2 - ADÜ Nord

darin, den Anhang entsprechend zu benennen. So ist
anzunehmen, dass es mich auch bei recht banalen
Betreffs und Texten möglicherweise interessiert, was hinter
document_thekla.zip, details_thekla.zip und
confirm_thekla.pif (alle Netsky.P) steckt.
Drohgebärden
Über folgende Mail mit dem Anhang DrohMails.cmd
(Sober.C) kann man noch herzlich lachen:
Wenn Sie meinen mir DROHEN zu können, haben
sie sich in den Finger geschnitten!!!
Erstens mal, weiß ich gar nicht wer Sie sind.
Zweitens, kenne ich Ihre Frau oder Freundin
nicht.
Und Drittens, Ich habe kein Tächtel-Mächtel
mit Ihrem Partner!!!
Ihre Drohgebärden können sie woanders loswerden,
aber nicht bei mir!
Ihre Droh Mails habe ich gerade an die Behörden
weitergeleitet.
Sie hören noch von mir!
Bei der Mail mit dem Betreff »Anmeldebestätigung« und
dem Anhang Zugangsdaten.cmd (Sober.C) spekuliert der
Virenschreiber wohl darauf, dass der Empfänger dringend
wissen möchte, wofür er jetzt angeblich viel Geld
bezahlen soll und wie er das rückgängig machen kann:
Sehr geehrter Kunde,
Vielen Dank für Ihre Anmeldung auf unserem
Server.
Der Betrag von Euro 279,- wurde erfolgreich
von Ihrem Konto abgebucht. Ihnen stehen nun
1 Jahr lang mehr als 2300 sehr sehr heiße
Internet Seiten zur Verfügung.
Wir bedauern, das es im Vorfeld so lange
gedauert hat, unser Mail Dienst hatte diese
Daten auf einen anderen E-Mail Empfänger
geschickt. ... Die Seiten die Sie nun aufrufen
können und die Zugangsdaten befinden
sich gesichert im Anhang.
Viele Leute laden sich Software, Musik und Filme aus
dem Internet herunter. So ist auch die folgende Mail mit
dem Betreff »Sie tauschen illegal Dateien aus« nicht völlig
unplausibel:
Sehr geehrte Damen und Herren,
das herunterladen von Filmen, Software und
MP3s ist illegal und somit Strafbar.
Wir möchten Ihnen hiermit vorab mitteilen,
dass Ihr Rechner unter der IP 62.244.36.16
erfasst wurde. Der Inhalt Ihres Rechner
wurde als Beweismittel sichergestellt und es
wird ein Ermittlungsverfahren gegen Sie eingleitet.
Die Strafanzeige und die Möglichkeit
zur Stellungnahme wird Ihnen in den
nächsten Tagen schriftlich zugestellt.
Computer und Internet
Die von uns gesammelten Daten unter dem
Aktenzeichen #26069 sind für Sie und ggf.
Ihrem Anwalt beigefügt und einsehbar.
Da wir negative Erfahrungen mit Mailbomben
in der Vergangenheit gemacht haben, wurde
die Herkunft dieser Mail verschleiert.
Nähere Auskunft erteilt Ihnen die Kriminalpolizei
Düsseldorf, Europa Sonderkommission
"Internet Downloads", Rufnummer innerhalb
Deutschland (0211) 870 - 0 oder (0211) 870 -
6868
Rufnummer außerhalb Deutschland (0049211)
870 - 0 oder (0049211) 870 - 6868
Hochachtungsvoll
i.A. PK Mollbach
Interessant ist, dass der Anhang aktenz26069.txt.exe
(Sober.C) das in der Mail genannte Aktenzeichen wieder
aufgreift. Diese Mail wird gleichlautend mit unterschiedlichen
Aktenzeichen und entsprechend angepassten
Dateinamen verschickt.
Falsche Sicherheit
Ganz übel sind Würmer, die die Verunsicherung der
Anwender über Viren ausnutzen. So gibt es Viren-Mails,
die behaupten, dass sie auf Viren gescannt wurden und
virenfrei sind; hier eine Mail mit dem Betreff »Re: application«
und dem Anhang application.doc.exe (Netsky.P):
Your file is attached.
+++ Attachment: No Virus found
+++ MC-Afee AntiVirus - www.mcafee.com
Da einige E-Mail-Anbieter die Mails ihrer Kunden standardmäßig
auf Viren prüfen und dann automatisch einen
entsprechenden Text in die Mail einfügen, könnte man
sich fälschlicherweise in Sicherheit wiegen.
Noch gefährlicher sind E-Mails, die vorgeben, aus einer
verlässlichen Quelle zu stammen, und den Empfänger
auffordern, den beiliegenden Anhang zu installieren, um
sich gegen Viren zu schützen. Ein typisches Beispiel sind
Mails, die von Microsoft zu stammen scheinen. Sie haben
den Betreff »Microsoft Alarm: Bitte lesen«, wurden scheinbar
von Alert, Patch, Security, Studio oder
UpDate@microsoft.de verschickt und enthalten Anhänge
(Sober.D), die man dem Namen nach für Patches (das
sind Programmmodule zur Behebung von Sicherheitslücken
in Windows) halten könnte:
Neue Virus-Variante W32.Mydoom verbreitet
sich schnell.
Eine neue Mydoom-Variante verbreitet sich
derzeit rasend schnell im Internet.
Wie seine Vorgänger verschickt sich der Wurm
von infizierten Windows-Rechnern per E-Mail
an weitere Adressen.
Zudem installiert er auf infizierten Systemen
einen gefährlichen Trojaner!
12 ADÜ Nord · Infoblatt 2/2004