Voll vermüllt

Ich frage mich, warum ein grosser deutscher Internet-Anbieter das Thema Spam offensichtlich nicht im Griff hat. Hier ein Blick in meinem T-Online e-Mail-Posteingang. Die Mailadresse benutze ich nie und schaue hier auch max. einmal im Schaltjahr vorbei.

Ich bin nur froh, dass ich einen eigenen Mailserver mit Freunden betreibe, wo Spam kein Thema ist.

Gruselig

Mal abgesehen davon, dass ich das mit meinem Telekom-Anschluss verbunde Postfach nicht nutze, finde ich es echt gruselig, wie schlecht hier die Spam-Erkennung ist:

Auf frischer Tat erwischt (TeslaCrypt / Krypto-Trojaner)

Die einschlägige IT-Onlineberichterstattung ist aktuell voll mit Meldungen über Krypto-Trojaner (Locky, TeslaCrypt usw.). Aus der Quarantäne eines Servers konnte ich eine "TeslaCrypt"-Mail extrahieren. Diese scheinbar harmlose Mail (ohne HTML-Ansicht):

Date: Wed, 24 Feb 2016 09:45:34 -0430
From: Julia Rehfeldt 
To: michael.schillinger@xyz.de
Subject: Rechnung


Mit freundlichen Grüßen
Julia Rehfeldt
__________________________________________
xxx yyy GmbH

enthält den Anhang WIN_004_12_TISIBA_Module_JKM235polyx4.zip in welchem sich eine Javascript-Datei enthielt, die den eigentlichen Krypto-Trojaner nachlädt:

Die Javascript-Datei ist unicode kodiert. Eine Decodierung zeigt dann den Inhalt lesbar an:

Letztendlich wird am Schluß von einem Server in der Türkei der eigentliche Schadcode nachgeladen, der dann für das Verschlüsseln der eigenen Dateien verantwortlich ist. Der Benutzer muss aktiv den Anhang anklicken, dass dieser auch ausgeführt wird.

Entweder hat die Firewall des Serverbetreibers in der Türkei  nun aktualisierte Virenmuster oder es wurde hier manuell eingegriffen, zumindest lässt sich momentan der Schadcode nicht mehr herunterladen, man bekommt nur eine Warnseite (Fortinet):

Alina hat mir geschrieben

Zur Abwechslung mal eine eher lustige Spam-Mail erwischt:

From: novak peter <selyem23@freemail.hu>
To: xxx
Date: Wed, 17 Feb 2016 21:50:54 +0100
Subject: Hallo mein lieber Fremde,

Hallo! Ich scharf in Sie, und ich bin versuchen schreibe Ihnen. Sie fragen mir und ich es ist
wunschenswert wissen mehr uber sie. Ich traum sie verstehen uber mich. ansicht du wirst beantworten
mich. Ich mochte machen naher mit ihnen. Sie sind nicht gegen verhaltnis? heute.  Wenn Sie meine
Antwort Bitte Antwort nur in meinem privat e-mail : lachelndgutig@gmail.com  Ich ansicht du wirst
beantworten mich, und wir werden verhaltnis Ihr neuer partner Alina.

Liebe Alina: Netter Versuch, aber um mit Deinen Worten zu sprechen: Ich nicht interessiert sein an "verhaltnis" :-)

Neue Spammails mit Fax- und Vertrag-Zip-Anhängen

Momentan sind massiv einige Spammails mit bedenklichem Inhalt unterwegs. Die Mails enthalten alle ein gezipptes Attachment (z.B. heute vertrag_19.06.2013-signed_AE3356644179815D.zip oder gestern z.B. fax_FC51414B61211B684570.zip). Ausgepackt kommt ein Windows-EXE-File zum Vorschein, z.B. fax_FC51414B61211B684570.exe oder vertrag_19.06.2013-signed_AE3356644179815D.exe. Bedenklich finde ich, dass lediglich 5 von 51 AV-Scannern auf virustotal hier Schadcode entdecken: Analyse File vertrag_24.03.2013-signed_517951D46AB90939.exe. Die Mails kommen von scheinbar normalen Absendern, aber die IP-Adressen der Mailserver sind eher verdächtig (dynamische IP-Adressen, aus Polen, Rumänien, usw.).

Bei der gestrigen Spamwelle mit den Fax-Mails hatten bei virustotal lediglich 4 von 51 AV-Scannern etwas verdächtiges gefunden, mittlererweile immerhin 30/51: Analyse File fax_9494315F25001D38260C.exe

Bisher konnte ich auch keine Hinweise finden, dass es sich hier um eine grössere Welle handelt, aber die Anzahl der eingehenden (und zum Glück geblockten Mails) lässt schon darauf schliessen.

Kleiner Nachtrag: Hier noch ein paar Links dazu, die ich eben gefunden habe auf Unser täglich Spam:

• Kreditschuld zur Rechnung #239574485901756
• fax aus +49 (0) 30 999 117 xx – 24 seiten

Thoughts about BSD-derived Telnet Daemon and IronPort

Since end of December 2011 a classical buffer overflow was detected for BSD-derived Telnet Daemons, some people were curious if the IronPort/Cisco telnetd will be prone to the same vulnerability. Since I knew that the IronPort operating system (AsyncOS) is somehow BSD based the chance would be great. hdmoore from Rapid7 (to which Metasploit belongs) acknowledged that the telnetd is a stock FreeBSD telnetd and the exploit for the BSD telnetd of Metasploit is working on IronPort's AsyncOS. But since this isn't a really security hole (every common-sense IronPort administrator should have disabled telnet, shouldn't he?), this exploit is a good way to explore the world of AsyncOS until IronPort/Cisco will fix it. I tried the exploit with Metasploit and it works smooth out of the box. And I was astonished that AsyncOS is really a stock FreeBSD system with some special adaptions for mail and security (I only write of the ESA - email security appliance, but I think this will lalso work for the WSA - web security appliance). But I didn't manage to setup a user with root shell (e.g. with ssh logins), the IronPort guys have done a good job with hardening the OS. But maybe my FreeBSD skill are to limited to get it and/or I am only a poor hacker.

IronPort und Cisco

Nachdem vor einiger Zeit Cisco IronPort aufgekauft hatte, verschwindet nun so nach und nach das doch etwas exklusivere Design der entsprechenden Appliances mit Edelstahlblende an der Front. Die neuen Server sehen eher wie gewöhnliche 19"-Server aus, es wird wohl auch keine Dell-Hardware mehr verwendet. IronPort als Name taucht nur noch klein und versteckt auf, dafür prangt der Cisco-Schriftzug omnipräsent auf dem Blech. Solange sie ihre Funktionalität allerdings erfüllen, soll mir das auch egal sein, wenn ich es auch persönlich schade finde, dass die IronPort-Server nun nicht mehr aus dem Server-Einerlei herausstechen.

Ihre Kreditkarte wird ausgesetzt

Ach herrje, jetzt hat es mich auch erwischt: Meine Kreditkarte von Sparkasee wurde "ausgesetzt" (ich dachte immer, dass es Aussetzen nur im Bundestag unter Kohls Ära gab). An der Mail hängt interessanterweise eine ZIP-Datei, in welcher sich die HTML-Datei "Erstellen Sie Ihren Code fur MasterCard SecureCode oder Verified by VISA .html" befindet. Die HTML-Datei führt dann zu dem Server mit der IP 174.140.171.37, welcher irgendwo in den USA bei "DirectSpace Networks, LLC. DSNETWORKS-001" gehostet wird. Blöd nur für die Phisher, dass der Server nicht antwortet auf HTTP-Anfragen. Vielleicht wurde er schneller abgeschaltet, als die Phishing-Mail unterwegs war und den Phishern lieb sein dürfte. Die Mail an an sich ist im normalen Text codiert und nicht in HTML (wie das heute leider so unnötigerweise überhand nimmt), lediglich der Anhang im ZIP-Format ist eine HTML-Datei. Man muss aber schon aktiv diesen Anhang anklicken, um dann die HTML-Datei anzusehen und damit auf den Phishingserver umgeleitet zu werden. Hier noch der Original Wortlaut der Mail:

Date: Thu, 22 Sep 2011 15:08:25 +0200
From: Sparkasee 
To: support@she.net
Subject: Ihre Kreditkarte wird ausgesetzt.
Parts/Attachments:
   1 Shown     29 lines  Text
   2          1.3 KB     Application
----------------------------------------

Sehr geehrte Sparkasse Card,

Ihre Kreditkarte wird ausgesetzt, weil wir gemerkt haben, haben
Sie nicht Aktivieren Sie Verified by Visa - MasterSecure Code.

Aktivieren Sie Verified by Visa - MasterSecure Code, um Sie gegen
unbefugtes Einkaufe, wenn shoppin Online schnell und einfach.

Zu Ihrem Schutz haben wir Ihre Kredit Warenkorb ausgesetzt. 
So aktivieren Sie Ihre Karte herunterladen Befestigung und
das Formular ausfullen und folgen Sie den Anweisungen zur Aktualisierung
Ihre Kreditkarte.

Hinweis: Wenn nicht von 20 September 2011 abgeschlossen ist,
werden wir gezwungen sein, Ihre Karte, weil sie für betrugerische
Transaktionen verwendet werden konnen.

Bitte laden Sie herunter und entpacken Sie das Formular im Anhang
dieser E-Mail und öffnen Sie sie in einem Web-Browser.

Wir bedanken uns für Ihre Kooperation in dieser Angelegenheit.


sparkasse.de 2011   Alle Rechte vorbehalten. Vervielfaltigung nur
mit Genehmigung der Sparkassen-Finanzportal GmbH.
sparkasee@sparkasse-heidelberg.de

Die Mail kam übrigens aus Chile von der IP-Adresse 200.55.216.180.

Pogo in Togo oder Grüsse aus Togo, Westafrika

Ich wusste gar nicht, dass mein alter Freund Leon Stronzlherrn aus Molwanien Verwandschaft in Togo hatte. Jedenfalls hat er eine Nachricht bekommen, dass M.J. Stronzelhern, ein Ingenieur, welcher ebendort tätig war, bei einem Autounfall verunglückte und dem Leon nun 7,5 Mio. Dollar hinterlassen hat. Das wird den guten Leon mächtig freuen:

 

Anscheinend sind die Nigeria-Spammer nun nach Togo ausgewandert. Ich wusste gar nicht mehr, dass es die Jungs noch gibt. Macht nur weiter so, der Trophy Room der 419 Eater wartet schon auf Euch :-)

Spamanalyse Oktober 2010

Nach längerer Zeit mal wieder eine (kurze) Spamanalyse. Zu meinem Erstaunen sieht es so aus, also ob sich aktuell der Anteil der abgewiesenen Spammails verringert. Wurden in den Spitzenzeiten ca. 90% aller eingehenden Mails wg. Spam abgewiesen, so liegen wir nun im Monat bei ca. 83%:

 83% entspricht ca. 290000 abgewiesene Spammails im Monat. Auch auf meinem kleinen und bescheidenen Webserver ist seit ca. April/Mai 2010 ein Rückgang der abgewiesenen Spammails zu erkennen:

Offensichtlich greifen nun doch die ersten Maßnahmen, den Botnetzsumpf trocken zu legen, wie z.B. letztens durch die niederländischen Ermittlungsbehörden.

UCEPROTECT: Man kann es auch übertreiben

Es war lange ruhig hier bzgl. Spam, Antispam und den anderen Internet-Auswüchsen. Aber heute durch eine Kundenanfrage auf UCEPROTECT, eine RBL, gestossen. Die Jungs (und vielleicht auch Mädels) meinen es vielleicht gut mit ihrem idealistischem Kampf gegen Spam (hier muss man Idealist sein, aber auch Pragmatiker), schiessen aber deutlich über das Ziel hinaus, wenn komplette Netzwerkblöcke gesperrt werden. Im Fall hier: UCEProtect läuft Amok gegen Hansenet wurde wohl Hansenet geblockt und in meinem konkreten Fall war es Arcor. Offensichtlich verwenden einzig die bayrischen Städteverwaltungen UCEPROTECT als RBL, so ist zumindest mein Verdacht. Fairerweise muss man noch dazusagen, dass hier auch eine Warnung vorlag, dass von dem bestimmten Mailserver eine Mail an eine Spammertrap verschickt wurde, dem wird man erstmal nachgehen müssen. Es geht aber auch ohne ganze Provider auszusperren. Die "normalen" RBLs, wie z.B. spamhaus.org und SpamAssassin reichen momentan immer noch gut aus, oder man verwendet gleich eine professionelle Antispam-Appliance, wie z.B. von IronPort. Die Akzeptanz einer Antispamlösung hängt auch sehr stark ab von der Anzahl der sog. "false positives", also Mails welche irrtümlich als Spam erkannt wurden. Je höher diese Anzahl ist, desto weniger werden solche Lösungen auch von den Benutzern azeptiert.

Unser täglich Spam ...

Zufällig über folgende Website gestolpert, welche sich humorig mit dem Thema Spam auseinandersetzt: Unser täglich Spam. Wenn ich da so lese, bekomme ich Lust auch mal wieder eine Spamfalle einzurichten. Bei mir kommt momentan so gut wie kein Spam mehr an und das langweilt aber auch auf Dauer. Nix mehr zum Aufregen und Ärgern :-)

Ausgeknipst

Laut SpOn und heise online hat Microsoft es juristisch geschafft das Botnetz Waledac auszuknipsen. Ein kurzer Blick auf einige Mailstatistiken hier zeigen aber noch keine Wirkung dieser Maßnahme. Es sind immer noch genügend Spammails unterwegs, welche aber zum Glück zu 90% abgewiesen werden. Postfix/SpamAssassin, Senderbase und Ironport sei Dank.

---

Nachtrag von heise online: Ein Botnetz geht, der Spam bleibt

Update: 2010er Bug in SpamAssassin

Und laut heise online ist von diesem Bug auch GMX betroffen: Jahr-2010-Problem im Spam-Filter von GMX [Update].

2010er Bug in SpamAssassin

Das Jahr 2010 fängt ja gut an. In der Version 3.2.5 von SpamAssassin hat sich ein 2010er Bug eingeschlichen: FH_DATE_PAST_20XX scores on all mails dated 2010 or later. Das gibt extra 3.4 Punkte!

Erwischt!

Mist, jetzt hat mich auch noch das FBI erwischt. Eben eine Mail aus Washington bekommen:

ROBERT MUELLER III
EXECUTIVE DIRECTOR FBI
FEDERAL BUREAU OF INVESTIGATION FBI.WASHINGTON DC.
Email: wwwfbi.usgov1@live.com
Telephone Operator: 206-339-2854
FBI SEEKING TO WIRETAP INTERNET

ATTENTION:
We believe this notification meets you in a very good present state of mind and health. We the Federal bureau of investigation (FBI) Washington, DC in conjunction with some other relevant Investigation Agencies here in the United states of America have recently been informed through our Global intelligence monitoring network that you presently have a transaction going on with the Central Bank of Nigeria (CBN) as regards to your over-due contract payment which was fully endorsed in your favor accordingly.

We will find a way to fix a schedule for you to come to our head-quarter in Washington DC to enable us advise you on what to do, but meanwhile you are further advised to be contacting us via email for now because we are having various investigations that we are working on now [...] ... noch viel mehr und ziemlich viel Mailtext.

Komisch nur, dass das FBI nun schon über Brasilien Mails verschicken muss, denn der Mailserver dalila.hotlink.com.br (189.1.1.233), von dem diese Mail kam, befindet sich offensichtlich dort.

Dosenfleisch Fan Forum

Auch nicht schlecht: Dosenfleisch Fan Forum. Ich hatte sowas ähnlich auch mal eine Zeit am laufen, finde aber leider die Scripte dazu nicht mehr ...
[RT: nixspam]

Die Russen kommen

Eben bei einem Kunden über das Problem gestolpert, dass sein Mailserver massiv mit Bounce-Mails aus Russland zugebombt wird. Da er leider keinen Mailserver hat, welcher über Bounce Verfication verfügt, war schnell die Idee geboren, die Netzblöcke zusammenzutragen, von welchen diese Bounces kommen und dann zu sperren, besser alle Netze aus Russland. Und bei der Recherche bin ich über die RBL DNSBL countries.nerd.dk gestolpert. Interessanterweise kann ich damit tatsächlich den SMTP-Zugriff von kompletten Länder sperren. ... Erstmal Tschüß ihr Bounces aus .ru

Imagespam strikes back [2]

Herr Mathew Phollo, ein 50jähriger Anwalt aus Südafrika, verspricht mir 20% Provision von 6,5 Mio $, wenn ich eine Partnerschaft mit ihm eingehe, damit der südafrikanische Staat nicht das Geld des verstorbenen Gunter Haymann bekommt.


Lieber Herr Phollo,

aus diversen Gründen verzichte ich lieber auf dieses überaus attraktive Angebot. Ich spiele lieber weiter Lotto und hoffe dort auf meine Million. Das erscheint mir doch ein wenig sicherer.

Mit freundlichem Gruß.


Auch diese Mail enthielt den kompletten Text als JPG-Anhang, also ein typischer Vertreter des Imagespams.

Imagespam strikes back

Einige Spam-Analysten meinten, dass aktuell Imagespam wieder zurückkehrt (war vor ca. zwei Jahren schon mal massiv ein Problem und ist danach praktisch verschwunden). Heute habe ich doch tatsächlich eine Mail bekommen von Mathew Phollo aus Cap Town Südafrika, in welcher der Inhalt der Mail aus einem kompletten JPG-Bild besteht. Der Inhalt ist der übliche Million Dollar Quatsch (konkret hier 6,5 Mio $) - also diese altbekannte Nigeria Fraud Mails.