Paypal Pishing

[kironon]

Hey Leute ??
Vor kurzem kam ich nicht drum rum mir ein Paypal Konto zu erstellen und als ich mich heute dort eingeloggt habe wurde ich drauf hingewiesen, das ich meine e-mail noch nicht bestätigt hatte.
Ich gucke also in meinen Posteingang und sehe folgende Mail(rote Felder sind mein Name und meine E-mail Adresse):

Spoiler

Ich klicke also auf den orangenen e-mail bestätigen button aber irgendwie öffnet sich die verlinkung nicht.
ohne drüber nachzudenken hab ich mir mal gedacht, machst du mal den werbeblocker aus, dann gehts vielleicht. und siehe da ich wurde auf die paypal seite verlinkt wo ich mich dann eingeloggt habe.
Als ich eingeloggt war habe ich mich allerdings gewundert das die e-mail immer noch nicht bestätigt wurde...
auf der seite von paypal stand, dass man für die bestätigung der e-mail den in der mail vorhandenen bestätigungscode eingeben sollte und erst hier wurde ich stutzig denn wie ihr selbst sehen könnt ist in der oberen mail kein bestätigungscode zu finden.
Dann hab ich mir die Mail von Paypal nochmal schicken lassen und siehe da, eine neue Mail kommt an.

Spoiler

Als ich die neue Mail gesehen hatte war mir klar das die erste Mail eine Pishing Mail sein musste.
Um ganz sicher zu gehen habe ich die Sender-Adressen der beiden mails verglichen.
Bei der Pishing mail ist der Absender paypal@e.paypal.de während es sich bei der echten Mail um service@pa​ypal.de handelt.
da ich bei der pishing mail ja mit umweg auf die offizielle paypal seite geleitet worden war, lag es nahe das ich mir einen keylogger eingefangen hab.. als ich meinen rechner durchgescannt hab, wurden allerdings nur 3 java exploits gefunden die meines wissens nach keylogger nachladen.
Diese heissen:
Exploit:Java/CVE-2012-0507.CG
Exploit:Java/CVE-2011-3544.CG
Exploit:Java/CVE-2010-0842.AZ

nur eben keylogger wurden nicht gefunden(allerdings konnte ich aus zeitgründen auch noch keinen vollständigen check machen) ??
Mein Antivirus Programm ist übrigens Microsoft Security Essentials.
Ich poste die verlinkung aus der pishing mail mal hier rein(falls irgendwer was damit anfangen kann?).

!WICHTIG!
!DAS ÖFFNEN DES LINKS IM FOLGENDEN SPOILER GESCHIEHT AUF EIGENE GEFAHR! (VIRUSGEFAHR)

Spoiler

https://email-edg.paypal.com/r/EKDHP48/OJE77R/D4BJAMC/YH7K62/TPL8ED/R1/h?a=20121013

Ich habe mal alle wichtigen Passwörter geändert aber ich habe immer noch Angst das dass nicht reichen könnte denn wenn sich ein keylogger noch irgendwo auf meinem pc tummelt, wäre alles umsonst gewesen :dash:
Was ich bei der ganzen sache auch nicht verstehe ist beispielsweise warum die pishing mail genau zum richtigen zeitpunkt kam.. nämlich ein paar tage nach meiner anmeldung bei paypal. ausserdem wundere ich mich, dass ich in der pishing mail mit dem richtigen namen angesprochen wurde. Es kommt mir fast so vor als gäbe es bei paypal die ein oder andere sicherheitslücke was die anonymität betrifft. Vor allem weil ich sonst noch nie eine Paypal Pishing mail bekommen habe.
Ich bin für jede Hilfe und für jeden Ratschlag offen :yes:

Mfg kironon

 

[atari_afternoon]

Ich kriege so was eigentlich öfter, PayPal, klar, gerne auch von Banken, Kreditkarten (die ich gar nicht habe) oder meinem angeblichen Emailprovider. Im Emailheader finde ich unter wahrem Absender meistens immer yahoo/live/mail.com, bei dir scheint er allerdings einfach gefälscht zu sein, ich dachte zuerst, er hätte eine eigene Domain gekauft, um echter auszusehen, aber bei WhoIs.com hab ich nix gefunden. Kannst ja mal den ganzen Emailheader posten, wenn du willst, da nimm aber deine eigene Email dadrin vorher raus
Ich denke mal, solche Emails werden zu Tausenden, wenn nicht Millionen, täglich geschickt. Meist soll ich mich da auch einloggen (auf ner möglichst echt gemachten PP-Seite, Link in der Email, was ich grundsätzlich nie klicke) und schon wär mein Passwort weg. Soweit kamst du ja nicht. Ich würde mir jetzt nicht übermäßig Gedanken machen, lasse mich aber natürlich gerne auch eines besseren Belehren. Woher die deinen Namen kennen? Addresshandel, oder du hast halt mal auf so eine ähnliche Mail geantwortet.

 

[kironon]

Ich denke mal, solche Emails werden zu Tausenden, wenn nicht Millionen, täglich geschickt. Meist soll ich mich da auch einloggen (auf ner möglichst echt gemachten PP-Seite, Link in der Email, was ich grundsätzlich nie klicke) und schon wär mein Passwort weg. Soweit kamst du ja nicht.

Soweit kam ich eben doch...
Nur bin ich mir ziemlich sicher das die pishing mail zwar tatsächlich auf die offizielle seite verlinkt aber den pc vorher mit viren versorgt. die seite auf die man weitergeleitet wird, wurde sogar vom browser als sauber angesehen (echtes SSL Zertifikiat).
abgesehen davon hat der login bei der vermeintlichen fake seite ja funnktioniert...

Addresshandel, oder du hast halt mal auf so eine ähnliche Mail geantwortet.

In dem Fall käme Adresshandel noch am nächsten dran.
Normalerweise antworte ich nie auf solche Mails... Diese Fake-Mail war für ne spam mail nur sehr gut gemacht und ich hab sie zum perfekten zeitpunkt erhalten. selbst wenn ich irgendwann auf spam geantwortet haben sollte müsste mein vollständiger Name unerkannt geblieben sein da ich bei meiner jetzigen e-mail adresse keinen richtigen Namen angegeben habe und auch sonst nur sehr selten meinen vollständigen namen angebe.
Das einzige was sich in meinem e-mail postfach an spam staut ist englische casino werbung oder das übliche viagra generve und gerade weil diese mail auf deutsch und zudem auch noch ohne rechtschreib oder grammatikfehler war klingt die theorie vom adresshandel gleich viel plausibler.

 

[Screeny]

Ich würde eigentlich nicht von einer Pishing-Mail ausgehen, da dein echter Name verwendet wurde.

 

[yoshi41dragon]

Mach mal zur Sicherheit noch einen Virenscan von "aussen"...

http://www.avira.com/en/download/product/avira-antivir-rescue-system/product/avira-antivir-rescue-system/product/avira-antivir-rescue-system

Die Rescue System ISO Datei auf eine CD brennen und dann mit dem CD Laufwerk booten.

Damit findest Du auch Schädlinge, die sich vor dem Betriebssystem bereits versteckt haben.

 

[infinity]

Re: AW: Paypal Pishing

<r>PayPal hat eine Mail Adresse an die man so Mails weiter leiten soll, die kümmern sich dann um dan Absender, ich glaube es war <EMAIL email="spoof@paypal.de">spoof@paypal.de</EMAIL><br/>
Musst du mal gucken, habe ich auch nur so neben bei auf geschnappt.</r>

 

[kironon]

Mach mal zur Sicherheit noch einen Virenscan von "aussen"...

http://www.avira.com/en/download/product/avira-antivir-rescue-system/product/avira-antivir-rescue-system/product/avira-antivir-rescue-system

Die Rescue System ISO Datei auf eine CD brennen und dann mit dem CD Laufwerk booten.

Damit findest Du auch Schädlinge, die sich vor dem Betriebssystem bereits versteckt haben.

Da hatten sich doch echt noch ein paar schädlinge versteckt, vielen dank für den hinweis!

Ich würde eigentlich nicht von einer Pishing-Mail ausgehen, da dein echter Name verwendet wurde.

Genau deshalb hab ich auch zuerst gedacht das es keine pishing mail sei...
google mal den absender der e-mail (paypal@e.paypal.de), dann wirst du schnell merken das es sich hierbei doch um pishing handelt.

PayPal hat eine Mail Adresse an die man so Mails weiter leiten soll, die kümmern sich dann um dan Absender, ich glaube es war spoof@paypal.de
Musst du mal gucken, habe ich auch nur so neben bei auf geschnappt.

nachdem ich die mail bei meinem email account als pishing versuch markiert hab, wurde die mail einfach automatisch gelöscht weshalb das mit der weiterleitung wohl nix mehr wird :dash:

 

[Suicicoo]

ohne drüber nachzudenken hab ich mir mal gedacht, machst du mal den werbeblocker aus, dann gehts vielleicht. und siehe da ich wurde auf die paypal seite verlinkt wo ich mich dann eingeloggt habe.

da wars...
ich glaube, wenn du eine bestätigungsmail bekommst, musst du dich nicht mehr einloggen, dann wird nur dein zugang aktiviert. um danach an deinen account zu kommen, musst du dich allerdings einloggen.

 

[taake]

...

Also, wenn du wirklich sicher sein willst das du kein Schläfer oder sonst was auf deinem Rechner hast bleibt dir nichts anderes übrig als komplett neu zu installieren und alle Sachen die du mitnehmen willst von einem NICHT verseuchten Rechner zu scannen.
Deinem Browser kannst du jedenfalls in keinem Fall mehr vertrauen.

Wenn du wirklich sicher gehen willst das du wieder frei bist und dein Rechner kein Zombie ist, führt dort kein Weg daran vorbei.

Des weiteren sollte man Dateien die man sich z.B. aus dem Netz läd IMMER bei www.virustotal.com hochladen um sie dort zu überprüfen und seinen Browser und insbesondere Flash und Java up to date halten.
Mehr kann man nicht machen, als ggf. das OS wechseln zu einem für das weniger maleware existiert, wobei das auch nicht dagegen hilft das dein browser gekapert wird.

 

[double7]

meiner jetzigen e-mail adresse keinen richtigen Namen angegeben habe und auch sonst nur sehr selten meinen vollständigen namen angebe.

Nützt nichts, wenn bei einem eShop eingebrochen wird und die Kundendaten geklaut werden. Hier tauchte mal Spam auf eine email Adresse auf, die sehr ungewöhnlich und nur bei einem einzigen Shop eintragen war. In der c't konnte ich dann später lesen, dass diesem eShop zweimal die Datenbank gehackt und die Kundendaten geklaut wurden. Der Shop hat es nicht für nötig gehalten seine Kunden darüber zu informieren. Der Spam kam dann mit allen echten Daten. Es zeigt das manche Adressenhändler nicht zimperlich bei ihrer Quellenwahl sind.

 

[infinity]

Re: AW: Paypal Pishing

<t>Ich habe gerade auch eine Mail von besagter Adresse bekommen, sie scheint echt zu sein, die Links führen alle auf die PayPal Seite, und das mit gültigem HTTPS Zertifikat.<br/>
Trotzdem sollte man nie solchen Links folgen.</t>

 

[taake]

Juhu, ich hab sie auch bekommen ....
Allerdings weißt mich Thunderbird auch direkt darauf hin das es Phising ist.
Meine ist allerdings auf den ersten Blick schon falsch paypal@e.paypal.de

 

[Screeny]

Ich weiß ja nicht, wie das bei euch ist, aber ich bekomme nahezu alle PayPal Sachen - die nicht Zahlungsbezogen sind - über paypal@e.paypal.de

Und das ist definitiv kein Phising, bei mir

 

[taake]

Mhmm gut also das cert sieht zumindest sauber aus...

<i>
</i>* About to connect() to email-edg.paypal.com port 443 (#0)
*   Trying 173.0.84.136...
* connected
* Connected to email-edg.paypal.com (173.0.84.136) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
  CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using DES-CBC3-SHA
* Server certificate:
*        subject: 1.3.6.1.4.1.311.60.2.1.3=US; 1.3.6.1.4.1.311.60.2.1.2=Delaware; businessCategory=Private Organization; serialNumber=3014267; C=US; postalCode=95131-2021; ST=California; L=San Jose; street=2211 N 1st St; O=PayPal, Inc.; OU=Information Systems; CN=email-edg
*        start date: 2011-04-21 00:00:00 GMT
*        expire date: 2013-04-20 23:59:59 GMT
*        common name: email-edg.paypal.com (matched)
*        issuer: C=US; O=VeriSign, Inc.; OU=VeriSign Trust Network; OU=Terms of use at https://www.verisign.com/rpa (c)06; CN=VeriSign Class 3 Extended Validation SSL CA
*        SSL certificate verify ok.
> GET /r/CWXLNMB/[...]85/h HTTP/1.1
> User-Agent: curl/7.26.0
> Host: email-edg.paypal.com
> Accept: */*
> 
* HTTP 1.0, assume close after body
< HTTP/1.0 301 Moved Permanently
< Location: https://www.paypal-communication.com/r/CWXLNMB/[...]85/h
< Cache-Control: no-cache
< Pragma: no-cache
< Connection: close
< Content-Length: 0
< 
* Closing connection #0
* SSLv3, TLS alert, Client hello (1):

Dennoch unterhalte ich keine Geschäftsbeziehung mit Paypal, die wollen wirklich das ich da anrufe um kA wieviel Geld die Minute bezahle, nur weil sie kein anständiges, sicheres user validierungssystem geschissen bekommen, für Leute die ihre Logindaten nicht mehr haben.