Spamwelle – Viele Telekom-Kunden betroffen „Fw: important“

Stell Dir vor, es läuft eine Spamwelle, ein großes deutsches Telekommuikations-Unternehmen ist betroffen und keiner sagt was. Wie es scheint wurden in den letzten Monaten verstärkt E-Mail-Konten der Telekom angegriffen und das Unternehmen sagt nichts dazu. Na gut, wollen wir nicht so hart sein. Es sagt nicht viel dazu. Aber auch sonst wird der Angriff in großen Teilen des Netzes nicht kommentiert, obwohl er, wie ich finde nicht nur äußerst Massiv, sondern auch besonders perfide ist. Denn es gibt kaum etwas, was die Betroffenen dagegen unternehmen können, weil die Basis (wahrscheinlich) ein Hack und kein Virus oder Trojaner ist. Außerdem kann man sogar Betroffen sein, wenn man nicht betroffen ist. Aber der Reihe nach.

Wer ist betroffen?

In erster Linie t-online.de-Accounts. Die Telekom hat dazu auch schon eine Meldung rausgegeben. Andere Meldungen finden sich bei golem.de und bei heise security.

Was ist passiert?

Ich bin nur zufällig darüber gestolpert, weil der t-online-Account eines Freundes betroffen ist. Seine Mailadresse wird für das sogenannte Mail-Spoofing missbraucht. Das heißt, jemand hat einen eigenen Mailserver aufgesetzt und verschickt mit der @t-online.de Adresse meines Schwiegervaters Spam-Mails. Das ist in etwa so, wie Briefe mit einem falschen Absender verschicken. So funktionieren unter anderem auch die Phishing-Mails.

Was ist besonders perfide?

Prekär und besonders perfide ist das Ganze, weil der Mailaccount vorher ausspioniert wurde. Interessanterweise wurden dabei nicht wie üblich die Adressbücher ausgelesen und genutzt, sondern über einen bestimmten Zeitraum die Mailadressen aus dem Post-Eingang und –Ausgang abgegriffen. Das kann man daran sehen, dass viele Mails unter anderem auch an die Adressen von Newsletter und Personen versandt wurden, die definitiv nicht in seinem Adressbuch stehen. Andere Personen, die im Adressbuch stehen aber länger nicht angeschrieben wurden, bekamen hingegen keine Spam-Mails.

Zudem verwenden die Spammer unterschiedliche Absendernamen, die sie aus den abgefangenen Mailadressen generieren. So bekam ich unter anderem auch schon Anrufe von Leuten, die wir beide im Adressbuch haben, dass ich Spam versenden würde. Tatsächlich wird aber auch dabei die Mailadresse von meinem Schwiegervater benutzt und nur mein Name als Absender eingetragen. Von daher bin ich betroffen, ohne betroffen zu sein.

Außerdem wird der Spam nicht wie sonst an einzelne Personen, sondern immer an größere Verteiler von 20 -50 Personen verschickt. Das schafft nochmal zusätzlich „Vertrauen“, weil man ja viele Personen kennt, die im Verteiler stehen. Einige unbedarftere Bekannte haben daraufhin schon auf den Link in der Spam-Mail geklickt, weil sie dachten, dass es vielleicht doch eine richtige Mail ist.

Wie ist es passiert?

Der Rechner meines Freundes ist definitiv viren- und trojanerfrei. Das haben wir jetzt mehrfach überprüft. Das deckt sich auch mit den Angaben, die sich in den einschlägigen Adminforen finden. Unter anderem sind auch Linux und Apple-Systeme betroffen, die ja nicht gerade als anfällig für Viren gelten. Von daher müssen die Mailadressen an anderer Stelle abgegriffen worden sein. Dies würde auch dazu passen, dass nicht die Adressbücher angezapft wurden, sondern Posteingang und Postausgang.

Interessanterweise rätseln über das Wie auch die Experten in den IT-Foren. Es scheint da ebenso viele Möglichkeiten wie Vermutungen zu geben. Der Account könnte direkt auf dem t-online-Server gehackt, eine Schwachstelle am SMPT-Server oder eine Smartphone-App genutzt worden sein. Viren und Trojaner schließen auch die Experten aus.

Wie erkennt man, dass man betroffen ist?

Da der Spam nicht vom eigenen Rechner versandt wird, merkt man das nur daran, wenn plötzlich Mails als unzustellbar zurückkommen, die man gar nicht versandt hat. Außerdem gibt es immer gutmeinende Bekannte und Freunde, die einen in so einem Fall darauf aufmerksam machen.

Für die Empfänger ist die Spam-Mail übrigens gut zu erkennen. Schon der Betreff: „Fw: important“ sagt alles. Der Inhalt ist ansonsten auch nicht besser. „Hey“ ein Link und der Name des Absenders. Umlaute werden dabei nicht dargestellt. Für versiertere Nutzer kann der Spam auch am Mail-Header erkannt werden. Neben unterschiedlichen Mailservern wird beim Helo Befehl immer der Name „WORLDST-UQ3K9Q0“ verwendet.

Was kann man dagegen tun?

Als Betroffener dummerweise nichts. Man kann sein Mail-Passwort ändern. Damit verhindert man vielleicht, dass der Account weiter ausspioniert wird. Viellicht, denn unter Umständen nutzen die Hacker eine ganz andere Schwachstelle bei der Telekom, am Router oder wo auch immer, für die man kein Passwort benötigt.

Am Versand des Spams kann man aber nichts ändern, das läuft ja durch das Spoofing über einen Server, auf den man keinen Zugriff hat. Wir wägen gerade den Aufwand und Nutzen ab, zu einem anderen Anbieter zu wechseln. Das ist ja heute nicht mehr so einfach, da die Mailadresse ja bei vielen anderen Services als Zugang genutzt wird.

Ansonsten bleibt nur eine Mail an alle zu schicken, die in den Spamverteiler geraten sind und sie über die Situation aufzuklären.

Was sonst noch interessant ist?

…dass sich Informationen über die Spamwelle noch nicht weiter verbreitet haben. Vor allem, weil die Schwachstelle noch nicht identifiziert wurde und schon seit Wochen existiert. Die ersten Berichte stammen von Mitte August. Außerdem verwundert es, dass viele Telekom-Kunden betroffen sind (Update 27.09.15: Mittlerweile gibt es aber auch Berichte von anderen Providern wie 1&1, arcor oder gmx). Ich bin nun wirklich kein IT-Experte und nur mit einem gesunden Halbwissen gesegnet, aber an der Stelle würde ich bei der Analyse ansetzen. Vielleicht ist es ja eine veraltete Software eines Telekom-Routers? Die meisten Telekom-Kunden und einige ehemalige Kunden auch werden den hauseigenen Router verwenden. Dass die Server der Telekom gehackt wurden schließt das Unternehmen ja aus. Und ansonsten müsste ja viel mehr Anbieter in größerem Ausmaß betroffen sein.

Außerdem wundere ich mich ein wenig über die schlechten Informationen durch die Telekom. Außer der einen Erklärung und des Hinweises, dass man sein Passwort ändern sollte, ist bislang nichts passiert.

Wo kann man sich weiter informieren?

Mir erscheint das Adminforum hier am verlässlichsten und immer noch an der Sache dran zu sein:

www.administrator.de

Sollte jemand eine Idee, Lösung oder besonderen Hinweis haben, wäre ich dafür auch dankbar. Mein Freund muss die Spam-Mails ja auch noch irgendwie loswerden. Bislang ist mir außer einem Anbieterwechsel nichts dazu eingefallen.

Update 27.09.15

Mittlerweile habe ich ein paar Mails und Hinweise zu dem Artikel bekommen. Eine wirkliche Lösung ist nicht in Sicht, aber weitere interessante Artikel zu dem Thema finden sich hier:

Agoradesign.at: WORLDST-UQ3K9Q0 – ein weit unterschätzter neuer Super-Hack?

Wardine´s Wrock: Email send under my name not from me

3Sepo@Blog: Fw: Important! – HELO WORLDST-UQ3K9Q0