Viren, Spyware, Datenschutz 11.214 Themen, 94.189 Beiträge

Rechnungsmails angeblich von 1und1 mit Malware unterwegs

xafford / 39 Antworten / Flachansicht Nickles

Gerade erhielt ich eine gefälschte Mail von 1&1 mit meiner "Rechnung". Oberflächlich betrachtet sah die Mail erst einmal relativ normal aus, was jedoch stutzig macht ist der Umstand, der fehlenden persönlichen Ansprache im Text. Spätestens wenn man dann sieht, dass der Anhang der Mail nicht, wie üblich, die Rechnung in Form einer angehängten PDF-Datei ist sollten dann aber die Alarmglocken ganz laut schrillen.

Anstatt die Mail direkt zu löschen wollte ich in diesem Fall aber einmal genauer schauen, was da anhängt, auch wenn der Verdacht nahe liegt, dass es sich wieder einmal um einen der üblichen Verdächtigen aus der Reihe der Verschlüsselungstrojaner handelt - also erst einmal den Anhang auf einer RAM-Disk abgelegt damit nach einem Neustart alle Spuren davon beseitigt sind und nicht eventuell in den Schattenkopien noch eine Version davon schlummert und den Virenscanner kirre macht.

Windows Defender meint, dass mit dieser Datei alles in Ordnung ist!

Als erstes habe ich dann mal den Windows Defender sein Glück an der ZIP-Datei versuchen lassen und - ja, wer hätte das gedacht - die Datei ist sauber... oder doch nicht? Also ab zu Virustotal und die ZIP hoch geladen. Das Ergebnis war recht überraschend und ernüchternd: Erkennungsrate liegt nur bei 15 von 57 Engines, also wohl eine ziemlich neue Version eines Schädlings.

Virustotal ist da anderer Meinung...

Aus Neugier habe ich dann die ZIP-Datei entpacken lassen (es handelt sich nicht um ein selbstextrahierendes Archiv) und mir den Inhalt angeschaut. Auch das war ernüchternd. Offensichtlich setzen die Angreifer hier auf sehr kooperative Opfer, denn in dem Archiv befindet sich eine wenig vertrauenserweckende "RG170415602348.pdf.hml.exe" (der Name dürfte variieren, die Dateierweiterungen dürften aber immer die selben sein). Da muss man dann schon neben dem "sich über die ZIP-Datei wundern" und dem "diese leichtsinnigerweise entpacken" auch noch den Anhang doppelt klicken, der so gar nicht nach einer Rechnung aussehen will.

Abschließend ließ ich den Windows Defender auch noch einmal die entpackte Datei prüfen, aber auch die ist (laut Defender) absolut sauber - na sauber!

Der wenig einladende Inhalt

PS: Die EXE-Datei des Schädlings hat übrigens 71kB - die Programmierer von Schadsoftware waren auch schon einmal platzsparender vorgegangen in früheren Tagen.

NACHTRAG: Gerade kam der gleiche Schädling noch einmal in einer anderen Mail - eine angebliche DHL-Versandbenachrichtigung mit angehängter "Rechnung", diesmal enthielt die ZIP-Datei eine "Ihre Rechnung in elektronischer Form.PDF.exe" - mit dem identischen Schädling.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
gelöscht_323936 ullibaer „Aber hallo !! Ich kenne keine Original 1 1 Rechnung Zumindestens steht doch ganz unten RG150......pdf. Wobei das RG für ...“
Optionen

Hallo Ulli,

die Rechnung in meinem Post ist original. Das ist eben eine echte Rechnungs-Mail von 1und1 im Gegensatz zu der von xafford .  
Bei xafford sieht man ja auch das .zip im Anhang und bei mir ist es wie üblich .pdf.

Der Text in der Viren-Mail sieht aber im Vergleich gut gemacht wie original aus, bis auf das Fehlen der "persönlichen Ansprache im Text" (s. Startbeitrag).
Und das finde ich eben so gefährlich, weil es so zum "üblichen Zeug" gehört, das man auch mal nicht so genau anguckt, Anhang speichert oder irgendwann sogar öffnet.

Es wird mir langsam wirklich zu viel mit diesem ganzen Virenzeug.
Wie lustig war es noch mit dem Michelangelo-Virus. Da bekam man von den Kollegen dann zum 6. März auch Jahre danach mal eine Nachricht (sowas war damals zum Teil üblich) auf den Bildschirm, dass der Michelangelo-Virus grade zugeschlagen hätte. "Gleich wird Ihre Festplatte gelöscht" oder so.
Dabei war man gar nicht ständig im web wie heutzutage.

Für mich ist die Warnung zu dieser angeblichen 1und1-Rechnung von xafford schon ganz wichtig. Ich habe 1und1-Mails gleich mit dem Screenshot verglichen und gesehen, dass ich jetzt immer doppelt ganz genau prüfen sollte.
Auch wenn ich pdf und zip unterscheiden kann und Dateianhänge meist auf Viren prüfe, grade so etwas wie "Rechnung".

Gruß,
Anne

bei Antwort benachrichtigen