Ich habe vergangene Woche eine E-Mail erhalten. Was ist daran etwas besonderes? Naja, die E-Mail hätte eigentlich erst gar nicht bei mir ankommen dürfen. Noch nicht einmal als SPAM- E-Mail. Geht nur auf die folgenden Serveradressen, wenn ihr genau wisst was ihr da tut! Das ist sehr gefährlich.
Die Absenderadresse der E-Mail lautet: info-27d@de.456354.blizzard.com. Blizzard ist ein bekannter Spieleentwickler, doch die Adresse wirkt bereits verdächtig. Der Teil „de.456354“ ist der erste Hinweis darauf. Zudem bleibt die Frage: Wer ist „info-27d“? Sehr ungewöhnlich. Trotzdem ist klar – es handelt sich um einen Phishing-Angriff oder allgemein um Spam-Mail.
Der zweite, deutliche Hinweis, der im Code der E-Mail versteckt ist, ist die IP- Adresse des Absenders: 64.46.108.22. Außerdem wurde ein Absenderserver joie.springproject.uk (mit der Domain-Registrierung gellery4life.com) im Code der Mail vermerkt. Das passt absolut nicht zum Entwickler “Blizzard”.
Und jetzt kommt der Brüller: Die E-Mail wurde ursprünglich an einen Microsoft-„Mail Server“-Dienst gesendet. Diese Microsoft-Server erkannten, dass es Spam war, aber leiteten die Mail im Hintergrund an mein E-Mail-Postfach weiter, weil der Absender irgendwo einen Hinweis hinterlassen hatte, dass die Microsoft-Server so mit der E-Mail verfahren sollten.
Wieso wurden die Microsoft-Server für diese Weiterleitung genutzt? Man kann vermuten, dass ein Microsoft-E-Mail-Konto (ein Kundenkonto)– möglicherweise sogar ein Microsoft 365-Konto – dazu verwendet wurde. Ob es sich dabei um eine illegale Nutzung oder eine legitim erfolgte Anmeldung handelt, bleibt unklar. Letztlich könnte das Konto so konfiguriert gewesen sein, dass es im Hintergrund die eingehenden E-Mails an eine festgelegte Gruppe von Empfängern weiterleitete. Es könnte sich dabei um einen großen Pool von Mailadressen handeln.
Trotz effektiver Schutzmaßnahmen erkannten die Microsoft-Server zwar, dass es sich um Spam handelte, doch die von den Angreifern vorgenommene Weiterleitung hatte Vorrang, sodass die Entscheidungsbefugnis letztlich bei den Systemen der Empfänger lag.
Wieso hat mein verwendetes System, es war GMX, diese Mail nicht als SPAM erkannt? Weil die Weiterleitung die Absenderadresse auf die Microsoft-Server umleitete – statt der ursprünglichen Adresse. Und die Microsoft-Server waren völlig legitime Sender.
War es jetzt ein Angriff oder wollte nur jemand E-Mail SPAM verbreiten? Eher die erste Variante. Man wollte, dass ich meinen Virenschutz aktualisiere, indem ich etwas von einer Seite herunterlade. Ich habe nicht draufgeklickt, und ich empfehle es nicht zu tun, falls ihr etwas ähnliches erhaltet.
Wie weiter? Ich habe den Inhalt der E-Mail als Datei an Microsoft gesendet. Eine E-Mail ist letztlich eine Datei, die über das Internet verschickt wird. Die Mail-Server sind wiederum nichts anderes als Datenspeicher, die Dateien (E-Mails) verteilen. Deshalb konnte ich relativ einfach eine „EML“-Datei erstellen. Ansonsten habe ich die E-Mail im Postfach bei GMX als Spam deklariert. Dadurch lernen die GMX-Mail-Server hoffentlich mit und können in Zukunft die E-Mails filtern.
Also, das kann man heutzutage mit E-Mails erreichen, indem man Absenderadressen fälscht, offizielle E-Mail-Sender nutzt und so die Installation einer manipulierten Datei provoziert. Dabei funktionierte dies trotz aller aktuellen Schutzmaßnahmen – ein Fall des sogenannten „Forwarding“-Problems.
Solche E-Mails kommen öfter vor, als ihr vielleicht denkt. Viele bleiben trotzdem im SPAM-Filter hängen und kommen so gar nicht bis zu eurem Postfach. Doch es kann vorkommen, wenn die Filter die Absender noch nicht erkannt haben oder ein gekapertes E-Mail-Konto noch nicht in ihren Datenbanken geführt wird bzw. dieses noch nicht deaktiviert ist.
Hinweis: Ihr solltet immer darauf achten, dass eine E-Mail nicht in der Vorschau angezeigt wird. Außerdem sollte nur der Text der E-Mail im Mailprogramm angezeigt werden – also die HTML-Anzeige deaktivieren. Bilder, Anhänge und andere Inhalte sollten nicht automatisch geladen werden. Die modernen Mail-Dienste bieten diese Funktionen in den Einstellungen an.
Ein Blick in den SPAM-Ordner lohnt sich, weil Filter Fehler machen und bekannte Absender versehentlich blockieren (Freunde, Familie, Geschäftskontakte). Vorsicht: Schon das Öffnen einer verdächtigen E-Mail im SPAM kann gefährlich sein.
Wenn ihr im Unternehmen euer „E-Mail“-Programm mal etwas genauer untersucht, werdet ihr vielleicht feststellen, dass solche Einstellungen dort nicht zugänglich sind oder der Zugriff darauf verweigert wird. Das bedeutet nicht, dass keine Sicherheitsmaßnahmen aktiv sind.
Zum Beispiel kann es sein, dass ein „E-Mail“-Sammler aktiv ist, der über eigene Sicherheitsvorkehrungen verfügt. Dieser Sammler empfängt alle E-Mails und verteilt sie dann auf die einzelnen Postfächer – eine Aufgabe, die auch von einem zweiten Dienst übernommen werden kann, um den Sammler zu entlasten.
Darüber hinaus können Richtlinien existieren, die nur der Administratorin oder dem Administrator die Anpassung der Konfiguration ermöglichen. Falls dies der Fall ist, könnt ihr den „Admin“ wahrscheinlich über die Durchwahl, Chat oder E-Mail (möglicherweise auch unter der Bezeichnung „Abuse“-Abteilung) kontaktieren. Jedes Unternehmen hat eigene Abläufe und Regelungen….
Microsoft hat tatsächlich geantwortet. Es soll kein Microsoft-Konto verwendet worden sein. Ich soll die Mail als SPAM deklarieren.
Damit sind fast alle vorherigen Überlegungen obsolet.
#################################################
Hi,
A review of the message information you provided indicates that it did not originate from a mailbox associated with a Microsoft account. Unfortunately, we are unable to take action against e-mail accounts that are not within the Microsoft network.
Most abuse comes from services which do not post an abuse reporting email address. Reporting directly to the origination domain seldom results in any improvement. The best thing to do with unwanted emails is to mark them as junk.
…
#################################################
Ist Microsoft ein böses Unternehmen oder bin ich blöd? Es wurde scheinbar kein Konto aus dem Microsoft Netzwerk gehackt, aber für mich ersichtlich wurden Server aus deren Netzwerk verwendet.
##########################################
Received: from joie.springproject.uk (64.46.108.22) by
DB3PEPF0000885C.mail.protection.outlook.com ... via Frontend Transport;
##########################################
Das wurde dann sogar an einen anderen Microsoft Server weitergeleitet.
Die folgenden Optionen bzw. deren Ergebnisprüfung zeigen, dass eine SPAM Prüfung von den MS Servern durchgeführt wurde. Davon gibt es sogar noch mehr. Also, da war viel Microsoft mit drin.
##########################################
X-MS-Exchange-Authentication-Results:...
X-MS-Office365-Filtering-Correlation-Id:..
X-Forefront-Antispam-Report:...
###########################################
Es war wahrscheinlich „lediglich“ ein falsch konfigurierter Mail- Dienst eines Microsoft Kunden, wahrscheinlich „Microsoft 365“. Es kann sogar sein, dass der Vertrag über einen Drittanbieter abgeschlossen wurde usw. Dafür ist Microsoft nicht direkt zuständig. Microsoft wird dem Kunden spätestens am Ende des Monats eine Statusübersicht des Maildienst zur Verfügung stellen. Das ist im Microsoft "Office 365"-Abo inklusive. In diesem Bericht sollte man erkennen können, dass der Maildienst falsch konfiguriert und missbraucht wurde.
Mit viel Vermutung eine vollendete Theorie: Eigentlich hätte ein Sammler, s.h. ein großer SPAM Filter, die Mail zuerst erhalten müssen (ein externer Dienstleister). Die Angreifer haben aber direkt das Microsoft Konto bzw. den Kunden Mailserver bei Microsoft adressiert. Der darf die Mails aber nicht verarbeiten, wenn der Sammler (alias SPAM Filter) nicht vorher geprüft hat und schickt die Mail deswegen zum Sammler. Das ist die Fehlkonfiguration. Es war da so eine Konfiguration aus der Mail ersichtlich. Der Sammler hat dann aber gesehen, dass meine Mailadresse das eigentliche Ziel war und die erhaltene Mail eine ausgehende Mail des Kundenserver bei Microsoft ist. Daraufhin schickte der Sammler (alias SPAM Filter) an GMX als legitimer Absender.
Jetzt natürlich die Frage: Wie funktioniert das? Die Angreifer erstellen die E-Mail wahrscheinlich per Programmierung. Dadurch kann man Daten der E-Mail gezielt manipulieren. Es wurden scheinbar sogar ein paar Daten entfernt, die theoretisch hätten enthalten sein sollen. Durch Manipulationen der E-Mail kann man jedenfalls einen falsch konfigurierten Mailserver dazu bringen, dass dieser bestimmte Aktionen durchführt. Da gibt es zum Beispiel „RCPT-TO:“ und „TO:“.
Wo hatten die eigentlich meine Mailadresse her? Wahrscheinlich ein Leak, der im Internet gehandelt wurde. Die von mir verwendete Mailadresse ist bereits sehr alt.
Übrigens: Es war scheinbar ein Mailserver von einem Blumenhandel, der irgendwo in Afrika registriert war/ist. Vielleicht sogar nur ein „Fake“, um solche Sachen zu realisieren.
Manche könnten vermuten, dass GMX ein paar Windows Server verwendet. GMX verwendet sein "Nemesis"- System mit Nicht- Windows-Servern. Dieses System hat eine Linux/ BSD- Basis, soweit mir bekannt, aber da kann ich auch falsch liegen. Letztlich wären die Kosten für GMX erheblich, wenn man Lizenzen für Windows Server erwerben müsste.
Interessant, oder? Es zeigt auf jeden Fall, wie kompliziert solche Sachen realisiert sein können. Auch deswegen haben es deutsche Behörden, Polizei usw., nicht gerade leicht, wenn solche Aktionen strafrechtlich verfolgt werden.
Hier ist noch der Weg vom SPAM-Filter bzw. dessen Anbieter zu meinem Postfach:
Received: from mx0a-00381101.pphosted.com ([148.163.133.2]) by mx-ha.gmx.net
Das ist der Hinweis, dass die E-Mail direkt vom Sammler (alias SPAM-Filter) weitergeleitet wurde. Der Einsatz eines SPAM-Filters zur Weiterleitung von E-Mails war letztlich nur möglich, weil die Konfiguration des Kundenservers bei Microsoft nicht korrekt funktionierte – möglicherweise gab es eine Sicherheitslücke oder einen Konfigurationsfehler oder die Anpassungen wurden von den Angreifern selbst vorgenommen.
Hinter „pphosted.com“ steht der Dienstanbieter „Proofpoint“. Ein Sicherheitsunternehmen.
###www.xcomweb.de,7.2026###
