Tag zusammen!

Es gibt da ja ein wenig mehr schlecht als recht gemachten Spam von UPS zur Zeit mit einer freundlichen, gepackten, trojanerinstallierenden exe im Anhang.

Ein paar Stunden später kommt dann folgende, eigentlich wirklich gut gemachte Mail hinterher:

-------- Original-Nachricht --------
Betreff: Vorsicht!
Datum: Mon, 14 Jul 2008 19:11:31 -0400 (EDT)
Von: UPS Brown Bulletin <brownbulletin@ups.com>
Antwort an: brownbulletin@ups.com
An: someone@domain.tld


This message contains graphics. If you do not see the graphics, click here to view.

UPS Brown Bulletin
Vorsicht!

UPS wurde darauf hingewiesen, dass ein bislang unbekannter Dritter an verschiedene Empfänger eine E-Mail verschickt, die einer echten UPS Nachricht ähnelt. Die Nachricht will den Empfänger glauben machen, dass eine UPS Sendung nicht zugestellt werden konnte. Der Empfänger der E-Mail wird aufgefordert, einen Anhang zu öffnen, in dem sich angeblich ein Lieferschein zu der abzuholenden Sendung befindet.

Dieser E-Mail-Anhang enthält einen Computervirus. Wir möchten Ihnen darum dringend empfehlen, diesen Anhang nicht zu öffnen, sondern die betreffende E-Mail umgehend zu löschen.

Es gibt Fälle, in denen UPS offizielle Benachrichtigungen per E-Mail verschickt, nur selten allerdings mit Anhängen. Wenn Sie per E-Mail eine Benachrichtigung mit einem Anhang erhalten und Sie im Zweifel über die Echtheit der E-Mail und des Anhangs sind, wenden Sie sich bitte an https://www.ups.com/forms/e-mail/general_intl?loc=de_de.

Bitte beachten Sie, dass UPS seine Kundenbeziehungen sehr ernst nimmt, aber keine Verantwortung für unerlaubte Handlungen von Dritten übernehmen kann.

Vielen Dank für Ihre Aufmerksamkeit!

Naja, soweit klingt das ja eigentlich noch ganz vernünftig. Wer jetzt Grafiken nachlädt hat allerdings schon verloren, denn:

Der Link in der Nachricht sowie auch die angeblich nachladbaren Bilder verweisen auf eine ganz andere Domain als UPS.

Da ich als Besitzer eines scharfen Auges (jaja, mit Hilfe, ich weiß) erkannt habe dass sich in dem Link eine ID versteckt habe ich die mal fix geändert und mir dann den Link in einer VMWare angeschaut:

Höhö, weiße Seite, was sagt mir das? Da sammelt einer Adressen, denn wie die geneigte Leserschaft schon vermutet hat jeder eine andere ID bekommen, wer seine nun aufruft bestätigt damit die tatsächliche Existenz seiner Adresse.

Das Aufrufen der Hauptdomain spricht dann auch für sich:

Also, hoffentlich nicht geklickt, sonst wird das Postfach wohl bald ungewollt voller.