Verschlüsselungs-Trojaner, Hilfe benötigt

[fkerber]

Hi,

bei mir kommen auch fast täglich Mails mit Rechnungen / Mahnungen / Buchungsbestätigungen etc. mit ZIP-Anhängen.
Aufgrund der zeitlichen Nähe vermute ich mal eben jenen Virus als Inhalt.
Bislang sind die Mails direkt "geshreddert" worden - aber falls die hier jemand gebrauchen kann - einfach Bescheid geben, dann hebe ich sie auf - als Mac-User sollte er mir ja nix anhaben können.

LG,
Frederic

[bombinho]

Naja ich persoenlich lese Mails normalerweise nur als Text und versende hoeflicherweise meine Mails auch als Text. Hilft zwar in diesem Fall nicht, da ja das pif/scr/com/? file noch von Hand gestartet werden muss.
Was ja offensichtlich Leute tun. Da schlaegt auch Microsofts Strategie, Dateiendungen zu "verschlucken" unangenehm zu Buche. Otto Normaluser weiss gar nicht auf was genau er sich da einlaesst und klickt freudig oder aergerlich erregt. Oder einfach nur aus Neugier.

Aus meiner Sicht das beste, was man tun kann ist bei Erscheinen des Fensters mit der Geldforderung kurzerhand den Stecker aus der Wand ziehen. Oder besser noch schon bei Erscheinen der Meldung mit dem falschen Dateiformat. In letzterem Falle waere sogar kaum oder kein Datenverlust, wenn das halbwegs zeitnah passiert.

Im anderen Fall die Platte wie sie ist jemandem in die Hand geben, der sich damit auskennt. Am besten gleich noch eine neue Platte installieren und dem Datenretter (hoffentlich) einfach die benoetigte Zeit lassen.

In diesem Fall fuehren unbedarfte Selbstversuche in aller Regel nur zu noch mehr Datenverlust.

[bombinho]

Achso, was die rechtliche Seit angeht, selbstverstaendlich ist das keine Verabredung zu einer kriminellen Handlung. Sind doch unsere Spielserver. Oder hat sich hier bisher jemand gemeldet und behauptet es waeren seine Server?
Sollte dem so sein, kannst Du das getrost als Luege abtun.
Es sei denn er kann es beweisen indem er Dir zeigt, dass er vollen Zugriff hat, indem er eine Kopie der Datenbank aushaendigt.

Allerdings bin ich mir nicht sicher ob die Geschichte mit den Massenhackversuchen auf Kleinstserver und Farmmaschinen zusammenhaengt. Vor ein paar Wochen kam so seltsames Aechzen aus meinem IT-Raum. Als ich nachsah, stellte ich fest, dass das mein Firewalllog war. Offensichtlich hatten jemand angenommen, dass bei mir ein DNS Server laeuft und den nichtvorhandenen DNS-Server versucht zu missbrauchen.
Das waren teilweise bis ueber 1000 Eintraege pro Stunde.

[Michael Habbe]

Zitat von bombinho:

Aus meiner Sicht das beste, was man tun kann ist bei Erscheinen des Fensters mit der Geldforderung kurzerhand den Stecker aus der Wand ziehen. Oder besser noch schon bei Erscheinen der Meldung mit dem falschen Dateiformat. In letzterem Falle waere sogar kaum oder kein Datenverlust, wenn das halbwegs zeitnah passiert.

Bei Erscheinen der Forderung haben sich Deine Daten schon verabschiedet.
Und mal ehrlich: Würdest Du bei einer Windows-Fehlermeldung den Stecker ziehen? Hast Du noch was anderes vor?

[OT]
Was immer wieder angesprochen wird und ich mich immer wieder wundere. Da kommt 'ne Mail mit einer unglaublichen Forderung rein. Was macht der User? Er/Sie hat nix besseres zu tun. *GEHIRN_AUS*..klick..gefangen
[/OT]

[sx2008]

Eigentlich heisst das doch, dass gegen einen gut gemachten Verschlüsselungs-Trojaner kein Kraut gewachsen ist.
* die Verschlüsselung ist nicht zu knacken (falls "richtig" programmiert wurde)
* die C&C Server sind kaum totzukriegen
* da der Trojaner seine Existenz nicht verborgen halten muss, könnte er auch ein Peer-2-Peer Netzwerk bilden und so die Verbrecher noch besser schützen
* er braucht keinen Code um sich selbst weiterzuverbreiten, das erledigt der User hinter dem Bildschirm
(eine Verbreitung im lokalen Netzwerk wäre aber dennoch "sinnvoll" aus Sicht des Trojaners)
* der Erpressungspotential ist nahezu unbegrenzt - man stelle sich vor der Trojaner dringt in eine Firma aus dem DAX30 ein, verbreitet sich auf eine Vielzahl von Rechnern und verschlüsselt alle Word Dokumente im lokalen Netzwerk und den lokalen Platten
* die Hintermänner sind, ausser durch einen Zufall, kaum zu fassen
* Virenscanner nützen wenig, weil immer neue Varianten in Umlauf gesetzt werden
Wenn pro Tag 100000 Mails verschickt werden und 5% der User den Anhang öffnen und davon 8% bezahlen, dann sind das 400 Zahlungseingänge pro Tag auf den Konten der Ganoven

Fazit:
Antivirenprogramme und die normalen 08/15-User haben den Krieg schon verloren

[implementation]

Da hilft nur eins: Computerfahrschule, "Wie gehe ich sicher mit meinem digitalen Rechenschieber um?"

[BlackSeven]

Zitat:

Da hilft nur eins: Computerfahrschule, "Wie gehe ich sicher mit meinem digitalen Rechenschieber um?"

Du kannst den Leuten 1000 mal sagen, dass sie nicht auf die heiße Herdplatte fassen sollen - sie tun es trotzdem immer wieder.

[sx2008]

Zitat von implementation:

Computerfahrschule

Tja schon, aber vor 2 Wochen wäre ich fast gar selbst ein Opfer geworden.
Eine gut gemachte EMail droht mit Inkasso und ~600 Euro Zahlungsaufforderung wegen einer Webseite, auf der ich mich tatsächlich angemeldet habe.
Username und Email passten zusammen.
Wutentbrannt habe ich die Zip-Datei geöffnet und darin war eine "NameDerWebseite.com" Datei.
In letzter Sekunde war mir klar, das ist eine ausführbare Datei; ein Virus.

Und natürlich habe mit Admin-Rechten meine EMails gelesen
Letztes Backup ist Monate alt.
Trotz jahrelange Computererfahrung hätt's mich fast erwischt. (Aber das wird mir eine Lehre sein)

Stell dir mal eine Sekretärin bei der Deutschen Bank in Frankfurt vor.
Sie bekommt ein Mahnschreiben (angeblich von der Commerzbank) mit einer Zahlungsaufforderung über 965000 Euro. Und im Anhang eine Datei mit dem Namen "Mahnung.Coba.com".
KLICK

[Peter I.]

Zitat von sx2008:

Zitat von implementation:

Computerfahrschule

Tja schon, aber vor 2 Wochen wäre ich fast gar selbst ein Opfer geworden.
Eine gut gemachte EMail droht mit Inkasso und ~600 Euro Zahlungsaufforderung wegen einer Webseite, auf der ich mich tatsächlich angemeldet habe.
Username und Email passten zusammen.
Wutentbrannt habe ich die Zip-Datei geöffnet und darin war eine "NameDerWebseite.com" Datei.
In letzter Sekunde war mir klar, das ist eine ausführbare Datei; ein Virus.

Und natürlich habe mit Admin-Rechten meine EMails gelesen
Letztes Backup ist Monate alt.
Trotz jahrelange Computererfahrung hätt's mich fast erwischt. (Aber das wird mir eine Lehre sein)

Stell dir mal eine Sekretärin bei der Deutschen Bank in Frankfurt vor.
Sie bekommt ein Mahnschreiben (angeblich von der Commerzbank) mit einer Zahlungsaufforderung über 965000 Euro. Und im Anhang eine Datei mit dem Namen "Mahnung.Coba.com".
KLICK

Hallo in die Runde,

ohne mich selbst in die Sonne stellen zu wollen, will ich mal die Hintergründe beleuchten, wie man sich als notorischer Löscher unerbetener e-mails diese Rakete einfängt. Wer hier die ja durchaus zutreffende Leier spielt, daß man aufpassen solle,
a) ist ein sehr heller Kopf, was ihm vergönnt ist,
b) wurde vom Trojanerversender möglicherweise bis dato noch nicht bedacht,
c) hat die Qualität dieser Attacke noch nicht richtig erfaßt,
d) blendet bei der Betrachtung andere Formen von Beschaffungskriminalität aus.

Insofern muß man sich überlegen, wie man mit der Geschichte umgeht. Einfache Lösungen helfen nicht weiter, wenn - wie wir hier sehen - selbst Fachleute nicht davor gefeit sind, in die Falle zu tappen. Im Gegenteil, sie sorgen dafür, daß die Opfer sich nicht um Hilfe bemühen (schön doof, selbst schuld - ist das Letzte, was man braucht) und daher denjenigen, die an dem Problem forschen, aktuelle Entwicklungen vorenthalten werden.

Bei mir war es so, daß wir kurz nach Mitternacht einen Feuerwehreinsatz im Haus hatten und ich aus beruflichen Gründen deswegen noch nach 01:00 am Rechner saß um bestimmte Recherchen zu machen.
In meinem Spamfilter landen etwa 60% mails, die gebraucht (aber nicht erwartet) werden, es ist also keine Option, den unbesehen auszukippen.

Die mail mit dem Trojaner ist zwar gespickt mit Schreib- und sachlichen Fehlern, aber der Adressat wird mit seinem vollkommen korrekt geschriebenen Namen höchstpersönlich angesprochen. Das ist bei mir bei von mir völlig fremden Leuten normal, also schon mal kein Grund, deswegen die mail zu killen.
Deren Inhalt läßt auf einen Fall von Identitätsklau schließen, also eine Geschichte, die mehrfach durch die Medien lief und ausweislich der Erfahrungen Betroffener nicht einfach durch Aussitzen aus der Welt geschafft werden kann, sofern einem gehäufte Schufa-Einträge und Zivilrechtsprozesse nicht am Allerwertesten vorbeigehen. Man avisierte eine angeblich bestellte Lieferung und Belastung einer hohen vierstelligen Summe innerhalb der nächsten Tage. Daß ich mich um die Entgegennahme der Ware nicht würde kümmern müssen, sondern daß das andere erledigen, die mir dafür die Rechnung überlassen, ist derweil Allgemeingut. Es liegt also von vornherein sehr nahe, Strafanzeige zu erstatten bzw. anwaltliche Hilfe in Anspruch zu nehmen, aber wenn man nicht nur eine Verfahrenseinstellung bzw. eine Honorarrechnung haben will, sollte man dem Gegenüber mehr als nur "ich hab' da eine Bestellbestätigung und ein Abbuchungsavis gekriegt, weiß aber nicht, worum es geht" vortragen können. Was soll der arme Polizeibeamte oder der Anwalt damit schon anfangen, der fragt logischerweise nach dem Inhalt des Schreibens.

Was ihr den Leuten (der vom Vorposter genannten Sekretärin bspw.) durchaus vorwerfen könnt ist, nicht gerafft zu haben, daß das da eine zip-Datei ist. Nur fliegen hier täglich die unsinnigsten Varianten rein - eine dankenswerterweise weitergeleitete mail bspw., noch eben nicht als Klartext in der Weiterleitungsmail, sondern als Dateianhang zu solcher - und andere Dinge, die einem immer beim ersten Mal neu sind. Wer auf die aus altruistischen Motiven weitergereichten Terminhinweise keinen Wert legt, kann die Absender darob anscheißen - und sich ein anderes Betätigungsfeld suchen.

Quintessenz: ich schreibe diesen Beitrag von einem Rechner, dessen Platte ich heute früh ausgebaut habe (stelle sie zu Forschungszwecken gerne einem diskret vorgehenden Mitglied dieses Boards per persönlicher Übergabe zur Verfügung), der von einer in der Linux-Welt enthaltenen Live-DVD gebootet wurde und derweil (vom RAM abgesehen) keinen anderen Massespeicher hat.

Beste Grüße und viel Erfolg noch,
Peter

[markusg]

hi
man sollte auch nicht unfair werden, die mails sind gut gemacht mit namen etc,
da kann man schon drauf rein fallen denke ich
aber das hatte ich ja schon mal gesagt und muss man ja nicht immer aufs neue aufwärmen.
die version 2.x gibts ungefähr seit letzem donnerstag /freitag.
pass: infected
http://www.file-upload.net/download-...lagen.rar.html
wer keine malware testen will, läd sich das archiv nicht runter, entpackt es nicht, bzw gibt schon gar nicht das passwort ein, und er entpackt das zweite archiv im archiv auch nicht