[Virus] Neue Bestellung / Lieferschein für xxx / Mahnung

[kjz1]

Hier hat man bei Amazon und einem bekannten Händler abgekupfert:

header:

01: Received: from [207.248.58.42] (unknown [207.248.58.42])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for xxxxx; Wed, 30 Mar 2016 xx:xx:xx +0200 (CEST)

IP: 207.248.58.42 ---> mmredes-207-248-58-42.multimedios.net

------------- Anfang der Nachricht -------------


Sehr geehrte Kundin, sehr geehrter Kunde,

vielen Dank für Ihren Einkauf im medimops-Shop auf Amazon.
Im Anhang dieser E-Mail erhalten Sie die Rechnung für Ihre Bestellung
302-7941588-3536357.
Wir hoffen Sie bald wieder als Kunde begrüßen zu dürfen.


Herzliche Grüße,

Ihr medimops-Team


Bei Fragen nutzen Sie bitte unser Kontaktformular auf unserer Webseite.
Jetzt neu: Die momox iPhone/Android App mit integriertem
Barcode-Scanner. Deutschlands erster mobiler Direktankauf von Büchern,
CDs, DVDs und Spielen. KOSTENLOS erhältlich im App Store/Android Market.


Impressum:

momox GmbH
Frankfurter Allee 77
10247 Berlin

Telefon: +49 (0)30 488 288 / 200
E-Mail: bitte nutzen Sie unser Kontaktformular

Geschäftsführer: Christian Wegner und Heiner Kroke (Sprecher)
Registergericht: Amtsgericht Berlin Charlottenburg
Registernummer: HRB 121313
Umsatzsteuer-Identifikationsnummer: DE266608643
Vorsitzender des Aufsichtsrates: Dr. Christoph Braun

Die Mail wurde automatisch generiert. Antworten an diese Mailadresse
können nicht gelesen werden. Nutzen Sie unser Kontaktformular.



------------- Ende der Nachricht -------------

Wichtiger Hinweis: Wenn Sie dieser E-Mail antworten, wird Amazon.de Ihre
E-Mail-Adresse mit einer von Amazon bereitgestellten Adresse ersetzen,
um Ihre Identität zu schützen, und die Nachricht in Ihrem Namen
weiterleiten. Um einen möglichen Betrug zu verhindern, setzt Amazon.de
Filtertechniken ein. Nachrichten, die diesen Filter nicht passieren,
werden nicht weitergeleitet. Amazon.de behält Kopien aller über diesen
Service gesendeten und empfangenen E-Mails, einschließlich der
Nachricht, die Sie hier eingeben. Amazon.de wird diese Kopien
insbesondere zur Klärung von eingereichten A-bis-z-Garantie-Anträgen
heranziehen. Indem Sie diesen Dienst nutzen, erklären Sie sich mit
diesem Vorgehen einverstanden.

im Anhang:

Content-Type: application/x-rar-compressed;
name=Rechnung-674-0892610-2914373.rar
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename=Rechnung-674-0892610-2914373.rar
Content-Description: Rechnung-674-0892610-2914373.rar

[Link nur für registrierte Mitglieder sichtbar. ]

[Link nur für registrierte Mitglieder sichtbar. ]

[ToHo]

Hallo,

das scheint was neues zu sein. Auf den ersten Blick gutgemachter Brief in gutem Deutsch (naja, ein paar Fehler sind schon drin, die einer guten Sekretärin nicht passieren sollten) vom Anwalt wegen Zahlungsverzug. Absender angeblich "Rechtsanwalt Pay Online24 AG" bzw. dahinter liegt " [Link nur für registrierte Mitglieder sichtbar. ]". Alle Unterlagen dazu dann im zip-Anhang - der natürlich einen Trojaner enthält, wie mir mein Kaspersky verraten hat.

Hier der Header:

header:

01:  Return-Path: <support [at] ebay.com>
02: Received: from mad.madiina.info ([162.144.204.62]) by mx-ha.gmx.net (mxgmx003)
03: 	with ESMTP (Nemesis) ID: [ID filtered]
04: Received: from najaxcc by mad.madiina.info with local (Exim 4.87) (envelope-from
05: 	<poor [at] spamvictim.tld>) ID: [ID filtered]
06: Date: Thu, 9 Jun 2016 xx:xx:xx -0500
07: To: ............... <poor [at] spamvictim.tld>
08: From: Rechtsanwalt Pay Online24 AG <support [at] ebay.com>
09: Subject: =?utf-8?Q?Automatische_Lastschrift_82913386_konnte_nicht_durchgef=C3=BChr?=
10: 	=?utf-8?Q?t_werden_10.06.2016?=
11: Message-ID: [ID filtered]
12: X-Priority: 3
13: X-Mailer: Apple Mail
14: MIME-Version: 1.0
15: Content-Type: multipart/mixed; boundary="b1_c6c4637a3af4cc9c77746f18228439a8"
16: Content-Transfer-Encoding: 8bit
17: X-AntiAbuse: This header was added to track abuse, please include it with any abuse
18: 	report
19: X-AntiAbuse: Primary Hostname - mad.madiina.info
20: X-AntiAbuse: Original Domain - gmx.net
21: X-AntiAbuse: Originator/Caller UID/GID: [UID filtered]
22: X-AntiAbuse: Sender Address Domain - ebay.com
23: X-Get-Message-Sender-Via: mad.madiina.info: authenticated_ID: [ID filtered]
24: X-Authenticated-Sender: mad.madiina.info: najaxcc
25: X-Source: /usr/bin/php
26: X-Source-Args: /usr/bin/php
27: 	/home/najaxcc/public_html/wp-includes/js/tinymce/plugins/directionality/editclass.php
28: X-Source-Dir: najaxcc.com:/public_html/wp-includes/js/tinymce/plugins/directionality
29: Envelope-To: <poor [at] spamvictim.tld>
30: X-GMX-Antispam: 0 (Mail was not recognized as spam); Detail=V3;
31: X-GMX-Antivirus: 0 (no virus found)
32: X-UI-Filterresults: notjunk:1;V01:K0:audCwoRZ9QQ=:nh+ZikRckyaLYrTTXmFZKOUd+o  

Der Text der Mail:

Sehr geehrte/r .........,

bedauerlicherweise mussten wir feststellen, dass unsere Zahlungsaufforderung NR. 829133867 bis heute ergebnislos blieb. Jetzt geben wir Ihnen hiermit letztmalig die Möglichkeit, den ausstehenden Betrag der Firma Pay Online24 AG zu begleichen.

Aufgrund des andauernden Zahlungsverzug sind Sie gezwungen zuzüglich, die durch unsere Tätigkeit entstandene Kosten von 77,64 Euro zu tragen. Bei Rückfragen oder Unklarheiten erwarten wir eine Kontaktaufnahme innerhalb von zwei Werktagen. Um zusätzliche Mahnkosten auszuschließen, bitten wir Sie den fälligen Betrag auf unser Konto zu überweisen. Berücksichtigt wurden alle Zahlungen bis zum 09.06.2016.

Vertragliche Personalien:

(meine vollständige Adresse)

Telefon: (meine Festnetznummer aus dem Telefonbuch)

Wir erwarten die gesamte Überweisung zuzüglich der Gebühren bis spätestens 15.06.2016 auf unser Bankkonto. Falls wir bis zum genannten Termin keine Überweisung bestätigen, sehen wir uns gezwungen Ihren Fall an ein Gericht abzugeben. Alle damit verbundenen Zusatzkosten werden Sie tragen müssen.

Eine vollständige Kostenaufstellung NR. 829133867, der Sie alle Buchungen entnehmen können, ist beigefügt.

Falls Sie den Rechnungsbetrag bereits vorab an uns überwiesen haben, ist dieses Schreiben nur für Ihre Unterlagen bestimmt. Falls Sie Fragen haben, stehen wir Ihnen telefonisch gerne zur Verfügung.

Mit freundlichen Grüßen

Rechtsanwalt Ole Heinrich


Sieh mal einer an, Betrüger können sogar ein Telefonbuch lesen . Ich finde das gut gemacht, da könnten ne Menge Leute drauf reinfallen, obwohl ja eigentlich inzwischen jedem klar sein sollte, das man Anhänge von Unbekannten nie niemals nicht ohne Prüfung öffnet.

Schöne Grüße
ToHo

[Mittwoch]

das scheint was neues zu sein.

Nö, das ist ein weiteres Beispiel für eine schon seit geraumer Zeit laufende Masche, zu der es hier auch schon ein Thema gibt, an das ich Deinen Beitrag folgerichtig angetackert habe.

Schönen Gruß
Mittwoch

[carsten.gentsch]

So eben aufgeschlagen auf eine Adressse die nur für free Downloads benutzt wurde.
Wenn mich nicht alles täuscht ist hier Evanzo […] beteidigt... Man ist sich auch nicht einig welcher Diest man den nun sei DHL, UPS was auch immer!!!
Domain wurde ert neu registriert scheinbar versucht man es wieder […]

header:

01: Received: [B]from mail1.evanzo-server.de[/B] (mail1.evanzo-server.de
02: 	[178.254.27.5])
03: 	by mein server weiter leitung(Postfix) with ESMTPS ID: [ID filtered]
04: 	for <downloadadresse>; Thu, 16 Jun 2016 xx:xx:xx +0200 (CEST)
05: Received: from [73.5.252.38] (helo=193.169.52.222)
06: 	by mail1.evanzo-server.de with esmtpsa (TLS1.0:DHE_RSA_AES_256_CBC_SHA1:32)
07: 	(Exim 4.76)
08: 	(envelope-from <[B]Lena [at] 4fische.de[/B]>)
09: 	ID: [ID filtered]
10: 	for poor [at] spamvictim.tld; Thu, 16 Jun 2016 xx:xx:xx +0200
11: Message-ID: [ID filtered]
12: Reply-To: "Bestellung" <[B]senddhl.de[/B]>
13: From: "Bestellung" <Lena [at] 4fische.de>
14: To: <me>

^whois:4fische.de und evanzo als versender?
Anhang angebliche Rechnung als Zip. Hervorhebung durch mich

Sehr geehrter Herr,
bei der Zustellung Ihrer Order DE713357744 hat der Paketbote versucht, Sie telefonisch
zu erreichen, leider ohne Beifall. Aus diesem Grund wurde die Bestellung zuruck zur Sortierstelle gebracht.
Wir haben festgestellt, dass im Moment der Paketanmeldung eine falsche Telefonnummer angegeben wurde.
Wir bitten Sie den Lieferschein, den wir an dieses Schreiben angehangt haben, auszudrucken, und sich an die
nachstliegende UPS-Filiale zu wenden.
Mit freundlichen GruBen,
United Parcel Service Deutschland Inc. & Co. OHG
German

Soll ein Trojaner runterladen wird aber schon gut erkannt. [Link nur für registrierte Mitglieder sichtbar. ]

[Goofy]

Alle Unterlagen dazu dann im zip-Anhang - der natürlich einen Trojaner enthält, wie mir mein Kaspersky verraten hat

Möglicherweise sind sich hier immer noch nicht alle über den sicheren Umgang mit solchen Dingen im Klaren. Um das nochmal klarzustellen: es ist hochgefährlich, auf den Anhang zu klicken und dann zu hoffen, dass der Virenscanner anbeißt, falls es ein Virus ist. Denn die Hackermafia setzt jeden Tag neue Varianten von dem Dreckszeugs frei, und die ganz frischen werden dann oft nicht erkannt. Sondern erst nach 1-2 Tagen, nachdem der Virenscanner seine Signaturen upgedatet hat.

Nach Klick auf den Anhang wird dann die Datei sofort ausgeführt, wenn der Virenscanner nichts gefunden hat. Und ab sofort ist dann die Kiste verwurmt, mit allen Konsequenzen wie z.B. Verschlüsselung der Festplatte und Erpressung zur Freischaltung, oder aber Abfangen von Online-Banking-Daten oder sonstigen Passwörtern.

Solche Anhänge in solchen Mails sind immer Schadsoftware, egal ob der Virenscanner was findet oder nicht!

Wenn man nun wissen will, ob der Anhang als Virus erkannt wird, dann kann man ihn - wenn man genau weiß was man tut und wie - in einem Giftschrank speichern und dort vor dem Ausführen vom Virenscanner prüfen lassen. D.h. erst den Virenscanner starten und diesen gezielt diese Datei prüfen lassen. Man weiß dann ggf. welches Haustier genau man vor sich hat. Wenn der Virenscanner nicht bellt, dann weiß man, dass es ein ganz neues Haustierchen ist. Ungefährlich ist das dann aber beileibe nicht.

Wer sich im Umgang mit dem Zeugs nicht wirklich auskennt, der fasst den Mist am besten überhaupt gar nicht an. D.h. Anhang nicht klicken und Mail sofort löschen.

Und bitte niemals die Fähigkeiten der Virenscanner überschätzen, das gilt auch für die guten wie Kaspersky.

[kjz1]

Und bitte niemals die Fähigkeiten der Virenscanner überschätzen, das gilt auch für die guten wie Kaspersky.

Denn: selbstverständlich lassen die 'Bösen Jungs' (TM) auch Virenscnner über ihre neuesten 'Kreationen' laufen; und was da erkannt wird, wird erst gar nicht in die freie Wildbahn hinausgeblasen.

[truelife]

Ach, unsere ukrainisch-russischen Cyber-Mafiosi sind wieder da:

Sehr geehrte/r [echter Vorname] [echter Nachname],

leider haben wir festgestellt, dass die Zahlungserinnerung Nummer 676851278 bislang ergebnislos blieb. Heute gewähren wir Ihnen nun letztmalig die Chance, den ausbleibenden Betrag der Firma GiroPay24 AG zu decken.

Verbindliche Personalien:

[echter Vorname] [echter Nachname]
[alte Anschrift]
[alte Anschrift]

Tel. [alte Telefonnummer]

Aufgrund des andauernden Zahlungsausstands sind Sie gezwungen dabei, die durch unsere Inanspruchnahme entstandene Kosten von 71,23 Euro zu bezahlen. Bei Fragen oder Unklarheiten erwarten wir eine Kontaktaufnahme innerhalb von zwei Werktagen. Um zusätzliche Mahnkosten zu vermeiden, bitten wir Sie den ausstehenden Betrag auf unser Konto zu überweisen. Berücksichtigt wurden alle Buchungen bis zum 05.08.2016.

Wir erwarten die vollständige Zahlung einbegriffen der Gebühren bis zum 12.08.2016 auf unser Konto. Können wird bis zum genannten Datum keine Überweisung bestätigen, sehen wir uns gezwungen unsere Forderung an ein Gericht abzugeben. Alle damit verbundenen Kosten werden Sie tragen müssen.

Die vollständige Kostenaufstellung Nummer 676851278, der Sie alle Einzelpositionen entnehmen können, fügen wir bei.

Falls sich dieses Schreiben mit Ihrer Zahlung überschnitten haben, betrachten Sie es bitte als gegenstandslos.

Mit freundlichen Grüßen

Stellvertretender Rechtsanwalt Leo Baumann

header:

01: Return-Path: <support [at] paypal.de>  
02: Received: from ghost.techiedistrict.com ([104.131.95.240]) by mx-ha.gmx.net
03: 	(mxgmx105) with ESMTP (Nemesis) ID: [ID filtered]
04: Received: by ghost.techiedistrict.com (Postfix, from userID: [ID filtered]
05: Date: Mon, 8 Aug 2016 xx:xx:xx +0100  
06: To: [echter Vorname] [echter Nachname] <*snip*@gmx.de>  
07: From: Stellvertretender Rechtsanwalt GiroPay24 AG <support [at] paypal.de>  
08: Subject: Rechnung noch offen 08.08.2016 Nr. 67685127  
09: Message-ID: [ID filtered]
10: X-Priority: 3  
11: X-Mailer: Apple Mail  
12: MIME-Version: 1.0  
13: Content-Type: multipart/mixed; boundary="b1_218e5ca77482f8c88550b581ac85b24f"
14: 	 
15: Content-Transfer-Encoding: 7bit  
16: Envelope-To: <*snip*@gmx.de>  

Beigefügt ist ein Zip-Archiv, darin - o Wunder - aber keine Rechnung, sondern ein Trojaner.

[truelife]

@Home habe ich dann mal reingeschaut. Im Zip-Archiv steckt die Ransomware "Nymaim".

[carsten.gentsch]

Hallo so eben schon zum2ten male aufgeschlagen.
Benutzt wird wie imemer einer gecrackte Wp oder Shop version.
^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Man möge doch das Dokument runterladen

header:

01: Received: from localhost (unknown [123.26.212.18])
02: 	by me (Postfix) with SMTP ID: [ID filtered]
03: 	for <me>; Thu, 11 Aug 2016 xx:xx:xx +0200 (MEST)
04: Received: from unknown (HELO localhost) (victoria [at] trah.co.uk@78.50.225.56)

Sehr geehrter Kunde!
Ihre Bank hat die Lastschrift zuruck buchen lassen. Sie haben eine
ungedeckte Rechnung bei Deutsche Bank.
Bitte laden Sie die Datei aus dem Link:
Url der Seite und dann */info.doc

Habs natürlich gelassen den bei dem text sollte jede rmerken das hier was nicht stimmt aber Dumme gibts immer.

[schara56]

header:

01: Received: from mout.kundenserver.de (mout.kundenserver.de [212.227.126.134])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Thu, 17 Nov 2016 xx:xx:xx +0100 (CET)
06: Received: from infong760.kundenserver.de (infong760.kundenserver.de
07: 	[212.227.66.236])
08: 	by mrelayeu.kundenserver.de (node=mreue006) with ESMTP (Nemesis)
09: 	ID: [ID filtered]
10: Received: from 195.154.207.73 (IP may be forged by CGI script)
11:     by infong760.kundenserver.de with HTTP
12:     ID: [ID filtered]

*Sehr geehrte/r x,*

bedauerlicherweise mussten wir feststellen, dass unsere Zahlungsaufforderung ID
549318349 bislang ohne Reaktion Ihrerseits blieb. Heute gewähren wir Ihnen nun
letztmalig die Möglichkeit, den ausbleibenden Betrag unseren Mandanten Bank-Pay
AG zu decken.

Aufgrund des andauernden Zahlungsrückstands sind Sie gezwungen außerdem, die
durch unsere Tätigkeit entstandene Gebühren von 86,05 Euro zu bezahlen. Bei
Rückfragen oder Reklamationen erwarten wir eine Kontaktaufnahme innerhalb von
drei Tagen. Um weitete Kosten zu vermeiden, bitten wir Sie den ausstehenden
Betrag auf unser Bankkonto zu überweisen. Berücksichtigt wurden alle
Buchungseingänge bis zum 16.11.2016.

Damit fordern wir Sie nachdrücklich auf, den offenen Betrag umgehend bis zum
23.11.2016 zu decken. Können wird bis zum genannten Datum keine Überweisung
einsehen, sehen wir uns gezwungen Ihren Fall an ein Gericht abzugeben. Alle
damit verbundenen Zusatzkosten werden Sie tragen müssen.

*Gespeicherte Vertragsdaten:*

Alte aber korrekte Postanschrift

Telefon: Alte aber korrekte Telefonnummer

Die detaillierte Kostenaufstellung NR. 549318349, der Sie alle Positionen
entnehmen können, ist beigefügt.

Mit freundlichen Grüßen

Beauftragter Rechtsanwalt K* H*


Diese E-Mail ist nur für den Empfänger bestimmt, an den sie gerichtet ist und
kann vertrauliches bzw. unter das Berufsgeheimnis fallendes Material enthalten.

Im Anhang dann eine ZIP-Datei welche gem. virustotal nur von drei der 56 Virenscannern als Schadsoftware eingestuft wird.

Baidu 	Win32.Trojan.WisdomEyes.16070401.9500.9994 	20161117
Invincea 	trojan.win32.skeeyah.a!bit 	20161018
McAfee-GW-Edition 	BehavesLike.MysticCompressor.gc 	20161116