Codehostern extern generieren würde.

Und schlussendlich, nach der schlecht gemachten Abuse-Verschleierung, schließlich der eigendliche Versender der E-Mail, der den blegischen Mailserver zur Weiterleitung beliefert hat - info@hotelstgery.com. Der Admin dieser Domain steht übrigens in Verbindung mit digitalengineers.be. Jetzt kann es sein, dass eben die gehackt wurden, mailserver oder firmenseitig, oder dort (eher unwahrscheinlich, weil echt dumm) der Initiator des ganzen sitzt.

Allgemein gesagt und empfohlen:
E-Mails erst aus dem Mailprogramm heraus lokal im Texteditor betrachten und dann erst die Vorschau genießen. Denn der html-Zusammenbau der (ver)hübschen E-Mails birgt auch so seine Gefahren, hier können iFrames fiese Sachen anrichten, um nur mal ein Beispiel zu nennen. Klar, man gibt ein gewisses Maß an Komfort auf, aber sicher ist sicher. Hier auch dem Mailprogramm das Nachladen von Bildern und Medieninhalten schlicht verbieten und die Ansicht auf Text und nicht auf html setzen.

Tja, und das Dein Datensatz da beinahe sauber auftaucht, da kannste Dich bei ebay bedanken, ist ja erst knapp ein Jahr her, dass gewisse Leute dort fleißig Daten abgegriffen haben.

Dafür bekommen wir im Institut mal wieder lustige Anrufe. Angeblich von Microsoft, teils aus München, teils auf englisch aus den USA. Zumindest den Rufnummern nach. Das kann man ja auch faken. Nette Versuche einen Trojaner zu platzieren. Die haben nur nicht begriffen, das bei uns die Zuordnung von Rechner und Benutzer etwas anders funktioniert als zu Hause. Somit kann man diese Bemühungen mit Humor sehen. Die Masche gibt es seit Jahren und wird gerade wieder aufgewärmt.

Auch sehr schön:

Zitat

<wbastydifggqdwrkzxjzzc wfexgxtactdsvmxyepikre='enbbyfatkrvotaiyther' uouulmbmyfuyxbnnlpqgqoqwehe='yfldmdinoaicpyaqlmhxihvfrltrn' wkqnigjuvvevvmdog='ngkcxdgwyhshzwgpsibkylpup' chmfnkjvlicvaenlewsteccqcyk='roqgywjfkidmpicuwklijwiidmuzlc'></wbastydifggqdwrkzxjzzc>

Wir werfen mal Zufallstexte als Tags rein, damit dein Mailprovider nicht so viele so ähnliche Mails bemerkt.

Ich habe einmal mit Pay Pal bezahlt. Seither habe ich Dutzende von Junk mails wegen Pay Pal erhalten wobei alles Betrugsmails waren. Natürlich habe ich sofort alle diese mails durch den Junkmail Filter sperren lassen. Ich zahle prinzipiell mit Banküberweisung auch ins Ausland oder mit abgesicherter Credit Card.
Merke Dir, wo Ami drauf steht ist Ami drin, auch wenn's möglicherweise gar nicht Ami ist. Nur die Methoden sind gleich.

......trotz allem bezahle ich weiterhin mit mit Pay Pal weil wer bei Auslandsbestellungen 6 mal nach mit Auslands-Überweisung keine Ware erhalten hat bezahlt gerne mit Pay Pal auch wenn es ein Ami-System ist!

es gibt immer ein risiko bei elektronischem geldverkehr

im momment bekommen wir regelmässig e-mails von irgendwelchen "abrechnung payment bank ag" wo im anhang eine ofene rechnung sein soll.
ich lösche son zeug immer gleich,versuche es erst mal gar net öffnen,habe seit deiser "telekom" rechnung vor einem jahr aus solchen mails gelernt.

Habe jetzt auch eine vergleichbare Mail, wie die von Axel, angeblich von PayPal erhalten. Diese sofort gelöscht. Ist wirklich raffiniert gemacht. Da fallen bestimmt viele drauf herein und klicken den Link an.

Ein frisches Hallo in die Runde. Ich bin auch mal wieder da- leider mit einem nervigen Thema.
Ich habe heute auch eine "Paypal"-Mail erhalten. In dieser wurde ich mit como tour angesprochen. Da muß jemand hier im Forum gesucht und Daten abgeriffen haben.

Also vorsicht.

... eventuell in ein Namens - Muster reingerutscht?
du schreibst como tour oder meintest du combo tour

...egal ob legal oder illegal...
Meine Devise
nie über einen Link einloggen, sondern über Google etc. direkt

...
wieder was "Nettes" bekommen

und hier der Link dazu,
was man damit machen soll bzw. was man nicht tun sollte

mfg

Im Zweifel nicht öffnen... oder wenigstens in einer "Sandbox". Dort kann sowas nichts anrichten.

....ich öffne sowas prinzipiell ned,
das Problem ist eher, dass ich die meisten Emails
erstmal auf dem Handy lese und da ist es
1. schwieriger solche Mails zu erkennen und
2. die Gefahr größer, dass man das aus Versehen antippt.
Auf dem Rechner benutze ich Outlook
und lese alles erstmal in einer Vorschau...
das mit der Sandbox muss ich mal näher betrachten,
hört sich gut an bei Wicki

Solche Sandboxen sind oft Teil einer Software-Firewall... Comodo z.B.
Die MS-eigenen benutz ich eher nicht, da hat mir der Herr Gates zuviele Heimvorteile......