SICHERHEIT: emails mit und ohne Bomben

[Tom]

Hello,

btw: Ich vermisse hier immer noch den Themenbereich "Sicherheit, Viren, Spam"

Vor ein paar Tagen erhielt ich etliche lustige[tm] eMails mit den angeblichen Absendern "eBay.de-Team" und "Ebay Customer". Da diese meiner Meinung nach nicht von ebay kamen, habe ich dem echten ebay-Team so ein Ding als TXT-Datei im Anhang weitergeleitet. Heute kam eine Antwort. Oder ist die etwa auch nicht echt? ;-)

Was mich dabei nämlich stört, ist die folgende Passage:

--snip---------

Um zu ueberpruefen, ob die von Ihnen gesendete E-Mail eine Spoof-E-Mail
ist, haben wir eine sehr wichtige Bitte an Sie:

Senden Sie uns die E-Mail, deren Echtheit Sie bezweifeln, unter der
Verwendung der Weiterleitungsfunktion Ihres E-Mail-Programms an die
E-Mail-Adresse:

[e-mail]

Aus technischen Gruenden kann nur durch Nutzung dieser Funktion
gewaehrleistet werden, dass der gesamte Inhalt der E-Mail weitergegeben
wird.

Bitte verwenden Sie nicht die "Antworten-Funktion" Ihres
E-Mail-Programms und senden Sie die verdaechtige E-Mail nicht als
Datei-Anhang.

--snap---------

Dass man nicht die Antworten-Funktion benutzen soll, halte ich für selbstverständlich und daher durchaus als zweckmäßigen Rat. Dass man die Spam-Mail aber per "weiterleiten" an ebay senden soll, halte ich für waghalsig. MMn wird beim Weiterleiten der Text auch durch den Interpreter des email-Clients gejagt. Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

(keine Vorschaufunktion, kein OE 6.x, nicht "geöffnet", usw.)

Wie ist Eure Meinung dazu?

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Ashura]

Hallo Tom.

Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

Mit einem guten Virenschutzprogramm sollten bedenkliche Inhalte schon vor dem ersten Öffnen entfernt worden sein.

Andernfalls stimmt etwas ganz gehörig nicht mit der Email-Überprüfung des Programmes.

Gruß, Ashura

[Tom]

Hello,

Mit einem guten Virenschutzprogramm sollten bedenkliche Inhalte schon vor dem ersten Öffnen entfernt worden sein.

Das ist kein hundertprozentiger Schutz. Ich habe vorigen Monat als Versuchskaninchen an einer Untersuchung einiger Schutzprogramme teilgenommen und konnte auf den drei Testrechnern feststellen, dass jedes Programm ca. 0,1% bis 0,7% Fehlerquote hatte. Das heißt, dass jeder 1000ste bis jeder 140ste Virus/Wurm/JS-Code durchgeschlüpft ist. Die Viren sind meistens zu neu. Und die testende Firma hat bestimmt noch nicht die neuesten Dinger eingefangen gehabt.

Das ist leider alles, was ich über die Untersuchung erzählen darf. Die Firma bezahlt mich, und  schließlich nicht für's Veröffentlichen. Aber mir hat es gezeigt, dass die gebräuchlichen (Internet-)Schutzprogramme überhaupt nicht sicher sind. Ganz im Gegenteil suggerieren sie dem User oft eine Sicherheit, die er nie erlangen kann. Das von mir privat bevorzugte Programm lag da noch bei den besten Killern, hat aber auch "Teilchen" durchschlüpfen lassen.

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Sven Rautenberg]

Moin!

Ganz im Gegenteil suggerieren sie dem User oft eine Sicherheit, die er nie erlangen kann.

Ich benutze keinen Virenscanner - und bin bislang auch noch nicht infiziert worden, obwohl ja genug Müll per Mail angeliefert wird.

Ich meine auch, dass es für ungeübte Benutzer besser ist, wenn man denen ganz viel Angst vor unbekannten Mails mit bösen Anhängen macht (und natürlich Outlook deinstalliert) und im Zweifel dann angerufen wird, als wenn man denen einen Virenscanner installiert, der dann doch nicht aktualisiert wird (auch wenn Win XP da jetzt so eine ultranervige Erinnerungsfunktion hat, die gleich wieder Massenpanik verursacht - hab ich selbst so erlebt), und der gefühlte Sicherheitslevel immer weiter vom tatsächlichen Level abhebt (oder ist es umgekehrt? :) ).

• Sven Rautenberg

[Tom]

Hello,

Ich meine auch, [...] und der gefühlte Sicherheitslevel immer weiter vom tatsächlichen Level abhebt (oder ist es umgekehrt? :) ).

Die Teile werden einfach immer ausgeklügelter, die User hingegen stumpfen aber durch das Geschwafel über "personnell firewall" usw. immer weiter ab. Es kommen nun ja auch vereinzelt schon wieder _echte_ Viren mit den Mails oder Internetseiten. Solche erheblichen Lücken, wie im Image-DLL für JPGs bei den XP-Versionen usw. laden ja auch fömlich dazu ein.

Und die echten jagd man mit einem "Virenscanner", der im selben Filesystem/OS "installiert" ist, wie der Infekt, eben nicht mehr erfolgreich. Die können sich schließlich auch verstecken. Das konnten sie auch 1980 schon oder wann die Pakistani den ersten Computervirus der Welt erfunden hatten.

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Sven Rautenberg]

Moin!

Dass man nicht die Antworten-Funktion benutzen soll, halte ich für selbstverständlich und daher durchaus als zweckmäßigen Rat.

Und warum?

Dass man die Spam-Mail aber per "weiterleiten" an ebay senden soll, halte ich für waghalsig. MMn wird beim Weiterleiten der Text auch durch den Interpreter des email-Clients gejagt.

Was denn für ein Interpreter? Mails sind im Grundsatz reine Texte, an denen es lediglich von Mail_servern_ etwas im Header zu interpretieren gibt, aber auch nur im Bereich "Stringanalyse", dort steht kein ausführbarer Code.

Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

Benutze einfach kein Outlook, dann passiert dir auch nix. Und auch Microsoft ist ja so langsam dahin unterwegs, dass selbst Outlook nicht sofort bei Empfang einer falschen Mail selbst zerstört wird.

Wie ist Eure Meinung dazu?

Du wendest dein Fachwissen nicht durch Nachdenken auf diese dir bislang unbekannte Problematik an. Warum nicht?

• Sven Rautenberg

[Tom]

Hello,

Benutze einfach kein Outlook, dann passiert dir auch nix. Und auch Microsoft ist ja so langsam dahin unterwegs, dass selbst Outlook nicht sofort bei Empfang einer falschen Mail selbst zerstört wird.

Wie ist Eure Meinung dazu?

Du wendest dein Fachwissen nicht durch Nachdenken auf diese dir bislang unbekannte Problematik an. Warum nicht?

Mag sein, dass ich trotz meines Wissens immer noch das falsche email-Programm anwende. Bisher ist mir hier aber auch schon lange nichts mehr passiert. *klopf klopf klopf*

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Ludger]

Hi,

Dass man nicht die Antworten-Funktion benutzen soll, halte ich für selbstverständlich und daher durchaus als zweckmäßigen Rat. Dass man die Spam-Mail aber per "weiterleiten" an ebay senden soll, halte ich für waghalsig. MMn wird beim Weiterleiten der Text auch durch den Interpreter des email-Clients gejagt. Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

was bedeutet
   MMn
?

Gruss,
Ludger

[Orlando]

Hallo Ludger,

was bedeutet
   MMn
?

Meiner Meinung nach meiner Meinung nach.

Grüße
Roland

[Orlando]

Hallo Tom,

MMn wird beim Weiterleiten der Text auch durch den Interpreter des email-Clients gejagt. Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

Gab es nicht bereits Schädlinge, die bereits beim Abruf ihre Wirkung entfaltet haben? Was unterscheidet „Antworten“ denn tatsächlich von „Weiterleiten“? Gibt es in Outlook so etwas wie „geschlossen“ überhaupt?

Ich kann deinen Gedankengang nicht nachvollziehen. Wenn dir die (eingebildete? ;-)) Gefahr bewusst ist, warum arbeitest du dann nicht mit einem anderen Client?

Grüße
Roland

[Tom]

Hello,

MMn wird beim Weiterleiten der Text auch durch den Interpreter des email-Clients gejagt. Wenn nun schädliche Viren-/Würmer-/Script-Anhänge dranhängen/drin sein sollten, würden die in diesem Moment doch aktiviert werden können, nachdem man die Mails doch so schön "geschlossen" gehalten hatte.

Gab es nicht bereits Schädlinge, die bereits beim Abruf ihre Wirkung entfaltet haben?

Da gab es welche, die sich schon in der Netzwerkschicht ausgetobt haben, also gar nichts mit email zu tun hatten.

Was unterscheidet „Antworten“ denn tatsächlich von „Weiterleiten“?

Ich benutze beides nicht bei den betroffenen eMails.
Bei vielen üblichen Mailclients wird die email wieder vorgelegt (gequoted) und dann entweder die Reply-to (Antworten) oder gar keine (Weiterleiten) email-Adresse vorgeschlagen. Wenn die eMail von einem Spammer kommt, ist das Antworten dann wohl auch überflüssig, oder?

Gibt es in Outlook so etwas wie „geschlossen“ überhaupt?

In Outlook bin ich mir nicht sicher.
In Outlook Express bis Version 5.5 ist es möglich, die mails nur abzurufen, ohne dass sie vom Client weiter angefasst werden. Du kannst sie dann uninterpretiert mittels "Eigenschaften/Details/Quelltext" anschauen.
Sowie aber Vorschaufenster, Verteilfunktion, usw. aktiviert sind, wird die eMail ggf. auch interpretiert (die Rendering-Engine des Browsers angeschmissen), also auch JS, VB, Java, etc ausgeführt.

Ich kann deinen Gedankengang nicht nachvollziehen. Wenn dir die (eingebildete? ;-)) Gefahr bewusst ist, warum arbeitest du dann nicht mit einem anderen Client?

Ich habe einen anderen Client...

Es geht hier nicht um mich, sondern um den Rat der ebay-Leute, die eMail durch "Weiterleitung" an sie zu senden. Bei der üblichen Einstellung der eMailprogramme auf Millionen von Rechnern halte ich das aber nicht für glücklich.

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Sven Rautenberg]

Moin!

Es geht hier nicht um mich, sondern um den Rat der ebay-Leute, die eMail durch "Weiterleitung" an sie zu senden. Bei der üblichen Einstellung der eMailprogramme auf Millionen von Rechnern halte ich das aber nicht für glücklich.

Selbst in Outlook und Outlook Express wird der IE darin in der "Zone für eingeschränkte Sites" betrieben. Wer sich dafür die Ausführung von Javascript aktiviert (muß er manuell absichtlich tun), dem ist sowieso nicht mehr zu helfen.

Ebay braucht zum Prüfen von problematischen Mails nun mal deren Inhalt. Dazu ist das Weiterleiten am besten geeignet, weil es für den Benutzer am einfachsten zu erledigen ist, denn alle Mailprogramme haben eine "Weiterleiten"-Funktion, deren Aufruf man garnicht näher beschreiben muß. Hingegen beschreiben, wie man mit irgendwelcher Quelltext-Anzeige ohne das Öffnen der Mail in "Outlook Sonstwas" um irgendwelche bösen Inhalte herumoperiert, dürfte in der Mehrzahl der Fälle nicht zielführend sein.

Ebay muß davon ausgehen, dass der Benutzer ein vernünftiges Mailprogramm benutzt, welches gefährliche Inhalte einer Mail nicht sofort beim Angucken aktiviert. Ansonsten müsste die Antwort nämlich lauten "Bitte löschen Sie ihr Mailprogramm, es könnte unsicher sein".

• Sven Rautenberg

[Tom]

Hello,

Ebay muß davon ausgehen, dass der Benutzer ein vernünftiges Mailprogramm benutzt, welches gefährliche Inhalte einer Mail nicht sofort beim Angucken aktiviert. Ansonsten müsste die Antwort nämlich lauten "Bitte löschen Sie ihr Mailprogramm, es könnte unsicher sein".

Wie heißen denn die vernünftigen[tm] Mailprogramme?

Harzliche Grüße aus http://www.annerschbarrich.de

Tom

[Mathias Bigge]

Hi Orlando,

Outlook habe ich noch nie als Mailclient benutzt, deshalb fehlt mir da die Erfahrung, aber gerade in letzter Zeit habe ich mich zweimal über AntiVir geärgert, dass einen Trojaner aus meiner Mozilla-Inbox nicht entfernen konnte, obwohl es ihn erkannt hat. Eigenartig auch, dass der Scanner auf meinem Mailserver ihn nicht erkannt hat, obwohl er ihn ebenfalls kennt. Ganz entkommt man dem Ärger auch mit als sicher geltenden Konfigurationen nicht, oder hat da jemand einen speziellen Tipp für mich?

Viele Grüße
Mathias Bigge

[Orlando]

Hallo Mattes,

Ganz entkommt man dem Ärger auch mit als sicher geltenden Konfigurationen nicht, oder hat da jemand einen speziellen Tipp für mich?

Ich nutze ebenfalls AntiVir, habe meinen E-Mail-Client jedoch explizit von der Prüfung ausgenommen. Es nervt schließlich, alle paar Minuten eine Warnung vorgesetzt zu bekommen. In TheBat! kann man jede beliebige Dateiendung sperren, sodass man Schädlinge erst nach entsprechender Nachfrage ausführen kann. Die Bereinigung des Postfachs wäre also lediglich eine kosmetische Korrektur.

Mir ist egal, was per E-Mail eintrudelt, da ich kein Bedürfnis verspüre, Britneys Hintern per Doppelklick zu starten.

Grüße
Roland

[Mathias Bigge]

Hi Orlando,

Ich nutze ebenfalls AntiVir, habe meinen E-Mail-Client jedoch explizit von der Prüfung ausgenommen. Es nervt schließlich, alle paar Minuten eine Warnung vorgesetzt zu bekommen.

Richtig, das werde ich jetzt auch machen. Dennoch schade, dass AntiVir und Mozilla da so schlecht zusammenarbeiten. Teilweise kann Antivir relativ komplexe Dateien reparieren, den Trojaner sauber aus der Inbox entfernen kann es nicht.

In TheBat! kann man jede beliebige Dateiendung sperren, sodass man Schädlinge erst nach entsprechender Nachfrage ausführen kann.

Muss ich mir mal angucken, ich nutze allerdings die Features meiner Mailprogramme fast überhaupt nicht. Ich hatte in der Firma mal The Bat, aber habe die Möglichkeiten auch dort kaum genutzt. Daher erschien es mir überkomplex.

Gibt es eigentlich so ein Simpelteil, dass ausschließlich Text anzeigt und die angehängten Dateien oder kann man das Mozilla-Mail beibringen?

Die Bereinigung des Postfachs wäre also lediglich eine kosmetische Korrektur.

Richtig. Dennoch stört mich das Vorhandensein solcher Schadprogramme auf meinen Rechnern auf irrationale Weise, weil ich immer wieder denke, dass sich mal wieder jemand eine neue Teufelei ausgedacht hat... ;-)

Mir ist egal, was per E-Mail eintrudelt, da ich kein Bedürfnis verspüre, Britneys Hintern per Doppelklick zu starten.

Mir als altem Herrn schicken sie natürlich nur Werbung für billige Kredite, Finanzgeschäfte mit Afrika und Viagra-Werbung *g*

Viele Grüße
Mathias Bigge

[Tom]

Hello,

ich setze da lieber NOD32 ein und das hat auch schon lange keinen Bösewicht mehr durchgelassen.

Problemattisch wird es erst bei HTML-Mails, wenn externe Dateien nachgeladen werden. Die werden zwar einzeln auch geprüft, aber speziell mittels VBScript lassen sich ja die schlimmsten Dinge produzieren. Ich weiß leider auch nicht, ob z.B. der Outlook- oder der OE-Client nicht VBScript trotz Deaktivierung von HTML-Mails ausführen.

Harzliche Grüße aus http://www.annerschbarrich.de

Tom