Neue Trojaner "über" kundenservice@leserservice.de ?
 

Hallo zusammen,

es ist wie verhext :kloppen:

heute wollte ich die windows 10 mail app ausprobieren. Weil ich zu faul war, nutzte ich die automatische Auswahl ohne das Erweiterte Setup zu nutzen. So kam es dazu, dass der Eingangserver als pop eingetragen wurde und ich die entsprechende Nachricht (um die es jetzt gleich geht) nicht woanders/erneut laden kann.

letztendlich erschien nun als neueste Nachricht (kam nur ein paar minuten Nachdem ich zuletzt live Mail bemüht hatte) eine email "von" kundenservice@leserservice.de mit dem Titel: Auftragsnummer zu Abonummer 12345679 (Zahlen sind beispiel). Diese lud ich herunter, da ich tatsächlich vor einiger Zeit ein Abo darüber tätigte. Nun hies es dort in der Anrede mein Name bla bla bla danke für die Werbung eines neuen Abos Auftragsbestätigung etc. siehe Anhang.

Da waren denn die entsprechenden Anhänge die ich natürlich NICHT angklickte.

Jetzt zur Frage, da ich mich ja mit der Mail App nicht auskenne: Von zwei anhängen wurde eine Vorschau angezeigt, bei einer WEITEREN stand "fehler beim herunterladen". Bei allen sollte es sich um vermeintliche PDFs handeln, wobei eine eine Größe von 2,39 MB hatte.

Frage: Kann da jetzt schon was passiert sein (weil die App ja kleine Vorschaubildchen anzeigt).

Leider habe ich das komplette Konto in der Mail app dann wieder gelöscht. Da es per pop (automatisch) eingetragen wurde, kann ich sie nun nicht mehr runterladen, da sie auf dem Server gelöscht wurde. Somit kann ich mir jetzt auch nicht mehr den header angucken...

Frage2: Gibt es da jetzt aktuell eine solche (neue) Masche? Ist da schon was bekannt über den Leserservice der Post? Ich habe in letzter Zeit jedenfalls niemanden geworben.

hi,

Vorschau ist natürlich doof. Da kann in Theorie schon was passieren.

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Also ich habe mal beim Kundenservice angerufen und die angegebene Abonummer stimmt. Dann müssten ja die Leserservice Server gehackt worden sein, oder?



- Farbar's Recovery Scan Tool, da wird mir bei Virustotal von zwei Stellen ein Virus gemeldet. ist das normal?
- und befinden sich in den logs dann individuelle Daten, wenn ich das hier so öffentlich poste?

Haste die vielleicht auch gerade mal danach gefragt, mit Server und so? :)

FRST ist ein Fehlalarm. Die Erkennung kommt weil es in AutoIT geschrieben ist.

Dein Realname steht im Log, wenn es dein Benutzername ist, den kannste editieren. Dokumente nicht auf dem Desktop ablegen, da dann der Name im Log auftaucht. Ansonsten steht da nix :)

Ja habe wegen Serverhack o.ä. gefragt, da konnte sie mir aber nichts zu sagen, müsste ich in der Verwaltung anrufen, da ist aber erst Montag wieder einer.

Also ich habe dann 2-3 Stunden später Thunderbird installiert und da kam die Nachricht dann "nochmal", Zeitstempel wieder kurz nach der Installation und Einrichtung. Ich denke mitlerweile, dass es sich um einen Serverfehler des Mailanbieters handelt oder so etwas und die entsprechend als neu und ungelesen gelabelt wird.

die Dateien waren (diesmal) jedenfalls zwei PDFs, eine ausführbare Doppelendung konnte ich nicht finden. Den doppelklick habe ich mir dennoch verkniffen. Leider habe ich in meiner paranoia wieder nicht den header angesehen vor dem Löschen, da ich mich mit Thunderbird ebenfalls noch nicht so gut auskenne, hatte immer live Mail.

Naja jedenfalls denke ich, wir können das hier (zumindest fürs erste) abschließen, in der Summe betrachtet war es vermutlich eher ein Bug.

Update: Hatte die Nachricht doch noch nicht gelöscht. Im Quelltext steht auch ein Datum im August, Mail-Adresse scheint auch ok. Also, ich denke es war ein Bug und meine Paranoia ;).

Danke für Deine Hilfe. Sollte etwas ungewöhnliches auffallen, I will return.

Gern Geschehen :)