Viren, Spyware, Datenschutz 11.258 Themen, 94.807 Beiträge

Vor wenigen Minuten erreichte eine Mail von 1&1 mein Postfach - eine Mahnung laut Betreff. Zwar bin ich Kunde bei 1&1 und erhalte auch meine Rechnungen just von der (natürlich gefälschten) Absender-Adresse rechnungsstelle@1und1.de - aber der berechtigte Verdacht liegt nahe, dass es natürlich keine echte Mail ist, denn Mahnungen werden üblicherweise nicht per Mail verschickt und diese Masche ist auch altbekannt.

SPAM-Mails, Phishing-Mails und Viren-Mails sind an für sich nichts besonderes mehr und alltäglich - es lohnt sich in der Regel nicht darüber zu berichten. Warum ich über diesen Fall trotzdem berichte hat mehrere Gründe.

Zum einen ist diese Mail im Vergleich zu dem üblichen Mist recht gut gemacht - keine falschen Sonderzeichen, keine Schreibfehler (zumindest auf den ersten Block), korrekte Grammatik und auch die passende Absender-Adresse. Die Mail enthält auch keinen verdächtigen Anhang, sondern (auch nicht unüblich) einen Link (vorgeblich) zum Control-Center. Allerdings führt der Link (wie vermutet) nicht zum Control-Center von 1&1, sondern zu einem Download von einem Server mit einer schlecht gewarteten Joomla-Installation. Spätestens jetzt, wo hinter dem Link direkt ohne Authentifizierung der Download einer ZIP-Datei angeboten wird sollten alle Alarmglocken schrillen.

Wer die ZIP-Datei trotzdem herunter läd und entpackt findet darin eine ausführbare EXE-Datei, die jedoch mittels PDF-Icon und überlangem Dateinamen als PDF getarnt ist. Wer Dateierweiterungen ausblendet könnte wirklich auf den Gedanken kommen, es handle sich um eine solche.

Was das ganze jedoch besonders brisant macht ist der Umstand, dass aktuell (Stand 16.01.2014) noch sehr wenige Virenscanner diesen Schädling erkennen, laut Virustotal gerade einmal 14 von 48. Der kostenlose Scanner Microsoft gehört zu den Virenscnannern, die hier versagen und die Datei als sauber einstufen.