Beispiele für eine Schädling-Mail - Teil 1: Fake-Mail von Globetrotter

Immer wieder machen wieder gefälschte Mails die Runde.
Auch vor kurzem wieder habe ich eine solche Mail - angeblich vom Anbieter "Globetrotter" erhalten.

Diese Mail dient jedoch nur dazu, Zugang zu einem fremden Rechner zu erhalten. Und dann die persönlichen Daten wie Zugangsdaten für Online-Banking, Facebook & Co. zu bekommen.

Oder Hintertüren zu öffnen, um den Rechner für andere Zwecke zu missbrauchen.

In dem Beitrag erkennt ihr, woran man diese Mails als Fake zum Versand von Schädlingen erkennt.




Mehr zu den Grundlagen, wie man gefälschte oder SPAM-Mails erkennen kann, erfahrt ihr in diesem Betrag.

Schädling-Mail - angeblich von Globetrotter:

Inhalt + Aufbau stimmig

Auch diese Mail ist inhaltlich und beim Aufbau gut gemacht.

• Es gibt - anders als in vielen anderen SPAM- oder Fake-Mails - keine Mängel bei Rechtschreibung und Grammatik.
• Darüber hinaus sind - natürlich erfunden - Kunden- und Auftragsnummer enthalten
• Die Mail stammt auch nicht von einer fremden E-Mail-Adresse.
• Ebenso ist ein ordentliches Impressum - wenn auch natürlich gefälscht, da nicht vom vermeintlichen Absender - am Ende der Mail vorhanden.
• Selbst ein Hinweis, dass die PDF-Datei im Anhang mit dem Adobe Reader geöffnet werden soll, ist vorhanden.
• Inklusive Link, unter der man bei Bedarf das PDF-Programm herunterladen kann.

Zum Öffnen der (angeblichen) Rechnungen benötigt man den Adobe Reader.
Diese Mail versucht durch den Hinweis auf das Programm vorzutäuschen,
der Anhang wäre tatsächlich eine Rechnung:

Keine Abweichungen im erweiterten Header

Außerdem passt bei der Mail - auf den ersten Blick - auch der erweitere Header mit zusätzlichen (technischen) Infos zu Mail + Absender.

Darüber kann man bei vielen gefälschten Mails anhand der Merkmale wie abweichende Server-Adresse oder Mail-Adresse leicht erkennen, dass es sich um eine gefälschte Mail handelt.

Nicht so aber in diesem Fall.

Merkmale für eine Fake-Mail / einen Schädling

Schädlinge in Mails werden häufig mit einer anderen Datei-Endung, dem sog. Datei-Format getarnt.
Dabei gaukelt die Datei dem Web-Dienst bzw. dem Betriebssystem vor, ein anderes Format zu haben. Damit der Nutzer die Datei für ungefährlich hält und eher bereit ist, sie zu öffnen.

Bei dieser Mail befindet sich die "Auftragseingang Nr. 1005812325.pdf.vbe" im Anhang.
Dabei soll vor das eigentliche Datei-Format "vbe" verschleiert werden. Damit der Empfänger glaubt, es handelt sich um eine PDF-Datei, z. B. für den Adobe Reader.

Tatsächlich handelt es sich aber um ein Script, das vermutlich Schaden am Rechner anrichten oder Daten ausspähen soll.

Diese Mail enthält eine angebliche Rechnung als PDF,
die jedoch durch das doppelte Datei-Format ein schädliches Script ist:

Was inhaltlich nicht passt ...

In der aktuellen Mail lässt sich diese leicht als Fälschung erkennen.
Denn obwohl angeblich Mail-Adresse und Impressum passen und sogar Kunden- und Auftragsnummer enthalten sind, scheitert der Text an der persönlichen Ansprache.

Denn: Für seriöse Mail-Dienste - vor allem bei Shop-Systemen - ist es kein Problem, den Empfänger persönlich mit Vor- und Nachnamen (z. B. "Guten Tag, Herr Peter Müller") anzusprechen.

Diese Mail spricht den Empfänger allerdings mit "Liebe Kundin, lieber Kunde", also anonym an.
Das sollte in einem System, in dem die Kundennummer enthalten ist, nicht passieren.

Häufig fehlt es SPAM und schädlichen Mails an einer persönlichen Ansprache.
So auch diese Mail:

Noch kein Kontakt mit Anbieter

Das deutlichste Zeichen aber:
Ich habe noch nie etwas mit der Firma Globetrotter zu tun gehabt. Und dort nie etwas bestellt.

Deshalb ist es gar nicht möglich, dass ich von denen eine Rechnung erhalte.

Fazit:

Auch wenn bei dieser Mail viele Dinge für eine seriöse Mail sprechen, dient die Mail nur dem Zweck, Schädlinge zu verbreiten.

Das erkennt man am Datei-Anhang, an der fehlenden persönlichen Ansprache und am fehlenden Bezug als Kunde.

Solch eine Mail sollte deshalb sofort als SPAM oder als Betrug-Mail gemeldet werden.