Wir alle erhalten in unterschiedlichem Ausmass Spam. Ich rede hier nicht von den Zetteln der Autoexport-Händler, die im Briefkasten landen oder unter dem Scheibenwischer klemmen.
Ich spreche von echten Spam-Mails, wie zum Beispiel von brasilianischen Studenten, die über Universitäts-E-Mail-Adressen verschickt werden. Diese Mails schaffen es trotz SPF, DKIM-Signatur und DMARC-Regeln durchzukommen, da im E-Mail-Header alles unauffällig aussieht.
Oft stammen solche Mails von gehackten E-Mail-Konten, die zum Versenden von Spam missbraucht werden, oder eben auch von echten Studenten, die ihren Account missbrauchen um etwas nebenbei zu verdienen. Eine dieser Spam-Mails erreichte heute mein Postfach und durchlief ungehindert sämtliche Filter.
Wieder das gleiche Spiel: Angeblich von booking.com, mit der Aufforderung, meine Zahlungsmethode zu ändern, da ein Problem aufgetreten sei. Gut, dass ich seit etwa September 2023 keine Buchung mehr über booking.com vorgenommen habe.
Bei näherer Betrachtung des Email-Headers stelle ich folgende Route fest:
0. Email von:
„noreply@booking.com“ <lucasgarcia2@aluno.multivix.edu.br> –>
1. Sendet über Server:
sn7pr18ca0001.namprd18.prod.outlook.com –>
2. Leitet weiter an:
cp6p284mb3310.brap284.prod.outlook.com –>
3. Leitet weiter an:
bra01-cpz-obe.outbound.protection.outlook.com –>
4. Stellt Email zu an:
ZIEL EMAIL-HOSTER
Die DKIM-Signatur und die DMARC-Analyse bestätigen, dass der Absender-Host echt ist, basierend auf dem Eintrag bei univixedu.onmicrosoft.com. Die E-Mail stammt aus einer vertrauenswürdigen Quelle, der Azure Cloud, und die Domäne univixedu.onmicrosoft.com hat die DKIM-Signatur erstellt.
Obwohl die Absenderadresse @aluno.multivix.edu.br lautet, zeigt dies, dass die Hochschule Microsoft-Dienste für den E-Mail-Versand nutzt.
Der Spammer will, dass ich auf die hinter dem Button verborgene, verkürzte URL klicke. Um sicherzugehen, nutze ich eine virtuelle Maschine mit einem Browser, der einen Online-Browser aufruft. Da ich meine Maschine kürzlich eingerichtet habe, will ich nicht das Risiko von Ransomware oder einer APT durch einen Zero-Day-Angriff eingehen.
Das eigentliche Ziel ist eine URL, die ein Script namens done1.php ausführt. Irgendetwas passiert dabei im Hintergrund, bleibt aber für mich unsichtbar, da die Seite und das Ergebnis eine leere Seite sind.
Zum Schluss überprüfe ich noch bei „Have I Been Pwned?„, ob die Absender-E-Mail bereits kompromittiert wurde.
Meine Botschaft: Achtet auf die Sicherheit eurer Zugänge, E-Mail-Adressen und Passwörter. Wechselt regelmässig eure Passwörter, nutzt starke Kombinationen und meldet euch nicht auf fragwürdigen Seiten an. Prüft auch ab und zu auf https://haveibeenpwned.com/, ob eure Daten von einem früheren Hack betroffen sind. Und wenn ihr spamende Studenten kennt, ruft mich an.
Eine Frage bleibt ungeklärt: Wann ist Karneval in Rio?
