Es ist unglaub­lich: Einem Bericht von hei­se­Secu­ri­ty zufol­ge, kli­cken Nut­zer – trotz aller War­nun­gen —  auf Links, die sie per Face­book-Nach­richt oder Email erhal­ten. Eben­so ver­su­chen sie Datei­en auf gefun­de­nen USB-Sticks zu öff­nen. Gleich zwei Stu­di­en kom­men zu die­sen Ergeb­nis­sen. Doch Vor­sicht: Hin­ter sol­chen unbe­kann­ten Quel­len kön­nen sich leicht Com­pu­ter­vi­ren und Tro­ja­ner ver­ste­cken. Ein­mal geklickt, ver­brei­tet sich die Scha­dens­soft­ware schnell auf dem gan­zen PC. Häu­fig ner­vig, teu­er und man­che Daten sind für immer weg. Daher bes­ser zwei­mal prü­fen und so Ärger ver­mei­den.

Wie Sie sich vor unsicht­ba­ren Angrei­fern aus dem Netz schüt­zen, dar­über infor­mie­ren wir bei unse­ren Vor­trä­gen. Ab Herbst bie­tet die PCFeu­er­wehr Ham­burg neue Ter­mi­ne an. Die fin­den Sie hier im Blog oder in unse­rem News­let­ter.

PC-Feu­er­wehr gibt Tipps wie man das Schlimms­te ver­hin­dern kann

Ham­burg, 2. Novem­ber 2009. Ein IT-Aus­fall ist gera­de für Unter­neh­men oft mit erheb­li­chen Kos­ten ver­bun­den, län­ge­re Aus­fäl­le kön­nen sogar exis­tenz­be­dro­hend sein. Denn die Infor­ma­ti­ons­tech­no­lo­gie bil­det die Basis der meis­ten Unter­neh­mens­tä­tig­kei­ten und kaum ein Geschäft wird heu­te noch ohne IT-Unter­stüt­zung abge­wi­ckelt. Trotz­dem ist ein ent­spre­chen­des Risi­ko­be­wusst­sein gera­de bei mit­tel­stän­di­schen Unter­neh­men nur schwach aus­ge­prägt, weiß Micha­el Kitt­litz, Geschäfts­füh­rer der PC-Feu­er­wehr, aus der täg­li­chen Pra­xis sei­nes deutsch­land­weit täti­gen PC-Not­diens­tes zu berich­ten. Die PC-Feu­er­wehr gibt des­we­gen Tipps, wie das Schlimms­te ver­hin­dert wer­den kann.

Es gibt viel­fäl­ti­ge Ursa­chen, die zu einem Kom­plett­aus­fall der Fir­men-IT füh­ren kön­nen. Viren oder Wür­mer sind nur zwei mög­li­che Grün­de. Auch unzu­rei­chen­de War­tung, man­geln­de Leis­tungs­ka­pa­zi­tä­ten, Feh­ler an Soft- und Hard­ware, Strom­aus­fäl­le oder mensch­li­ches Fehl­ver­hal­ten bedro­hen die Rech­ner­sys­te­me. Der ers­te Schritt, um sein Sys­tem zu sichern, ist die Durch­füh­rung einer Gefah­ren­ana­ly­se. „Nur wer die kon­kre­ten Gefah­ren für sein Sys­tem kennt, kann sich auch davor schüt­zen“, gibt Kitt­litz zu Beden­ken. Aus einer Gefah­ren­ana­ly­se ergibt sich dann der kon­kre­te Schutz­be­darf.

Gute Vor­be­rei­tung für Ernst­fall ist ent­schei­dend
Das A und O in Punk­to IT-Sicher­heit ist immer eine gute Vor­be­rei­tung für den Ernst­fall. Oft wer­den gera­de bei klei­nen und mit­tel­stän­di­schen Unter­neh­men die ers­ten Stun­den nach einem IT-Aus­fall damit ver­bracht, die gesam­ten Zugangs­da­ten wie Admi­nis­tra­tor- oder Rou­ter-Pass­wort, Lizenz­keys für Micro­soft-Office, Win­dows oder die Buch­hal­tungs­soft­ware zu suchen. Teil­wei­se müs­sen die­se erst bestellt wer­den und kom­men aus Sicher­heits­grün­den dann per Post – da kann es dann meh­re­re Tage dau­ern, bis wie­der alles läuft, weiß Kitt­litz.

Zudem muss im Not­fall bekannt sein, wo sich der Rou­ter und die Tele­kom­mu­ni­ka­ti­ons-Anla­ge befin­den, wer einen Schlüs­sel zu die­sen Räu­men hat und wel­che Diens­te über wel­chen Ser­ver lau­fen. Die PC-Feu­er­wehr rät sei­nen Kun­den min­des­tens ein­mal im Jahr ein Sicher­heits­au­dit durch­zu­füh­ren, in dem all die­se Infor­ma­tio­nen rund um die IT-Anla­ge doku­men­tiert wer­den.

Dop­pelt hält bes­ser
Ein zen­tra­ler Punkt im IT-Schutz sind auch red­un­dan­te Ser­ver­sys­te­me. Hier wer­den von Sys­te­men auto­ma­tisch Kopien erstellt. Die Dublet­te über­nimmt dann im Feh­ler­fall die Auf­ga­ben des eigent­li­chen Sys­tems. Zu jeder Fir­men-IT soll­te zudem ein – den Bedürf­nis­sen des Unter­neh­mens ent­spre­chend ange­pass­tes – Back­up-Sys­tem gehö­ren. Je nach Daten­men­ge bie­ten sich hier­für Magnet­bän­der, DVD-Roh­lin­ge, exter­ne Fest­plat­ten oder ein Online-Back­up an. Unab­hän­gig vom Spei­cher­me­di­um gilt: Back­ups soll­ten regel­mä­ßig durch­ge­führt wer­den und die so gespei­cher­ten Daten sicher – und min­des­tens ein­mal im Monat auch außer­halb des Büro­ge­bäu­des – gela­gert wer­den.

Wenn all das gege­ben ist, ist bei einem Aus­fall schon 90 Pro­zent geret­tet.

Haben Sie gera­de fol­gen­de oder eine ähn­li­che eMail in Ihrem Post­fach gefun­den?

Sehr geehr­te Damen und Her­ren,

Ihre Email “[email protected]” wird wegen Miss­brauch inner­halb der naechs­ten 24 Stun­den gesperrt. Es sind 27 Beschwer­den wegen Spam­ver­sand bei uns ein­ge­gan­gen.
Details und moeg­li­che Schrit­te zur Ent­sper­rung fin­den Sie im Anhang.

Falls das der Fall ist, dann lachen Sie ein­mal über die lus­ti­ge Behaup­tung und kli­cken Sie ent­spannt auf ‘löschen’. In dem Anhang der Datei ’sperrung.zip’ oder ‘hinweis.zip’ fin­det sich wie­der ein­mal ein bös­ar­ti­ges Pro­gramm, das Ihren PC infi­zie­ren möch­te.

Erneut set­zen die Ver­sen­der auf den bekann­ten und den­noch lei­der immer noch wirk­sa­men Schock-Effekt. Schon die fal­schen Umlau­te soll­ten jeden Inter­net­nut­zer sofort auf­merk­sam wer­den las­sen.
Tech­nisch kann übri­gens höchs­tens der tat­säch­li­che eige­ne Pro­vi­der einem die eMail-Adres­se abschal­ten. Und der wird Ihnen sicher­lich nicht in die­ser Form schrei­ben oder mit einem werk­wür­di­gen Absen­der. Wenn sowas über­haupt zutrifft, dann wird die­ser vor­her anrufen, sich ein­deu­tig, freund­lich und nach­voll­zieh­bar authen­ti­fi­zie­ren und Ihnen dann höf­lich mit­tei­len, dass es ein Pro­blem mit Ihrer Mail­box gibt oder sich per Brief­post mel­den. Übli­cher­wei­se schal­tet einem sowie­so kein Pro­vi­der die Mail­box ein­fach so ab.

Eine dumm­dreis­te Behaup­tung die auch noch eine ZIP-Datei oder eine ande­re gepack­te Datei im Anhang mit­sen­det ist ein ein­deu­ti­ges Indiz für Schad­soft­ware.

Also — bit­te fal­len Sie auch auf die­sen Trick nicht her­ein.

Seit ges­tern Abend kur­sie­ren wie­der bös­ar­ti­ge eMails im Inter­net, die im Anhang die Datei RECHNUNG.ZIP haben. Wer die ZIP-Datei öff­net, fin­det zwei Datei­en in dem Ordern ‘RECH­NUNG’:

rechnung.txt.lnk — die jedoch im Win­dows­ex­plo­rer nur als rechnung.txt ange­zeigt wird und
zertifikat.ssl

Wer sich jetzt von dem Betreff und der Text der eMail hat ein­schüch­tern las­sen oder emo­tio­nal auf­ge­regt ist, hat gute Chan­cen sich den Tro­ja­ner ein­zu­fan­gen, denn nur eini­ge Anti­vi­ren­pro­gram­me erken­nen den Tro­ja­ner bis­her. Unser Test hat erge­ben, dass Anti­Vir die­sen der­zeit noch nicht erkennt und Dr. Web dies erst seit heu­te Vor­mit­tag kann. Ande­re Pro­duk­te von Her­stel­len wie Cla­mAV, Com­mand, Kas­pers­ky und Sophos sol­len ihn eben­falls bereits erken­nen.

Wie immer ist bei merk­wür­di­gen und unbe­kann­ten Absen­der­adres­sen und vor­al­lem .ZIP-Datei­en im Anhang höchs­te Vor­sicht gebo­ten. Auf­fäl­lig sind auch die fal­schen deut­schen Son­der­zei­chen, die durch ‘ue’, ‘ae’, etc ersetzt wer­den. Ein deut­li­ches Indiz für einen Virus oder Tro­ja­ner in der eMail. Am Bes­ten läßt man sol­che eMails zunächst ent­we­der ein paar Tage lie­gen, damit die Anti­vi­ren­her­stel­ler eine Chan­ce haben die bös­ar­ti­ge eMail zu erken­nen und einen dann zu war­nen oder löscht die­se eMail gleich.

Die eMail selbst lau­tet:

Sehr geehr­te Damen und Her­ren!
Die Anzah­lung Nr.950849253860 ist erfolgt
Es wur­den 8070.48 EURO Ihrem Kon­to zu Last geschrie­ben.
Die Auf­lis­tung der Kos­ten fin­den Sie im Anhang in der Datei: Rech­nung.

Alle unse­re Rech­nun­gen sind mit einem Sicher­heits­zer­ti­fi­kat ver­se­hen — der ist fuer Sie nicht von Bedeu­tung

TESCHIN­KAS­SO For­de­rungs­ma­nage­ment GmbH
.…

Im Betreff ste­hen dabei ver­schie­dens­te Angan­ben wie z.B.:
TESCHIN­KAS­SO
Auf­lis­tung der Kos­ten
1 Rate
Raten­zah­lung
Abbu­chung
Amts­ge­richt
Amts­ge­richt Koeln
Sray­fri­ends Anmel­dung

Update I: Nach­dem vor die­sen Viren gewarnt wird, gibt es jetzt zusätz­lich auch den Miß­brauch von Stay­Fri­ends mit fol­gen­der eMail:

…vie­len Dank fur Ihre Anmel­dung bei stayfriends.de Sie haben Sich fuer unse­ren kos­ten­pflich­ti­gen Such­ser­vice ent­schie­den. 295,96- Euro wer­den Ihrem Kon­to fur ein Jah­res­ver­trag zu Last gelegt. Wir mai­len Ihnen alle Ant­wor­ten auf Ihre Such­an­fra­ge 2 Mal woe­chent­lich zu, Sie koen­nen sich auch zu jeder Zeit ein­log­gen und den aktu­el­len Stand ein­se­hen. Ent­neh­men Sie Ihre Rech­nung und den Zugang zu Ihrem Pro­fil den unten ange­fuehr­ten Anhang. Bit­te die­sen genau­es­tens durch­le­sen und bei einer Unstim­mig­keit uns kon­tak­tie­ren. Zum Lesen wird kein zusaetz­li­ches Pro­gramm benoetigt.Falls die Anmel­dung von einer drit­ten Per­son ohne Ihre Zustim­mung durch­ge­fuehrt wur­de, fueh­ren Sie unver­zueg­lich, den in dem Anhang auf­ge­fuehr­ten Abmel­de­vor­gang aus.Der Wider­spruch ist nach unse­ren AGB’s inner­halb von 7 Tagen schrift­lich zulaes­sig!
Eine Kopie der Rech­nung wird Ihnen in den nachs­ten Tagen per Post zuge­stellt.

Update II: Inzwi­schen gibt es eine drit­te Wel­le die aber genau in die glei­che Ker­be zu schla­gen ver­sucht, hier der eMail-Text:

Sehr geehr­te Damen und Her­ren,

Use­net GmbH — usenext.de
69,85 EUR

Bea­te Uhse GmbH  beate-uhse.de
35,59 EUR

bis­he­ri­ge Mahn­kos­ten unse­rer Man­dan­ten:
68,17 EUR

vor­ge­richt­li­che Inkas­so­ge­bueh­ren:
52,92 EUR

noch offe­ner Gesamt­be­trag inklu­si­ve unse­rer Bear­bei­tungs­kos­ten:
226,64 EUR

bis­lang ist der von uns ange­mahn­te Betrag nicht aus­ge­gli­chen wor­den!

Als Ver­trags­part­ner der SCHUFA Hol­ding AG wei­sen wir dar­auf hin, dass wir Daten ueber aus­ser­ge­richt­li­che und gericht­li­che Ein­zie­hungs­mass­nah­men bei ueber­fael­li­gen und unbe­strit­te­nen For­de­run­gen an die SCHUFA Hol­ding AG, Kor­mo­ran­weg 5, 65201 Wies­ba­den, ueber­mit­teln. Ver­trags­part­ner der SCHUFA sind vor allem Kre­dit­in­s­ti­gu­te sowie Kre­dit­kar­ten- und Lea­sing­ge­sell­schaf­ten.
Moech­ten Sie die­se Schrit­te ver­mei­den, zah­len Sie bit­te bis zum 09.12.2008 Ihren Schuld­be­trag unter Anga­be Ihres
Akten­zei­chens (sie­he Anhang) auf die in der Auf­lis­tung genann­te Bank­ver­bin­dung.
Die detail­ier­te Auf­lis­tung Ihrer Rech­nun­gen, Mahn­ge­bueh­ren und die Zah­lungs bzw. Wie­der­spruchs­hin­wei­se fin­den Sie im Anhang.

Dies­mal heißt die Datei im Anhang: Anhang.zip in der wie­der­um der Tro­ja­ner steckt und schein­bar wie­der in einer leicht ande­ren Ver­si­on, denn weder Dr. Web noch Anti­vir erken­nen ihn der­zeit bei unse­ren ers­ten Tests.

Update III: Kaum haben die Anti­vi­ren­her­stel­ler die Signa­tu­ren ange­paßt, so daß die auch die bös­ar­ti­gen eMails der zwei­ten Wel­le zuver­läs­sig erkannt wer­den, ändern die Angrei­fer Ihre Datei­na­men und den Code des Tro­ja­ners. Jetzt heißt die Datei Mahnung.zip die den Schad­code ent­hält. Wir wer­den sehen, wie lan­ge die­ses Katz- und Maus­spiel noch andau­ern wird.
Eine so exzes­si­ve und mas­sen­wei­se eMail-Flut die­ser Art hat es lan­ge nicht gege­ben.

Unser Rat: Las­sen Sie sich nicht von sol­chen eMails ein­schüch­tern oder auf­re­gen! Die Beträ­ge varie­ren und sind in der Regel mit Absicht sehr hoch ange­setzt. Eben­so wird das The­ma Ero­tik genutzt. Bei­des nur um Sie dazu zu ver­lei­ten die­se sofort und ohne Nach­zu­den­ken zu öff­nen und somit die sonst übli­chen Beden­ken in der Auf­re­gung zu ver­ges­sen und jeg­li­che Vor­sicht zu miß­ach­ten. Genau dar­auf zie­len die­se eMail stets ab. Las­sen Sie sich bit­te nicht rein­le­gen!

P.S. Wie Spie­gel Online berich­tet, warnt sogar die Poli­zei Köln vor die­sen eMails, die lei­der auch schon eini­ge Opfer gefun­den hat, wie wir aus unse­ren Auf­trä­gen am Frei­tag und am Wochen­en­de wis­sen.