Jemand verschickt Spam in meinem Namen an meine Kontakte

[Medium]

Hallo DP,
ist zwar kein Delphi-Problem, aber ich kann mir hierauf keinen Reim machen, und hoffe das hier jemand eventuell weiter weiß. Es sind ja ein paar Mal-Ware Spezis hier unterwegs.

Vor ca. 2-3 Wochen wurden Spam-Mails mit englischem Betreff (variierend, immer nach der Art "hey, something interesting", "hey", "look here", also typisch) und nur einer Zeile Text, die zum Klick des dann genannten Links aufforderten verschickt. Ich selbst habe diese Mail nicht bekommen. Sie wurde angeblich von meiner geschäftlichen Adresse aus verschickt, und da mir einer einen Screenshot geschickt hat, habe ich gesehen, dass etliche Empfänger im CC standen. Alle diese Empfänger sind Adressen, mit denen ich in der Vergangenheit tatsächlich korrespondiert habe. Und DAS macht mich unruhig.
Ich nutze keinerlei Cloud-Services, sondern ganz "bieder" Outlook. Nicht alle Empfänger waren auch in meinen Kontakten. In einem Fall war es sogar eine Adresse, die lediglich in einer Mail von vor Jahren genannt wurde, aber selbst nie als Empfänger oder Sender auftaucht.
Interessant war noch, dass zwar die E-Mail Adresse als meine angegeben wurde, das Spoofing aber nicht bis zum Mail-Server hielt. Hier stand wohl noch der echte drin (recht kryptischer Name), nicht der Strato-Server, über den unsere Mails sonst gehen.
Ich habe meinen Büro-PC daraufhin mit den MS Security Essentials, Panda AV und Avira durchscannen lassen (vollständige Scans), und alle kamen zu 0 Funden auf dem einzigen PC, auf dem dies hätte stattfinden können. Okay, nichts mehr von gehört, und es gab mehr als genug echte Arbeit zu tun.

Gestern Nacht, ziemlich genau um 3:05 Uhr, bekam ich dann auf meiner privaten Mail Adresse Mailer-Daemon responses, nach denen etliche Mail die ich verschickt haben sollte unzustellbar gewesen wären. (Sender wurde abgelehnt.) Diese habe ich nie verschickt, und die Betreffzeilen sahen mir etwas bekannt aus. Auch, dass hier wieder intensiv mit CCs gearbeitet wurde.
Meine geschäftliche Adresse findet sich im Netz. Diese private jedoch nirgends. Und auch hier wurden wieder Empfänger eingesetzt, die aus meiner - dieses mal - privaten Korrespondenz stammen. Privat nutze ich aber nicht wie im Büro Outlook, sondern Thunderbird. Dort sind ebenfalls keine Kontakte hinterlegt, und es wurden Mails an Amazons no-reply Support Adressen und so geschickt. Also ganz klar wieder mitten aus der Mail-Historie gegriffen. Nur dieses Mal anderer PC, anderer Mail Client, andere Adresse. Die o.g. AV Lösungen brachten aber auch dieses Mal keine Ergebnisse zutage. Jetzt bin ich SEHR beunruhigt!

Beide Mail-Accounts laufen über denselben Strato Account. Das sind die einzigen Gemeinsamkeiten (abgesehen vom Benutzer) zwischen den beiden Fällen. Es gibt aber noch einen ganzen Haufen anderer Mail-Accounts über unsere Firma, teils auch privat genutzte wie bei mir, und von den Personen habe ich noch nichts dergleichen gehört. Auch nicht auf Nachfragen. Das führt mich wieder eher zu mir als Problemursache zurück. Jetzt bin ich aber auch kein allzu blauäugiger Neuling und weiß wie man sich im Netz zu verhalten hat. Und ich klicke auch keine komischen E-Mail Anhänge an, und erkenne auch Phishing meist auf den ersten Blick. Zudem scheinen beide PCs sauber zu sein.

Hat jemand eine Idee, was hier vorgefallen sein könnte? Oder wie man der Sache weiter nachgehen könnte? Mir ist bei sowas nämlich immer ganz schön mulmig, und Spam im Namen unseres Unternehmens ist wahrlich keine gute Werbung für ein IT-Unternehmen... Aber wo ansetzen? Danke euch!

[Der schöne Günther]

Und diese beiden PCs sind die einzigen Geräte die jemals auf mindestens eins der beiden Mail-Kontos zugegriffen haben? Kein Handy, kein intelligenter Wasserkocher, nichts? Bei den Mengen an billig im Netz verfügbaren Datenbanken von bekannten und weniger bekannten Anbietern und Accounts würde ich mich nicht wundern wenn mein eigener da zig mal dabei ist. Benutzt du das gleiche Passwort?

[Aviator]

Das erste was ich machen würde wäre, dass du alle Passwörter änderst. Nicht das jemand dein Master Account gehackt hat und somit Mails verschickt.

Der andere Punkt wäre, dass du doch einen (vielleicht noch nicht bekannten) Virus auf deinem Rechner hast welchen du eventuell (per Stick, externer HDD, ...) auf deinen privaten PC portiert hast. Dieser Virus übermittelt alle E-Mail Kontakte, alle Mailadressen der Empfänger und auch natürlich die Absender der letzten/aller empfangenen und gesendeten Mails an einen Server.

Und eine Mail mit einem falschen Namen und einer falschen E-Mail Adresse zu senden ist ja keine Kunst. Das kann dann ja jeder machen.

Lass mal über beide Rechner noch Malwarebytes Antimalware und JRT (Junkware Removal Tool) drüberlaufen.

Die haben mir in den letzten Jahren immer wieder geholfen wenn jemand aus unserer Firma oder einer unserer Kunden einen Virus hatte.

[sakura]

Das liegt insgesamt eher am Protokoll. Zum Versenden einer Email im Namen anderer benötigt man noch nicht mal Zugriff auf deren Email-Server, lediglich die Emailadresse. Das SMTP Protokoll ist so alt, dass es mehr oder weniger ohne irgendwelche Sicherheitschecks arbeitet. Da kann man so nichts machen :(

...:cat:...

[Aviator]

Zitat:

Zitat von sakura (Beitrag 1351848)

Das liegt insgesamt eher am Protokoll. Zum Versenden einer Email im Namen anderer benötigt man noch nicht mal Zugriff auf deren Email-Server, lediglich die Emailadresse. Das SMTP Protokoll ist so alt, dass es mehr oder weniger ohne irgendwelche Sicherheitschecks arbeitet. Da kann man so nichts machen :(

...:cat:...

Das ist schon klar. Nur falls die Mails doch über den eigenen Server versendet wurden, würde ich trotzdem die Kennwörter ändern.

EDIT: Er schreibt zwar, dass im Header eine kryptische Mailadresse drin stand (weshalb die Mail wohl von jemandem über einen eigenen Mailaccount gesendet wurde), aber Kennwort ändern ist sicherlich nicht die schlechteste Variante. Einfach nur um den Punkt auszuschließen.

[Medium]

Zitat:

Zitat von Der schöne Günther (Beitrag 1351834)

Und diese beiden PCs sind die einzigen Geräte die jemals auf mindestens eins der beiden Mail-Kontos zugegriffen haben?

Definitiv ja. Ich bin da etwas altmodisch angehaucht und will auch nicht unbedingt alles über meine Korrespondenzen wissen lassen. Auch wähnte ich mich der besseren Kontrolle wenn es so wenige wie möglich "Zugangspunkte" gibt.

Zitat:

Benutzt du das gleiche Passwort?

Nein, auf keinen Fall!

Zitat:

Zitat von Aviator (Beitrag 1351847)

Das erste was ich machen würde wäre, dass du alle Passwörter änderst. Nicht das jemand dein Master Account gehackt hat und somit Mails verschickt.

Da es ja über einen nicht-unseren Mailserver geht vermute ich dies nicht, aber sicher ist sicher. Wird gemacht. (Wie ihr in den roten Kästen auch schon "erarbeitet" habt :D)

Zitat:

Der andere Punkt wäre, dass du doch einen (vielleicht noch nicht bekannten) Virus auf deinem Rechner hast welchen du eventuell (per Stick, externer HDD, ...) auf deinen privaten PC portiert hast. Dieser Virus übermittelt alle E-Mail Kontakte, alle Mailadressen der Empfänger und auch natürlich die Absender der letzten/aller empfangenen und gesendeten Mails an einen Server.

Ja, so etwas befürchte ich. Beide PCs waren in letzter Zeit auch öfters mal via TeamViewer "verbunden", wobei ich aber keine Executables ausgetauscht habe. (Home-Office und so.)

Zitat:

Lass mal über beide Rechner noch Malwarebytes Antimalware und JRT (Junkware Removal Tool) drüberlaufen.

Die lass ich doch gleich mal auf beide Kisten los.


Edit: Wie ist es eigentlich mit solchen Multi-Quote-Antworten? Ich selber finde die gut zu lesen, aber es gibt Foren wo sie sogar von Mods angemahnt werden. Ist das okay so wie ich das hier gemacht habe? Nur am Rande.

[Aviator]

Zitat:

Zitat von Medium (Beitrag 1351851)

Edit: Wie ist es eigentlich mit solchen Multi-Quote-Antworten? Ich selber finde die gut zu lesen, aber es gibt Foren wo sie sogar von Mods angemahnt werden. Ist das okay so wie ich das hier gemacht habe? Nur am Rande.

Im allgemeinen finde ich es nicht schlimm. Aber wenn ich Quote, dann kopiere ich immer noch selbst den Namen nochmal oben rein. Oft verwirrt es mich, wenn ich nicht weiß, von wem denn jetzt eigentlich das Zitat kommt.

Schlecht finde ich nur, wenn Zitate gemacht werden die aus dem Kontext/Zusammenhang gerissen werden und dann etwas ganz anderes dabei rauskommt. :?

[Jim Carrey]

Zitat:

Zitat von Aviator (Beitrag 1351857)

Im allgemeinen finde ich es nicht schlimm. Aber wenn ich Quote, dann kopiere ich immer noch selbst den Namen nochmal oben rein. Oft verwirrt es mich, wenn ich nicht weiß, von wem denn jetzt eigentlich das Zitat kommt.

Schlecht finde ich nur, wenn Zitate gemacht werden die aus dem Kontext/Zusammenhang gerissen werden und dann etwas ganz anderes dabei rauskommt. :?

Gut wäre eine Funktion, die den Text den man markiert zu einer Art Zitat-Liste hinzufügt, welche man anschließend in seinem Beitrag verwenden kann.
Kein mühlseliges Rumkopieren von Namen mehr.

[nahpets]

Die erste Frage, die zu stellen ist:

Wurde bei Strato irgendwann mal Benutzerdaten entwendet. (Du als betroffener solltest dort sofort nachfragen, sofern noch nicht geschehen.) Und den Provider darüber informieren, dass dort eventuell etwas schieflaufen könnte.

Wie alt sind denn die vom Spammer genutzten Daten?
Das aktuelles Adressbuch, aktuellgenutzte Mailadressen oder eher solche, die schon was älter sind, aber die Adressen, die noch jünger sind als "Zeitraum X" sind nicht betroffen. Damit könntest Du herausfinden, ob Du ein aktuelles Problem beheben musst, oder einem schon etwas älteren Datenklau auf die Spuren kommen musst.

Mal so 'ne etwas schräge Idee am Rande (Teamviewer brachte mich da so auf heimtückische Gedanken):

Wenn ich mir die Delphikomponenten zur Fernsteuerung von MS-Office-Produkten anschaue, so kann ich dort auch eine Remote-Maschine eingeben. Damit kann ich also von meinem Rechner aus Word, Excel und auch Outlook fernsteuern. Und da ist dann auch das Auslesen von Mails und Adressbuch ... bei. Dafür brauche ich keinerlei eigene Software auf dem auszuspionierenden Rechner. Ich muss ihn nur kennen und irgendwie im Netz einen Zugang haben, bei dem niemand auf dem Weg dazwischen dafür sorgt, dass ich daran gehindert werde. Irgendeine Software, die von 'nem Virenscanner (oder sowas) gefunden werden kann, ist dafür nicht erforderlich.

Abgesehen davon: Wenn ich einen Service wie Strato ... für meinen Mailversand nutze, dann sind dort meine Daten immer verfügbar und wem es gelingt die dort abzugreifen, kann sie beliebig nutzen.

Wie sind Deine Mailclients konfiguriert?
Löschen sie die Mails nach dem Abholen auf dem Server oder lassen sie sie dort liegen?
Kannst Du über 'nen Webclient auf Deine Mails zugreifen?
Dann sollten dort keine Mails und kein Adressbuch ... verfügbar (bzw. leer) sein. Andernfalls liegen die Daten halt beim Betreiber des Servers. Und wer bei dem an die Daten kommt, kann damit machen was er will. Da hilft Dir auf Deinem PC auch maximale Sicherheit nichts.

Vollständig lesen: http://www.pcwelt.de/ratgeber/Mail_g...n-8876239.html

Prüfen, ob Mailkonte gehackt wurde: https://www.sicherheitstest.bsi.de/#email
https://sec.hpi.uni-potsdam.de/leak-checker/search

[himitsu]

Zitat:

Zitat von Medium (Beitrag 1351851)

Edit: Wie ist es eigentlich mit solchen Multi-Quote-Antworten?

Die Forensoftware ermöglicht dir sogar sowas.

Du Postest/Zitierst und kannst unten, aus der Übersicht, weitere Zitate übernehmen.
Und wenn man das macht, dann ist im Zitat auch die Quelle verlinkt. Funktioniert vermutlich sogar aus anderen Threads heraus.

[Luckie]

[QUOTE=himitsu;1351875]

Zitat:

Zitat von Medium (Beitrag 1351851)

Du Postest/Zitierst und kannst unten, aus der Übersicht, weitere Zitate übernehmen.
Und wenn man das macht, dann ist im Zitat auch die Quelle verlinkt. Funktioniert vermutlich sogar aus anderen Threads heraus.

Ähm, ich glaube das ist etwas offtopic. Für Verbesserungsvorschläge haben wir ein eigenes Unterforum. Bitte benutzt das.

[Aviator]

Zitat:

Zitat von himitsu (Beitrag 1351875)

Zitat:

Zitat von Medium (Beitrag 1351851)

Edit: Wie ist es eigentlich mit solchen Multi-Quote-Antworten?

Die Forensoftware ermöglicht dir sogar sowas.

Du Postest/Zitierst und kannst unten, aus der Übersicht, weitere Zitate übernehmen.
Und wenn man das macht, dann ist im Zitat auch die Quelle verlinkt. Funktioniert vermutlich sogar aus anderen Threads heraus.

Wenn man allerdings einen Beitrag zitiert hat und die Antwort aufsplittet, dann gehen die Informationen verloren. Und ich zitiere nicht jedes Mal wieder einen kompletten Beitrag wenn ich nur einen Satz daraus haben will. Dann geht das Einfügen des Namens oben einfacher. :roll:

EDIT:

Zitat:

Zitat von Luckie

Ähm, ich glaube das ist etwas offtopic. Für Verbesserungsvorschläge haben wir ein eigenes Unterforum. Bitte benutzt das.

Der TE hatte ja extra danach gefragt. :-D

[Medium]

Zitat:

Zitat von nahpets (Beitrag 1351873)

Wurde bei Strato irgendwann mal Benutzerdaten entwendet. (Du als betroffener solltest dort sofort nachfragen, sofern noch nicht geschehen.) Und den Provider darüber informieren, dass dort eventuell etwas schieflaufen könnte.

Gute Idee!

Zitat:

Wie alt sind denn die vom Spammer genutzten Daten?
Das aktuelles Adressbuch, aktuellgenutzte Mailadressen oder eher solche, die schon was älter sind, aber die Adressen, die noch jünger sind als "Zeitraum X" sind nicht betroffen. Damit könntest Du herausfinden, ob Du ein aktuelles Problem beheben musst, oder einem schon etwas älteren Datenklau auf die Spuren kommen musst.

Uff. Das müsste ich im Einzelnen prüfen. Bei meinem ersten Vorkommen, also im Büro, wurde zumindest sogar eine Adresse bespammed, die in meiner 3.-ältesten Mail nur vorkommt. Die besagte, die weder als Absender noch Empfänger genutzt wurde, sondern ich mir nur von privat ins Büro weitergeleitet habe. (Die liegt sogar in einem mittlerweile archivierten Ordner, den ich um nicht über die 2GB zu kommen abspalten musste.)
Edit: Gerade geprüft: Diese Mail liegt NICHT mehr auf dem Strato-Server. Es MUSS daher etwas mein lokales Outlook durchstöbert haben!

Zitat:

Mal so 'ne etwas schräge Idee am Rande (Teamviewer brachte mich da so auf heimtückische Gedanken): [,,,]

Im privaten Fall gab es kein Outlook, sondern Thunderbird. Ich glaube dies bietet keine OLE-Automation oder?

Zitat:

Wie sind Deine Mailclients konfiguriert?
Löschen sie die Mails nach dem Abholen auf dem Server oder lassen sie sie dort liegen?

Bleiben liegen bis sie im Client gelöscht wurden.

Zitat:

Kannst Du über 'nen Webclient auf Deine Mails zugreifen?

Ja, nutze ich allerdings nie.

Zitat:

Dann sollten dort keine Mails und kein Adressbuch ... verfügbar (bzw. leer) sein. Andernfalls liegen die Daten halt beim Betreiber des Servers. Und wer bei dem an die Daten kommt, kann damit machen was er will. Da hilft Dir auf Deinem PC auch maximale Sicherheit nichts.

Ich frage da mal nach. Eigentlich halte ich Strato bisher für ein recht seriöses Unternehmen, dass uns bei bekannten Sicherheitsproblemen umgehend Bescheid gegeben hätte - aber man weiß ja nie.

Danke auch für die Links! Lektüre für jetzt gleich :)

Zitat:

Zitat von himitsu (Beitrag 1351875)

Zitat:

Zitat von Medium (Beitrag 1351851)

Edit: Wie ist es eigentlich mit solchen Multi-Quote-Antworten?

Die Forensoftware ermöglicht dir sogar sowas.

Du Postest/Zitierst und kannst unten, aus der Übersicht, weitere Zitate übernehmen.
Und wenn man das macht, dann ist im Zitat auch die Quelle verlinkt. Funktioniert vermutlich sogar aus anderen Threads heraus.

Das ja, aber wie Aviator schon bemerkt hat, pflücke ich die Beiträge ja dann nochmals auf in separate Abschnitte. (Der Bezug ist immer zum zuletzt genannten zitierten, und eigentlich eindeutig ohne den Namen immer wieder reinzukopieren.) Aber egal, das soll nicht Thema dieses Threads werden, und bisher hat sich keiner beschwert :thumb:

[Namenloser]

Zitat:

Zitat von Medium (Beitrag 1351880)

Eigentlich halte ich Strato bisher für ein recht seriöses Unternehmen, dass uns bei bekannten Sicherheitsproblemen umgehend Bescheid gegeben hätte - aber man weiß ja nie.

Naja, wenn du da einen (V-)Server hast, dann ist es auch deine Verantwortung, dass er sauber bleibt. Aber ich schätze mal, wenn der Server kompromittiert wäre, dann wären auch die Spam-Mails direkt von dort gesendet worden. Obwohl... bei Spammern und deren automatischen Methoden weiß man nie. Aber gibt es denn noch andere Accounts auf dem Server, die auch betroffen sind? Wenn deiner der einzige ist, dann schätze ich mal, dass es auch an deinem Rechner liegt.

[nahpets]

Zitat:

Zitat von Medium (Beitrag 1351880)

Edit: Gerade geprüft: Diese Mail liegt NICHT mehr auf dem Strato-Server. Es MUSS daher etwas mein lokales Outlook durchstöbert haben!

Irrtum, Denkfehler:
Der Klau kann auch zu 'nem Zeitpunkt stattgefunden haben, als die Daten noch auf dem Strato-Server lagen.

Und wenn dort schon einer etwas länger Zugriff hat und ab und an mal neue Daten holt?

Wenn Du den Webclient nie nutzt, ist es auch nicht erforderlich, dass die Mailclients die Daten auf dem Server liegen lassen, dann können die die Daten auch abholen und sofort auf dem Server löschen. Dann kann sie dort auch keiner entwenden bzw. nur die, die noch nicht abgeholt wurden.

Liegen von Dir verschickte Mails eigentlich auch auf dem Server oder nur die, die Du (von wem auch immer) bekommst?

Wie erfolgt der Mailversand (rein technisch gesehen)?
Wird über SMTP verschickt, da geht dann nix ins Postfach auf dem Server. Dort liegen dann nur die eingehenden Mails und die per Webclient verschickten. Da der nicht genutzt wird, also nur eingehende Mails. Bitte prüfen.

Gibt es bei den "betroffenen" Empfänger welche, an die Du nur was geschickt hast, von denen Du aber nie was bekommen hast, so dass der Server sie eigentlich nicht kennen kann?

Wenn ja, dann wäre eine lokale Problemsuche angebracht.

So: Dann hab' ich mal meine Lieblingssuchmaschine bemüht.
Suchbegriff: Outlook fernsteuern.
1. Suchergebnis: https://integrate.teamviewer.com/de/integrate/outlook/

Was liest man da?

Zitat:

Zitat von https://integrate.teamviewer.com/de/integrate/outlook/

Mit der TeamViewer-App für Outlook verbinden Sie sich mit anderen TeamViewer-Nutzern einfach und direkt. Sehen Sie auf einen Blick, ob andere Teilnehmer einer E-Mail-Konversation online sind und stellen Sie eine TeamViewer-Verbindung her.

Machen Sie Kommunikation mit anderen noch effizienter und nutzen Sie TeamViewer für Chat, Fernsteuerung, Videokonferenz oder Online Meetings.

Habe jetzt keine Lust zu forschen, ob man auf diesem Weg "Unfug" (siehe Wort "Fernsteuerung" in der Beschreibung) betreiben kann. Da ich kein Outlook nutze und den TeamViewer nicht kenne, weiß ich nicht, in welchem Maße man über den kompromittierten einen den anderen ausspionieren kann.

Sollte es da irgendeine Schwachstelle geben, wären alle "TeamViewer-Beteiligten" ebenfalls eine mögliche undichte Stelle, die Dir Deine Daten entwendet haben könnte.

[Luckie]

Ich verschicke auch per SMTP über Thunderbird. Da werden due Mails in den IMAP Postausgangsordner kopiert.

[nahpets]

Zitat:

Zitat von Luckie (Beitrag 1351890)

Ich verschicke auch per SMTP über Thunderbird. Da werden due Mails in den IMAP Postausgangsordner kopiert.

Das muss aber nicht zwingend so sein.
Nutze FoxMail. Was ich damit verschicke, egal ob web.de, freenet.de, t-online.de, geht über SMTP und ist nachher bei keinem der drei Provider auf dem Server zu sehen, sondern nur in der lokalen Mail-Datei.

Früher hab' ich Statusmails unserer Server mit Blat per SMTP über unseren Exchange-Server verschickt. Diese Mails sind allesamt nie in irgendeinem Postfach als "gesendet" erschienen, sondern nur im jeweiligen Empfängerpostfach als Maileingang.

Die Frage, die sich hier stellt ist jetzt: Ist das 'ne Eigenschaft von Thunderbird oder eine Verfahrensweise des Providers.

Hab' gerade mal in 'ner alten Version von Thunderbird nachgeschaut, dort kann man konfigurieren, ob man gesendete Mails auch auf dem Server in 'nem Ordner ablegen möchte. Das geht also über den reinen SMTP-Versand hinaus.

[Codehunter]

Also ich habe mir das Eingangspost mal komplett durchgelesen. Das erinnert mich stark an einen Fall den wir bei uns in der Firma schon öfters hatten. Die Leute benutzen Outlook und haben ihren Rechner, aus welchen Gründen auch immer, mal mit einem Smartphone verbunden. Sei es auch nur, um ein paar MP3s auf das SM zu schubsen oder aber um z.B. per Kies ein Firmware-Update durchzuführen. Wie und warum auch immer, das Windows-Sync-Center hatte ohne viel Diskussion eine Kopie der Rechner-lokalen Kontakte auf das Phone "gesynct" (mir war bis dahin nicht mal klar dass das inzwischen auch mit Androiden geht!). Nachdem die Kontakte erstmal auf dem Phone waren, konnten sich alle Apps daran bedienen, denen man jemals bei der Installation Zugriff auf die Kontakte gewährt hatte. Ob da nun eine der Apps an sich böswillig war oder aber deren Anbieter dann seinerseits gehackt wurde, jedenfalls kamen die Kontakte auf diesem Wege abhanden.

Dass es genau dieser Weg war ließ sich anhand der Mailadressen im CC rekonstruieren, als dann diese "Undelivery"-Bounces reindröppelten. Denn es waren welche dabei, die NUR auf diesem Smartphone in Verbindung mit den anderen, vom Rechner gesyncten Kontakten gespeichert waren.

Outlook ist halt in vielerlei Hinsicht eine Pest. Ich würde eigentlich jedem davon abraten. Hauptsächlich weil ich es für ein völlig overengineeredes Featuremonster halte, das einer ziemlich geschwätzigen Philosophie folgt.

Dem Threadopener wird jetzt wohl nichts weiter übrig bleiben als entweder den eingetretenen Zustand zu akzeptieren oder aber sich eine andere Mailadresse zuzulegen. Denn was einmal in den Spammer-Datenbanken drin ist wird auf Jahre hinaus auch drin bleiben. Wenn man z.B. Domains verwaltet sieht man in den logs gelegentlich, wie viel Schrott an längst abgeschaltete Mailadressen geschickt wird.

[Medium]

Zitat:

Zitat von Namenloser (Beitrag 1351886)

Naja, wenn du da einen (V-)Server hast, dann ist es auch deine Verantwortung, dass er sauber bleibt.

Es ist ein ganz simples Paket mit einer Hand voll Webspace und E-Mail Accounts. Wir administrieren dort überhaupt nichts, vom CMS unserer Webseite mal abgesehen. Daher habe ich auch eher mich als Strato im Visier.

Zitat:

Zitat von nahpets (Beitrag 1351887)

Irrtum, Denkfehler:
Der Klau kann auch zu 'nem Zeitpunkt stattgefunden haben, als die Daten noch auf dem Strato-Server lagen.

Die betreffende Mail ist locker 2 Jahre alt. Da bis vor kurzem nichts war, tendiere ich dennoch eher zu meiner Schlussfolgerung. (Und anderen Indizien.)

Zitat:

Wenn Du den Webclient nie nutzt, ist es auch nicht erforderlich, dass die Mailclients die Daten auf dem Server liegen lassen, dann können die die Daten auch abholen und sofort auf dem Server löschen. Dann kann sie dort auch keiner entwenden bzw. nur die, die noch nicht abgeholt wurden.

Das hatte ich mal ursprünglich so eingerichtet, damit ich einfacher mehrere Geräte mit Clients für die Adresse einrichten kann, ohne dass ich nachher auf mehreren Devices unterschiedliche Mails habe. Das ist nur nie zum Tragen gekommen.

Zitat:

Liegen von Dir verschickte Mails eigentlich auch auf dem Server oder nur die, die Du (von wem auch immer) bekommst?

Der Postausgang im Webclient ist leer.

Zitat:

Gibt es bei den "betroffenen" Empfänger welche, an die Du nur was geschickt hast, von denen Du aber nie was bekommen hast, so dass der Server sie eigentlich nicht kennen kann?

Nur diese eine besagte, in der die Adresse im weitergeleiteten Kopf stand, und die sehr sicher schon ewig nicht mehr auf dem Server liegt. Nur das Gegenteil kann ich sicher sagen: Es wurde Spam an Adressen geschickt, die nur mir geschrieben haben, ich ihnen aber nie.

Zitat:

So: Dann hab' ich mal meine Lieblingssuchmaschine bemüht.
Suchbegriff: Outlook fernsteuern.
1. Suchergebnis: https://integrate.teamviewer.com/de/integrate/outlook/

Was liest man da?
[...]

Der einzige, der sich auf meine PCs mit TeamViewer verbunden hat (Logs geprüft!), bin ich selbst, mit dem jeweils anderen PC. (Also Privat<->Büro, in beide Richtungen.) Das erklärt auch nicht, wie die Daten auf meinem privaten PC ermittelt würden, da hier eben kein Outlook überhaupt installiert ist. (Sondern Thunderbird.)

Gibt es eventuell die Möglichkeit, dass eine Webseite "on the fly" welchen Mail-Client auch immer man als Standard angegeben hat durchsuchen kann? Weil ich finde auf Biegen und Brechen keinen Fitzel Malware auf den PCs, auch mit MBAM und Konsorten nicht. Ich nutze auf beiden Kisten den aktuellsten Chrome, und als einzige Extensions sind AdBlock+ und Ghostery registriert. Zudem ist der Browserschutz der Virenscanner aktiviert - im Büro AVG, privat Panda AV. Und wenn Webseiten nach Zugriffen fragen, wird generell "NEIN!!!" geklickt. Auch wenn es nur Google ist, die wieder mal meinen Standort abfragen wollen. Fragwürdige Seiten rufe ich allerdings höchstens privat auf, und zwar einschlägige Streaming-Portale, da es die dämlichen Broadcaster sogar in Zeiten von Netflix und Amazon Prime (welche ich beide aboniere) nicht schaffen (bzw. wollen) Serien weltweit und in Englisch zu veröffentlichen... Das würde nur den Befall im Büro nicht erklären, der ja sogar als erstes passiert ist.
Könnten Webseiten so etwas unbemerkt, und ohne Downloads oder Bestätigungsfensterchen?

Zitat:

Zitat von Codehunter (Beitrag 1351896)

Also ich habe mir das Eingangspost mal komplett durchgelesen. Das erinnert mich stark an einen Fall den wir bei uns in der Firma schon öfters hatten. [...]

Ich hatte mein Telefon zwar schon an beiden PCs, jedoch habe ich gerade die Kontakte geprüft: Keine von den PCs zu finden, und da ich E-Mail nicht übers Phone nutze, speichere ich dort auch keine E-Mail Adressen zu den Kontakten. Ansonsten klang das nicht schlecht, scheidet aber wohl leider aus. Outlook ist leider Vorgabe hier. Aber das allein kann ja auch nicht der Übeltäter sein, da es wie gesagt mit Thunderbird genau das gleiche Problem gab.

[Codehunter]

Zitat:

Zitat von Medium (Beitrag 1351897)

Outlook ist leider Vorgabe hier.

Bei uns eigentlich auch. Aber mein Chef traut sich nicht mich rauszuschmeißen nur weil ich mich diesem Unsinn verweigere :-D

[p80286]

Bei uns auffe Fihmaa wird auch Outlook genutzt, und als es mal wieder im Gebälk knirschte, hat mir ein Kollege eine Internetadresse gezeigt (MS-Irgendwas/Outlook/Firmenname) über die ich an meine Mails (gesendet und erhalten) komme (Office 365). Weiß der Teufel auf welchen Servern wo überall meine Mails verstreut sind. Da können die Virenscanner auf meinem lokalen PC noch so aktuell sein, was auf irgendwelchen Servern im Netz Sache ist, keine Ahnung.

Gruß
K-H

P.S.
vor Jahren hatten wir öfters mal Mails von einem Kloster in Siegburg bekommen.
Bei tel. Rückfrage wurde uns glaubhaft versichert, daß sie keine Mails an uns versandt haben.
Seit dem ignoriere ich alle Mails, die ich nicht richtig zuordnen kann, und ich gebe mir da keine Große Mühe. Ein Betreff "must see" ist da schneller im Orkus verschwunden als er aufgerufen wurde.

[Medium]

Einen wirklichen Schaden erwarte ich auch nicht. Ich habe meistens mit technisch versiertem Personal zu tun, die wissen was mit solchen Mails zu tun ist. Mir (und meinem Chef) geht's da viel mehr um die Aussenwirkung. "Warum bekommt ein IT-Unternehmen sowas nicht in dem Griff?" - mag sich mancher Kunde dann fragen. Das sollte nicht sein.

Ich habe jetzt nochmals beide PCs mit je 3 Virensscannern und zusätzlich der gesamten Produktpalette von MalwareBytes durchwühlen lassen (inkl. des Rootkit Tools). Keiner hat auch nur einen Fund berichtet. Nichts. Gar nichts. Im Grunde bleibt mir fast nur noch abzuwarten ob da noch mal was kommt, und dann zu gucken ob neue Adressen auftauchen. Irgendwie unbefriedigend.

Danke euch trotzdem ganz heftig!

[einbeliebigername]

Hallo,

jetzt muss ich auch mal was schreiben. Ich bin kein Fachmann was IT-Sicherheit angeht. Falls das noch nicht erwähnt wurde.

Zitat:

Zitat von Medium (Beitrag 1352019)

Ich habe jetzt nochmals beide PCs mit je 3 Virensscannern und zusätzlich der gesamten Produktpalette von MalwareBytes durchwühlen lassen (inkl. des Rootkit Tools). Keiner hat auch nur einen Fund berichtet. Nichts. Gar nichts.

Manche Gauner sind heute so clever und beseitigen ihre Spuren nach erfolgreichem Einbruch. Das tun sie, damit der Beklaute nicht noch auf das offene Scheunentor aufmerksam wird.

[Codehunter]

Ich habe letztens einen interessanten Bericht gesehen wo es um G-Data ging. Da wurden unter anderem Zahlen genannt. Wenn ich mich recht erinnere sollen weltweit pro Stunde 150.000 neue, bisher noch unbekannte Schädlingsvarianten auftauchen. Meistens handelt es sich nur um leichte Abwandlungen bereits vorhandener Malware, z.B. aus Baukastensystemen. Insofern wäre es nicht verwunderlich dass ein Virenscanner nicht auf einen "brandneuen" Schädling anspricht, weil die Signaturdatenbank schon vor über 5 Stunden aktualisiert wurde. Und heuristische Erkennungsmethoden sind naturgemäß immer etwas unscharf.

[Medium]

An sich stimmt das natürlich. Aber wenn 4 verschiedene Heuristiken zufrieden sind, ist das schon kein allzu schwaches Indiz mehr. Vor allem würde ein brand neues und oberpfiffiges Virusverhalten der absoluten Plumpheit der Spam-Mails selbst entgegen stehen. (Es wird ja nichtmals die Landessprache der Empfänger-TLDs benutzt.) Das schließt natürlich nichts aus, aber würde mich zumindest wundern. Ich schau jetzt einfach ob da noch was passiert.

Bezüglich der angesprochenen "Selbstabräumung": Das würde ich auch schon eher als "erweitertes" Verhalten ansehen. Den meisten ist doch egal was mit dem PC passiert sobald der Code den man wollte gelaufen ist, und die Chance der Weiterverbreitung ist sicherlich auch besser wenn man seinen Virus verweilen lässt. Zumal auch bei sowas dann der Live-Schutz der zu dem Zeitpunkt 3 aktiven Scanner anspringen dürfte. (Ja, 3 sind overkill. Das habe ich gemacht, als ich nach dem ersten Vorfall paranoid wurde. Das wird wieder auf 1 eingedampft :))

[einbeliebigername]

Hallo,

Zitat:

Zitat von Medium (Beitrag 1352051)

Bezüglich der angesprochenen "Selbstabräumung": Das würde ich auch schon eher als "erweitertes" Verhalten ansehen. Den meisten ist doch egal was mit dem PC passiert sobald der Code den man wollte gelaufen ist, und die Chance der Weiterverbreitung ist sicherlich auch besser wenn man seinen Virus verweilen lässt.

Ich denke das bezieht sich auf das was ich geschrieben habe. Wieso gehst du von einem Programm aus, welches die Daten selbstständig entwendet hat? Wovon ich sprach sind gezielte manuelle Angriffe. Das kann ein gekündigter Kollege, die Putzfrau oder irgendein Hacker gewesen sein. Und geklaute Gegenstände/Daten können durch aus sehr viel mehr Wert haben, wenn der Beklaute von der Entwendung nichts weiß. Was ich aber damit sagen wollte, egal was du nachträglich für Scanner-Software loslässt, kann es sein das diese nichts finden kann. Dann bleibt nur aktive selbst nach dem offenen Fenster zu suchen.

Zitat:

Zitat von Medium (Beitrag 1352051)

Zumal auch bei sowas dann der Live-Schutz der zu dem Zeitpunkt 3 aktiven Scanner anspringen dürfte. (Ja, 3 sind overkill. Das habe ich gemacht, als ich nach dem ersten Vorfall paranoid wurde. Das wird wieder auf 1 eingedampft :))

Ich hatte aus dem Gelesenen hier entnommen, dass erst nach Bekanntwerden der möglichen Datenentwendung Scanner eingesetzt wurden. Lief nun während die Daten entwendet wurden überhaupt eine Schutzsoftware? Ist aber auch eigentlich egal. Keine Schutzsoftware ist perfekt. Egal wie viele Schutzprogramme laufen, sie verringern nur die Wahrscheinlichkeit, dass ein Angriff unentdeckt bleibt. Ausschließen können sie das aber nicht.

Ich bin wie schon gesagt kein Fachmann in dem Thema. Bin aber der Meinung, dass ein IT-Unternehmen in der heutigen Welt nicht selbst alle gefahren abwehren kann. Mein Tipp, wenn ihr euch sicher seid, dass euch Daten entwendet wurden, holt euch bei einem Fachmann professionelle Hilfe und kümmert euch um euer Tagesgeschäft.

[Medium]

Huhu!

Zitat:

Zitat von einbeliebigername (Beitrag 1352064)

Ich denke das bezieht sich auf das was ich geschrieben habe.

Jup. Da habe ich dich falsch verstanden dann. Die Wahrscheinlichkeit dafür ist aber, denke ich, noch geringer als eine gewöhnliche Malware. Der letzte Mitarbeiter hat unser Unternehmen vor 7 Jahren im Guten verlassen, und die restlichen 4 Kollegen (wir sind klein!) kenne ich seit Jahren und gut genug. (Wirklich.) Ansonsten habe ich mir auch keinen größeren Groll zugezogen in letzter Zeit. Ich bin ja recht umgänglich :)
Ne im Ernst: Ich kann mir nicht im Entferntesten jemanden ausdenken, der da ansatzweise ein Interesse hätte. Und schon gar nicht jemand, der es schaffen würde auf zwei meiner PCs dies zu tun, und zwar genau meinen. (In meinem privaten Netz sind auch meine Eltern und Schwester, da wir im selben Haus wohnen und uns die Kosten teilen. Die hatten keine Probleme. Aus meiner Firma bisher auch nicht.) Ich glaube, das kann ich insgesamt recht gut ausschließen.

Zitat:

Ich hatte aus dem Gelesenen hier entnommen, dass erst nach Bekanntwerden der möglichen Datenentwendung Scanner eingesetzt wurden.

Das ist nicht richtig. Sowohl privat als auch im Büro liefen immerhin die MS Security Essentials. Ich weiß, dass die bei weitem nicht das Gelbe vom Ei sind, aber ich hatte erst kürzlich beide PCs frisch eingerichtet (System-SSD wurde zu klein und Win 10 frisch aufsetzen in beiden Fällen), und mich noch nicht für eine neue Lösung entschieden. Nachdem der Fall im Büro auftrat, habe ich auf den Büro-PC AVG und MBAM installiert und suchen lassen, privat AVG und Panda AV. Der private Angriff lief also mit zwei aktiven Scannern + MSSE, vorausgesetzt er fand nicht doch schon deutlich vorher statt. (Mehrere Wochen lagen zwischen Büro- und Privatangriff.)