Emailspam mit Zip-Dateien
Moin Zusammen,
seit einigen Tagen habe ich bei einem Kunden folgendes Phänomen:
Es kommen Emails beim Kunden an und gehen auch an deren Gesprächspartner. In diesen Emails ist der tatsächlich geschriebene Inhalt zwischen den Gesprächspartnern enthalten. An diese Mail wird eine, mit einem Passwort versehene Zip-Datei, angehängt. Das Passwort steht in der Email in der Zeile: "Archiv Passwort: xxx"
Danach folgt der Text.
Als Absender sind es in der Regel spanische oder italienische Absenderadressen. Der Anzeigename ist aber von einem Mitarbeiter des Kunden, der diese Mail bekam oder versendet hat.
Der Header weist eigentlich immer wiedes Schema auf:
oder auch mal so:
Die Rechner habe ich mit diversen Tools gescannt. Als Firewall ist eine Sophos UTM im Einsatz, bei der ich nun erstmal eingestellt habe, dass sämtliche Emails mit nicht-scanbaren Anhängen geblockt werden.
Es ist nicht reproduzierbar wann diese Mails vermehrt eintreffen, also z.B. nicht auf einen PC eingrenzbar. Mal kommt ewig gar nichts. Z.b. zwischen dem 30.12 und 05.01 ist gar nichts eingegangen und dann am 05.01 ab ca. 11 Uhr wieder ein paar.
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Hat jemand einen klugen Ratschlag?
Besten Dank und Grüße
seit einigen Tagen habe ich bei einem Kunden folgendes Phänomen:
Es kommen Emails beim Kunden an und gehen auch an deren Gesprächspartner. In diesen Emails ist der tatsächlich geschriebene Inhalt zwischen den Gesprächspartnern enthalten. An diese Mail wird eine, mit einem Passwort versehene Zip-Datei, angehängt. Das Passwort steht in der Email in der Zeile: "Archiv Passwort: xxx"
Danach folgt der Text.
Als Absender sind es in der Regel spanische oder italienische Absenderadressen. Der Anzeigename ist aber von einem Mitarbeiter des Kunden, der diese Mail bekam oder versendet hat.
Der Header weist eigentlich immer wiedes Schema auf:
Received: from smtpcmd14161.aruba.it ([62.149.156.161]:37434)
by mail.Kundendomain.de with esmtp (Exim 4.82_1-5b7a7c0-XX)
(envelope-from <ambulatorio@studioarnesano.it>)
id 1kwlUo-0003mc-0T
for Kunde@Kundendomain.de; Tue, 05 Jan 2021 13:31:31 +0100
Received: from [10.0.0.1] ([5.91.60.16])
by smtpcmd14.ad.aruba.it with bizsmtp
id D0Q0240100M148d010Q6qH; Tue, 05 Jan 2021 13:24:06 +0100
X-CTCH-RefID: str=0001.0A782F1E.5FF45C23.0033,ss=1,re=0.000,recu=0.000,reip=0.000,cl=1,cld=1,fgs=0
Date: Tue, 05 Jan 2021 13:24:07 +0100
From: "Kundenmitarbeitername" <ambulatorio@studioarnesano.it>
To: =?UTF-8?B?Tmlrb2xhcyBLcsOkaG4=?= <Kunde@Kundendomain.de>
Subject: =?UTF-8?B?V1ZzIHVuZCBTYWNoc3RhbmRzYW5mcmFnZW4gbWFjaGVuIGFsbGUgUkFlIHVuZCBSQWluIGvDvG5mdGlnIHNlbGJzdA==?=
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----=_NextPart_002_15200_2417980416.1445140877"
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=aruba.it; s=a1;
t=1609849446; bh=jqOvvC5yZCXuyZS4M3I64HG3aV4eXKCXLLnZruH6iJ4=;
h=Date:From:To:Subject:MIME-Version:Content-Type;
b=Y8laEj882NPfPxYXB37cyxnPEj+Na7CO2O4XNIyXtns8y6j5IAW9BoiLkSntkB8JK
uydnLo35tEeeY5SpAVez862skFWCSPkoFKvdCTCSyYlxBlq3YuDa9Ep6BekvW+swAQ
xFQcvg1sfuwZ8dyRH3TF43bYeI+P1blsyis30kJhROvtk+K90QYBduh0wX1Oe7RrxP
UPm4B6c6w3eV3AmPxKfCQ3SG2U/s/uo5JZ7r1IQueq2dOSQxOnI3H6bb1cLHj3nXcO
bjottCCeyjx/ydV2ryU5nq4jHLTkzfJt6RyWxoNu1824Dv8goLkH04o++tMrpXGZb/
vYM15uj93xEMA==Received: from mail.mdpi.com ([212.243.204.81]:10443)
by mail.Kundendomain.de with esmtps (TLSv1.2:DHE-RSA-AES256-GCM-SHA384:256)
(Exim 4.82_1-5b7a7c0-XX)
(envelope-from <jinjing.liu@mdpi.com>)
id 1kwkaF-0002CI-2E
for Kundenmitarbeiter@Kundendomain.de; Tue, 05 Jan 2021 12:33:04 +0100
Received: from localhost (localhost.localdomain [127.0.0.1])
by mail.mdpi.com (Postfix) with ESMTP id 9D5A0A8A1F4
for <Kundenmitarbeiter@Kundendomain.de>; Tue, 5 Jan 2021 12:25:14 +0100 (CET)
Received: from mail.mdpi.com ([127.0.0.1])
by localhost (mail.mdpi.com [127.0.0.1]) (amavisd-new, port 10032)
with ESMTP id NRBVawf-Gnea for <Kundenmitarbeiter@Kundendomain.de>;
Tue, 5 Jan 2021 12:25:14 +0100 (CET)
Received: from localhost (localhost.localdomain [127.0.0.1])
by mail.mdpi.com (Postfix) with ESMTP id 0C36CA8A1E1
for <Kundenmitarbeiter@Kundendomain.de>; Tue, 5 Jan 2021 12:25:14 +0100 (CET)
X-CTCH-RefID: str=0001.0A782F25.5FF44E70.0078:SCFSTAT60694998,ss=1,re=-4.000,recu=0.000,reip=0.000,cl=1,cld=1,fgs=0
DKIM-Filter: OpenDKIM Filter v2.10.3 mail.mdpi.com 0C36CA8A1E1
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=mdpi.com;
s=EB98F24C-DECB-11E5-856C-FD3CBF5F7692; t=1609845914;
bh=W10eUyzO9fIIrmV+ZJwKzoJjyLMOgcHjm54EqEz4JaU=;
h=Date:From:To:MIME-Version:Message-Id;
b=NeqkybBWVrqxbzyhMURFFNl5fA337elmkEheGrRD+R3kNJAHKzqMCSZPJM3SWlM2g
pxusWUS7viMmA4xPy9Yd08i8weF2U497hcVs14T6EQCdCkbue1pNsVxfPf520Q9JmD
1+2vMGlf6098fqHUJ7RR+FC1Att/vPLWQ/81GWtg=
X-Virus-Scanned: amavisd-new at mail.mdpi.com
Received: from mail.mdpi.com ([127.0.0.1])
by localhost (mail.mdpi.com [127.0.0.1]) (amavisd-new, port 10026)
with ESMTP id 9j6Z1ufjCXXh for <Kundenmitarbeiter@Kundendomain.de>;
Tue, 5 Jan 2021 12:25:13 +0100 (CET)
Received: from [10.0.0.12] (unknown [36.67.71.69])
by mail.mdpi.com (Postfix) with ESMTPSA id 1AC7912369B3
for <Kundenmitarbeiter@Kundendomain.de>; Tue, 5 Jan 2021 12:25:12 +0100 (CET)
Date: Tue, 05 Jan 2021 18:25:12 +0700
From: "Kundenmitarbeitername" <jinjing.liu@mdpi.com>
To: "Kundenmitarbeitername" <Kundenmitarbeiter@Kundendomain.de>
Subject: =?UTF-8?B?V0c6IMOWbC1MaWVmZXJ1bmc=?=
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----=_NextPart_000_34968_2217184783.2263756694"
Message-Id: <20210105112513.1AC7912369B3@mail.mdpi.com>Die Rechner habe ich mit diversen Tools gescannt. Als Firewall ist eine Sophos UTM im Einsatz, bei der ich nun erstmal eingestellt habe, dass sämtliche Emails mit nicht-scanbaren Anhängen geblockt werden.
Es ist nicht reproduzierbar wann diese Mails vermehrt eintreffen, also z.B. nicht auf einen PC eingrenzbar. Mal kommt ewig gar nichts. Z.b. zwischen dem 30.12 und 05.01 ist gar nichts eingegangen und dann am 05.01 ab ca. 11 Uhr wieder ein paar.
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Hat jemand einen klugen Ratschlag?
Besten Dank und Grüße
Antworten-
- Mehr
Auf Facebook teilen
Auf Twitter teilen24 Antworten
- LÖSUNG radiogugu schreibt am 08.01.2021 um 08:51:13 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:24:18 Uhr
- LÖSUNG fredmy schreibt am 08.01.2021 um 09:35:59 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:41:46 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 09:25:51 Uhr
- LÖSUNG VGem-e schreibt am 08.01.2021 um 09:31:21 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:40:29 Uhr
- LÖSUNG fredmy schreibt am 08.01.2021 um 11:50:56 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 14:47:21 Uhr
- LÖSUNG fredmy schreibt am 08.01.2021 um 11:50:56 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:40:29 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:39:53 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 09:45:33 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 09:54:06 Uhr
- LÖSUNG Doskias schreibt am 08.01.2021 um 10:05:29 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 10:15:21 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 11:04:56 Uhr
- LÖSUNG Doskias schreibt am 08.01.2021 um 11:27:53 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 12:40:35 Uhr
- LÖSUNG Doskias schreibt am 08.01.2021 um 11:27:53 Uhr
- LÖSUNG Doskias schreibt am 08.01.2021 um 10:05:29 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 09:54:06 Uhr
- LÖSUNG VGem-e schreibt am 08.01.2021 um 09:31:21 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 09:59:35 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 11:01:22 Uhr
- LÖSUNG Fennek11 schreibt am 08.01.2021 um 12:12:43 Uhr
- LÖSUNG LordGurke schreibt am 08.01.2021 um 13:34:11 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 14:50:07 Uhr
- LÖSUNG schicksal schreibt am 08.01.2021 um 14:18:48 Uhr
- LÖSUNG Xaero1982 schreibt am 08.01.2021 um 14:51:06 Uhr
LÖSUNG 08.01.2021 um 08:51 Uhr
Hallo.
Kennwörter bei deinem Kunden komplex und wann das letzte Mal geändert?
Solche maskierten E-Mails kannst du eigentlich nur mit Transportregeln von deinem Mail-Server fernhalten (Nach dem Motto: Von Name != Präfix vor dem @ der Domäne > löschen).
Denn ich kann dir ja auch E-Mails von meiner Domain mit deinem Absender-Namen, der dann bei "Von" steht schicken.
Es gilt hier maßgeblich die Sensibilisierung hierfür auf beiden Seiten zu erhöhen. Es soll sich nicht einfach nur dre Absender, sondern auch die absendende E-Mail Adresse angeschaut werden.
Gruß
Marc
Kennwörter bei deinem Kunden komplex und wann das letzte Mal geändert?
Solche maskierten E-Mails kannst du eigentlich nur mit Transportregeln von deinem Mail-Server fernhalten (Nach dem Motto: Von Name != Präfix vor dem @ der Domäne > löschen).
Denn ich kann dir ja auch E-Mails von meiner Domain mit deinem Absender-Namen, der dann bei "Von" steht schicken.
Es gilt hier maßgeblich die Sensibilisierung hierfür auf beiden Seiten zu erhöhen. Es soll sich nicht einfach nur dre Absender, sondern auch die absendende E-Mail Adresse angeschaut werden.
Gruß
Marc
LÖSUNG 08.01.2021 um 09:24 Uhr
Moin
Es gilt hier maßgeblich die Sensibilisierung hierfür auf beiden Seiten zu erhöhen. Es soll sich nicht einfach nur dre Absender, sondern auch die absendende E-Mail Adresse angeschaut werden.
Ich muss halt irgendwie die Ursache für diese Mails finden oder heraus bekommen woher die kommen. Und vor allem wieso ist der Inhalt der Mails bekannt.
Grüße
Kennwörter bei deinem Kunden komplex und wann das letzte Mal geändert?
*hust* die wurden gestern geändert. Ist ja immer so eine Sache Solche maskierten E-Mails kannst du eigentlich nur mit Transportregeln von deinem Mail-Server fernhalten (Nach dem Motto: Von Name != Präfix vor dem @ der Domäne > löschen).
Versteh ich nicht ganz? Der Name entspricht doch eher selten dem Präfix vor dem @?Denn ich kann dir ja auch E-Mails von meiner Domain mit deinem Absender-Namen, der dann bei "Von" steht schicken.
I know. Das ist es ja Es gilt hier maßgeblich die Sensibilisierung hierfür auf beiden Seiten zu erhöhen. Es soll sich nicht einfach nur dre Absender, sondern auch die absendende E-Mail Adresse angeschaut werden.
Ich muss halt irgendwie die Ursache für diese Mails finden oder heraus bekommen woher die kommen. Und vor allem wieso ist der Inhalt der Mails bekannt.
Grüße
LÖSUNG 08.01.2021 um 09:25 Uhr
Ist es eine malware?
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
LÖSUNG 08.01.2021 um 09:31 Uhr
LÖSUNG 08.01.2021 um 09:35 Uhr
Hallo xaero1982,
eigentlich altes Problem..
man nehme:
- Greylisting
- SPF Regeln
und .. nicht nur das "Namensfeld" sonder auch die Mailadresse mit anzeigen. im Mailclient!
siehe Beispiel 2: die Absender IP entspricht nicht der vom DNS gelieferten IP zu dem Namen
typischer Fall für SPF-Regeln
Ein wenig hilft: Mails verstehen! bei uns war es etwas einfacher
Einige Kolleginnen hatten mehrere Mailadressen .. na ja... bis sie dann Mails "von sich selbst" bekommen haben !
Das hatte dann durchschlagende Vertständniswirkung.
Mails mit Passwortschutz - Passwort darf NIE in der gleichen Mail genannt werden ( wer hängt seinen Wohnungsschlüssel außen mit einer Kette an das Schloß ?)
Hier gilt Nachlesen/Nachschulen: social engeneering !
eigentlich altes Problem..
man nehme:
- Greylisting
- SPF Regeln
und .. nicht nur das "Namensfeld" sonder auch die Mailadresse mit anzeigen. im Mailclient!
siehe Beispiel 2: die Absender IP entspricht nicht der vom DNS gelieferten IP zu dem Namen
typischer Fall für SPF-Regeln
Ein wenig hilft: Mails verstehen! bei uns war es etwas einfacher
Einige Kolleginnen hatten mehrere Mailadressen .. na ja... bis sie dann Mails "von sich selbst" bekommen haben !
Das hatte dann durchschlagende Vertständniswirkung.
Mails mit Passwortschutz - Passwort darf NIE in der gleichen Mail genannt werden ( wer hängt seinen Wohnungsschlüssel außen mit einer Kette an das Schloß ?)
Hier gilt Nachlesen/Nachschulen: social engeneering !
LÖSUNG 08.01.2021 um 09:39 Uhr
Zitat von Fennek11:
Ist es eine malware?
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
Ist es eine malware?
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
Ich habe leider keine Ahnung was es ist, weil ich rein gar nichts finde.
Mit dem Hochladen werde ich probieren. Danke.
LÖSUNG 08.01.2021 um 09:40 Uhr
Zitat von VGem-e:
Moin,
und wenn es irgendwie geht, evtl. gleich alle ZIP-/Archivdateien am Gateway sperren und ins digitale Nirwana "verschieben"??
Gruß
Moin,
und wenn es irgendwie geht, evtl. gleich alle ZIP-/Archivdateien am Gateway sperren und ins digitale Nirwana "verschieben"??
Gruß
Das ist passiert. Das Problem ist eher das Dritte diese Mails bekommen. Das ist eher das Hauptproblem. Intern werden sie alle geblockt.
LÖSUNG 08.01.2021 um 09:41 Uhr
LÖSUNG 08.01.2021 um 09:45 Uhr
Zitat von Fennek11:
Ist es eine malware?
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
Ist es eine malware?
Zum Vergleich:
Palo-Alto-malware Analyse
Prüfe versichtig den Anhang, am besten unter Linux, bzw lade die Datei unzipped bei www.Virustotal.com hoch.
Das ist das Ergebnis der Word-Datei:
https://www.virustotal.com/gui/file/3d4b4f6dd4f9c864a1442ac5c4943747f040 ...
LÖSUNG 08.01.2021 um 09:54 Uhr
LÖSUNG 08.01.2021 um 09:59 Uhr
LÖSUNG 08.01.2021 um 10:05 Uhr
Moin
Doch kannst du. Bei MS steht beispielsweise TrojanDownloader:O97M/Emotet.SS!MTB. da geht dann eigentlich eindeutig draus hervor, dass es Emotet ist
@xaero:
Ist es denn 1 Kunde und 1 Gesprächspartner oder 1 Kunde und mehrere Gesprächspartner? Vielleicht suchst du ja auf der falschen Seite wenn es nur bei einem Kunden und einem Gesprächspartner auftritt.
Zitat von Fennek11:
Da ich kein Konto bei Virustotal habe, kann ich keine weiteren Infos, z.B. die Familie erkennen.
Da ich kein Konto bei Virustotal habe, kann ich keine weiteren Infos, z.B. die Familie erkennen.
Doch kannst du. Bei MS steht beispielsweise TrojanDownloader:O97M/Emotet.SS!MTB. da geht dann eigentlich eindeutig draus hervor, dass es Emotet ist
@xaero:
Ist es denn 1 Kunde und 1 Gesprächspartner oder 1 Kunde und mehrere Gesprächspartner? Vielleicht suchst du ja auf der falschen Seite wenn es nur bei einem Kunden und einem Gesprächspartner auftritt.
LÖSUNG 08.01.2021 um 10:15 Uhr
LÖSUNG 08.01.2021 um 11:01 Uhr
Zitat von Fennek11:
Wenn man den ersten Base64 string dekodiert, gibt es:
?WVs und Sachstandsanfragen machen alle RAe und RAin künftig selbst
Macht das Sinn?
Wenn man den ersten Base64 string dekodiert, gibt es:
?WVs und Sachstandsanfragen machen alle RAe und RAin künftig selbst
Macht das Sinn?
Macht Sinn.
LÖSUNG 08.01.2021 um 11:04 Uhr
Zitat von Doskias:
Moin
Doch kannst du. Bei MS steht beispielsweise TrojanDownloader:O97M/Emotet.SS!MTB. da geht dann eigentlich eindeutig draus hervor, dass es Emotet ist
@xaero:
Ist es denn 1 Kunde und 1 Gesprächspartner oder 1 Kunde und mehrere Gesprächspartner? Vielleicht suchst du ja auf der falschen Seite wenn es nur bei einem Kunden und einem Gesprächspartner auftritt.
Moin
Zitat von Fennek11:
Da ich kein Konto bei Virustotal habe, kann ich keine weiteren Infos, z.B. die Familie erkennen.
Da ich kein Konto bei Virustotal habe, kann ich keine weiteren Infos, z.B. die Familie erkennen.
Doch kannst du. Bei MS steht beispielsweise TrojanDownloader:O97M/Emotet.SS!MTB. da geht dann eigentlich eindeutig draus hervor, dass es Emotet ist
@xaero:
Ist es denn 1 Kunde und 1 Gesprächspartner oder 1 Kunde und mehrere Gesprächspartner? Vielleicht suchst du ja auf der falschen Seite wenn es nur bei einem Kunden und einem Gesprächspartner auftritt.
Es sind Mails die an eigentlich alle Mitarbeiter des Kunden gehen und auch an einige externe verschiedene Gesprächspartner. Intern werden die Emails jetzt wie gesagt abgefangen, aber kann ich das eigentlich überhaupt beeinflussen, weil die Mails ja nicht über den Kundenmailserver gehen, sondern offenbar wirklich von Extern kommen?
LÖSUNG 08.01.2021 um 11:27 Uhr
Zitat von Xaero1982:
aber kann ich das eigentlich überhaupt beeinflussen, weil die Mails ja nicht über den Kundenmailserver gehen, sondern offenbar wirklich von Extern kommen?
aber kann ich das eigentlich überhaupt beeinflussen, weil die Mails ja nicht über den Kundenmailserver gehen, sondern offenbar wirklich von Extern kommen?
Leider nein. Selbst mit einem SPF-Check den du bei dir konfigurierst, würdest du ja nur deine Server öffentlich als deine auszeichnen. Wenn der Empfänger Mails ohne SPF-Check annimmt, dann kommen Sie weiterhin durch.
Da du ja aber schreibst, dass mehrere externe betroffen sind, scheinst du aber schonmal an der richtigen Stelle zu suchen. Ich würde auf jedem Client und Server mal schauen ob du Emotet findest:
https://www.heise.de/security/meldung/EmoCheck-Neues-Tool-kann-Emotet-In ...
LÖSUNG 08.01.2021, aktualisiert um 12:01 Uhr
Zitat von Xaero1982:
Das ist passiert. Das Problem ist eher das Dritte diese Mails bekommen. Das ist eher das Hauptproblem. Intern werden sie alle geblockt.
Das ist passiert. Das Problem ist eher das Dritte diese Mails bekommen. Das ist eher das Hauptproblem. Intern werden sie alle geblockt.
Kannst du aber nix machen!
Von Dritten an (andere) Dritte - auch wenn dein Name benutzt wird.
Ist in etwas so als ob du verhindern kannst, daß Irgendjemand deinen Namen/Adresse als Absender auf einen Brief schreibt!, und ihn dann in den gelben Kasten einwirft!
( ähnlich Telefon[werbung/Verkauf] - wo du einen Nummer deiner Wahl als Anrufender angeben kannst )
Das Hauptproblem sind bei dir die angenommenden Mails (die im Prinzip auch alle archiviert werden müssen - als Geschäfts"Briefe").
Ordentliches SPF - da werden die Mail nicht angenommen (und auch da kann man wieder vertrauenswürdige FQDN/IPs definieren, bei denen nicht geprüft wird)
Einfach nachdenken
.. alles was angenommen wird muß erst einmal archiviert werden, na ja eigentlich nur geschäftsrelevante Vorgänge - aber woher weiß der Archivierungsautomat das ?Also Mailer so konfigururen daß er "Müll" möglichst nicht annimmt,
An einem Wurm in deinem System glaube ich noch nicht (es sei denn irgendeiner hat diese Mails geöffnet)
Zip-passwortgeschützt mit "mitgeliefertem Passwort .... aber (!) diese Spiel ist schon viele Jahre alt gefühlt über 20 Jahre)!
Es reicht eigentlich daß "irgendwo" Adressbücher abgegriffen worden sind.
Daß bei dir Clients autonom Mails versenden o.ä. sollte bei ordentlichem "Firewalling" eh nicht passieren dürfen.
Fred
LÖSUNG 08.01.2021, aktualisiert um 12:30 Uhr
Falls Emotet gestartet wurde, wird -vermutlich- eine dll ins $HOME-Directory geschrieben, also c:\users\-eigenerName-
Zur Vorsicht sollte auch %temp% und c:\programData geprüft werden.
Palawer: Einem Bekannte, einem Rechtsanwalt, wurde vor Jahren von einem Banking-Trojaner das Konto ausgeraubt. Aus dieser indirekten Betroffenheit habe ich nach Info's zu malware gesucht und sehr, sehr viel gefunden. Auch die Command&Control-Server sind (teilweise) bekannt. Sie sind über die ganze Welt verteilt, aber auch in der D, EU oder USA. Für mich ist es schwer verständlich, warum die Polizei nicht mehr, vor allem schneller aktiv wird.
Zur Vorsicht sollte auch %temp% und c:\programData geprüft werden.
Palawer: Einem Bekannte, einem Rechtsanwalt, wurde vor Jahren von einem Banking-Trojaner das Konto ausgeraubt. Aus dieser indirekten Betroffenheit habe ich nach Info's zu malware gesucht und sehr, sehr viel gefunden. Auch die Command&Control-Server sind (teilweise) bekannt. Sie sind über die ganze Welt verteilt, aber auch in der D, EU oder USA. Für mich ist es schwer verständlich, warum die Polizei nicht mehr, vor allem schneller aktiv wird.
LÖSUNG 08.01.2021 um 12:40 Uhr
Zitat von Doskias:
Leider nein. Selbst mit einem SPF-Check den du bei dir konfigurierst, würdest du ja nur deine Server öffentlich als deine auszeichnen. Wenn der Empfänger Mails ohne SPF-Check annimmt, dann kommen Sie weiterhin durch.
Da du ja aber schreibst, dass mehrere externe betroffen sind, scheinst du aber schonmal an der richtigen Stelle zu suchen. Ich würde auf jedem Client und Server mal schauen ob du Emotet findest:
https://www.heise.de/security/meldung/EmoCheck-Neues-Tool-kann-Emotet-In ...
Zitat von Xaero1982:
aber kann ich das eigentlich überhaupt beeinflussen, weil die Mails ja nicht über den Kundenmailserver gehen, sondern offenbar wirklich von Extern kommen?
aber kann ich das eigentlich überhaupt beeinflussen, weil die Mails ja nicht über den Kundenmailserver gehen, sondern offenbar wirklich von Extern kommen?
Leider nein. Selbst mit einem SPF-Check den du bei dir konfigurierst, würdest du ja nur deine Server öffentlich als deine auszeichnen. Wenn der Empfänger Mails ohne SPF-Check annimmt, dann kommen Sie weiterhin durch.
Da du ja aber schreibst, dass mehrere externe betroffen sind, scheinst du aber schonmal an der richtigen Stelle zu suchen. Ich würde auf jedem Client und Server mal schauen ob du Emotet findest:
https://www.heise.de/security/meldung/EmoCheck-Neues-Tool-kann-Emotet-In ...
Hab ich durchlaufen lassen auf den Clients und Servern und das tool sagt: gibts nicht. Ich hab zwei der Rechner mit F-Secure, Malewarebytes, Eset und PC Cillin (diese Onlinescanner) geprüft und nichts finden können - nur auf einem hat Malewarebytes was gefunden. Irgendwas mit trojan, aber der schien nicht aktiv zu sein.
LÖSUNG 08.01.2021, aktualisiert um 13:36 Uhr
Zitat von Xaero1982:
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Alle Kunden oder nur ein bestimmter?
Das Problem kann ja schließlich auch beim Empfänger liegen.
Hab ich durchlaufen lassen auf den Clients und Servern und das tool sagt: gibts nicht. Ich hab zwei der Rechner mit F-Secure, Malewarebytes, Eset und PC Cillin (diese Onlinescanner) geprüft und nichts finden können - nur auf einem hat Malewarebytes was gefunden. Irgendwas mit trojan, aber der schien nicht aktiv zu sein.
Woran machst du fest, ob ein Trojaner aktiv ist oder nicht?
LÖSUNG 08.01.2021 um 14:18 Uhr
LÖSUNG 08.01.2021 um 14:47 Uhr
Zitat von fredmy:
Kannst du aber nix machen!
Von Dritten an (andere) Dritte - auch wenn dein Name benutzt wird.
Ist in etwas so als ob du verhindern kannst, daß Irgendjemand deinen Namen/Adresse als Absender auf einen Brief schreibt!, und ihn dann in den gelben Kasten einwirft!
( ähnlich Telefon[werbung/Verkauf] - wo du einen Nummer deiner Wahl als Anrufender angeben kannst )
Zitat von Xaero1982:
Das ist passiert. Das Problem ist eher das Dritte diese Mails bekommen. Das ist eher das Hauptproblem. Intern werden sie alle geblockt.
Das ist passiert. Das Problem ist eher das Dritte diese Mails bekommen. Das ist eher das Hauptproblem. Intern werden sie alle geblockt.
Kannst du aber nix machen!
Von Dritten an (andere) Dritte - auch wenn dein Name benutzt wird.
Ist in etwas so als ob du verhindern kannst, daß Irgendjemand deinen Namen/Adresse als Absender auf einen Brief schreibt!, und ihn dann in den gelben Kasten einwirft!
( ähnlich Telefon[werbung/Verkauf] - wo du einen Nummer deiner Wahl als Anrufender angeben kannst )
Das ist klar. Aber in den Emails ist eben original Korrespondenz zwischen den augenscheinlichen Gesprächspartnern, deren Absendernamen genutzt werden.
Also Mailer so konfigururen daß er "Müll" möglichst nicht annimmt,
Intern erfolgt.An einem Wurm in deinem System glaube ich noch nicht (es sei denn irgendeiner hat diese Mails geöffnet)
Zip-passwortgeschützt mit "mitgeliefertem Passwort .... aber (!) diese Spiel ist schon viele Jahre alt gefühlt über 20 Jahre)!
Es reicht eigentlich daß "irgendwo" Adressbücher abgegriffen worden sind.
Erklärt aber nicht den Inhalt der Mails... :/Zip-passwortgeschützt mit "mitgeliefertem Passwort .... aber (!) diese Spiel ist schon viele Jahre alt gefühlt über 20 Jahre)!
Es reicht eigentlich daß "irgendwo" Adressbücher abgegriffen worden sind.
Daß bei dir Clients autonom Mails versenden o.ä. sollte bei ordentlichem "Firewalling" eh nicht passieren dürfen.
Korrekt, da geht nur was vom Mailserver raus.LÖSUNG 08.01.2021 um 14:50 Uhr
Zitat von LordGurke:
Alle Kunden oder nur ein bestimmter?
Das Problem kann ja schließlich auch beim Empfänger liegen.
MWn unterschiedliche externe Empfänger.Zitat von Xaero1982:
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Das Blöde ist nur, dass auch die Kunden meines Kunden diese Mails bekommen. Im Moment bin ich etwas ratlos wo ich hier ansetzen könnte um überhaupt festzustellen woher das stammt.
Alle Kunden oder nur ein bestimmter?
Das Problem kann ja schließlich auch beim Empfänger liegen.
Hab ich durchlaufen lassen auf den Clients und Servern und das tool sagt: gibts nicht. Ich hab zwei der Rechner mit F-Secure, Malewarebytes, Eset und PC Cillin (diese Onlinescanner) geprüft und nichts finden können - nur auf einem hat Malewarebytes was gefunden. Irgendwas mit trojan, aber der schien nicht aktiv zu sein.
Woran machst du fest, ob ein Trojaner aktiv ist oder nicht?
Gottvertrauen in oben genannte Tools
LÖSUNG 08.01.2021 um 14:51 Uhr
Zitat von schicksal:
Mal alle Passwörter bei deinen E-Mail Konten ändern.
Weiters hast du einen Webserver mit Wordpress oder ähnlichem, Scanne diesen auf Sicherheitslücken.
Hört sich fast an als wenn du eine Plugin Lücke (E-Mail) hättest.
Ähnliche Mails wurden durch eine mir bekannte Wordpress Seite verteilt.
Mal alle Passwörter bei deinen E-Mail Konten ändern.
Weiters hast du einen Webserver mit Wordpress oder ähnlichem, Scanne diesen auf Sicherheitslücken.
Hört sich fast an als wenn du eine Plugin Lücke (E-Mail) hättest.
Ähnliche Mails wurden durch eine mir bekannte Wordpress Seite verteilt.
Passwörter wurden zurückgesetzt. Muss ich weiter beobachten wie es sich nun verhält.
Sonst gibt es nur eine 3CX die noch läuft.
Grüße
