Bin ich infiziert?

Re(4): Bin ich infiziert?

AVS_reloaded — Thu, 03 Mar 2016 13:44:48 GMT

ich werde das probieren.

noscript verwende ich, in der "harten" Einstellung. Frei sind bei mir nur sehr wenige Seite, die ICH für vertrauenswürdig halte: heise, CT, GH usw, aber nicht mal ORF. GMX immer nur temporär und NIE alles.

Scripte im Outlook (oder alternativen Emailprog) sollten standardmäßig aus
sein.

ich DAU, nix verstehen?

Re(2): Bin ich infiziert?

AVS_reloaded — Thu, 03 Mar 2016 13:40:32 GMT

Schau dir die Header an.

die seh ich im Outlook wie?

sind die Man i the Middle Attacken auf unverschlüsselte Passwörter zu einem
alltägllichen Ereignis geworden.

das GLAUBE(!) ich weniger, da ich am Hendi praktisch nie die Mails checke, die Abfrage geht bei mir nur manuell (nix push oder alle 5min) und die die Mail-App hab ich nicht mal geöffnet. Die wird nur gestartet, wenn ichs wirklich brauch.
Und das ist geschätzte 2 Monate her.

Re: Bin ich infiziert?

_mukl_ — Thu, 03 Mar 2016 10:47:44 GMT

Ich bekomme solche Mails, weil ich eine Weiterleitung von Provider A nach Provider B eingerichtet habe.

Spam wird an login@A geschickt und zu login@B weitergleitet. B weist die Mail zurück und verständigt login@A, dass sie zurückgewiesen wurde. Diese Verständigung wird wieder von A nach B weitergeleitet und das bekommst du zu Gesicht.

Re: Bin ich infiziert?

Chilihead — Thu, 03 Mar 2016 09:51:58 GMT

Genau gleiches Problem hier....

interessanter weise kamen die Replys mal, wo mein Rechner gar nicht an war. Habe schon 2x mein Passwort geändert am Account. Beim letzten mal hatte ich 4 fehlgeschlagene Logins auf der GMX Seite.

Virenscanner und MBAR findet auch nichts. Habe auch Tablet und Handy Werksresetted.

Es ist zum Mäusemelken. Hat jemand noch Ideen?

Re: Bin ich infiziert?

MG — Thu, 03 Mar 2016 09:35:53 GMT

Schau dir die Header an.

Es kann gut sein, dass dieser Spam authentifiziert mit deinem Usernamen und Passwort eingeliefert worden ist.

Seit es überall WLAN gibt, sind die Man i the Middle Attacken auf unverschlüsselte Passwörter zu einem alltägllichen Ereignis geworden.

Re: Bin ich infiziert?

tom234 — Thu, 03 Mar 2016 08:34:34 GMT

Welches Antivirus verwendest du?

Starte deinen Computer von einer Live-CD oder einem Live-USB-Stick und scanne dein System damit. Eine Liste geeigneter Tools gibt es da: http://www.antivirus-top10.com/live.html

Re(3): Bin ich infiziert?

larse — Wed, 02 Mar 2016 23:18:37 GMT

also ich hab das jetzt mal gelesen: das ist starker stoff!!

gg.. nur scheinbar.

Nur auch der hatte genau das, was mir blühen wird: und wo sehe ich jetzt, was
ich habe oder hatte?

Aus meiner Sicht hast du mit deinem PC ein Problem in Form eines Trojaners. Wirklich bestätigen lässt sich das nur indem du die vorgenannte Prozedur durchläufst.
Hier mal eine Aktuelle Meldung aus dem Forum, die 1:1 zu deinem Prob passen dürfte: http://www.trojaner-board.de/176407-gmx-account-verschickt-selbststaendig-mails-kontakte-adressbuches-kontakte-email-adressbuch.html

Möglichkeit 1 (Sicher sehr professionell aber langwierig.):
Du meldest dich im TB-Board an und folgst dieser Anleitung: http://www.trojaner-board.de/69886-alle-hilfesuchenden-eroeffnung-themas-beachten.html
(Mit dem Hinweis, dass dort die Anhänge offensichtlich im Code-Fenster dargestellt werden sollten.)

Möglichkeit 2  (Du hilfst dir selber, hier verbleiben aber Unsicherheiten!)
Bis auf das Programm "FRST" sind alle anderen verwendeten Programme quasi selbsterklärend und nehmen dir auch die "Bereinigung" ab. Wozu die Profis dort im Forum dieses Programm nutzen, wird mir aus der "erfolgreichen" Bereinigung aus dem Link meines Erstposts: https://forum.geizhals.de/t875963,7605532.html#7605532
nicht ganz klar. Denn die "meisten" Aktionen mit dem Programm FRST aus der erfolgreichen Säuberung erschließen sich mir nicht und sind imho Alibiaktionen. (Allerdings kann ich dort eine Löschung nicht zu 100% zuordnen. Das ist im Extremfall schon ein Problem!)  Als Logfile sind die Ausgaben des FRST aber hilfreich.

Die 10000000 Seiten logs halfen ihm so viel, wie sie mir helfen werden:
NICHTS.

Dir ja, aber der dir helfen will, kennt weder deine Hardware, noch deine Software und erst recht nicht den "Grad" der Infektion. Insofern sind die "Logs" für Fremde (dir Helfende) essentiell und die meisten Logs sollten auch dir helfen, spätestens wenn drinsteht das Trojaner XY entfernt wurde.

Zu 99% bekämpfst du das Problem, wenn du die ganzen Programme in "der" Reihenfolge abspulst (und auch mit den Einschränkungen und Einstellungen wie im Thread erwähnt) ohne das du FRST nutzt. Die Nutzung des Programms ist imho auch nicht ohne.

Als Vorbereitung einer Trojanerjagd würde ich aber folgende Vorbereitungen treffen, die viele Missverständnisse oder "false positives" von vornherein ausschließen:
1. Deinen Internet-Download-Ordner bereinigen.
2. Alle sonstigen Temp-Dateien bereinigen. (Hier verwende ich das "pöhse" Programm CCleaner. Zum One-Klick löschen ist es ideal, aber bitte die restlichen Einstellungen dort nicht nutzen.

Danach kannst du die o.a. Programme ausführen und abarbeiten.

Wenn du alles "durchgespult" hast, hast du das Problem (sofern eins bestand) zu 99% gelöst.
Das "Folgeproblem" ist aber noch viel wichtiger:
Wer sich einmal "infiziert" hat, schafft das, wenn er nichts an den Einstellungen des PCs (oder auch der eigenen Einstellung) ändert, schnell wieder und wird mit dem ursprünglichen Problem konfrontiert werden. Insofern ist dieser Post (hier besonders der Part" Absicherung") wichtig:
http://www.trojaner-board.de/176051-gmx-mail-adresse-ruecklaeufer-e-mails-versendet-habe-2.html#post1563960

Scripte im Outlook (oder alternativen Emailprog) sollten standardmäßig aus sein. (zulassen nur bei def. autorisierten und bekannten Empfängern, deren Emailinhalt auch zur jeweiligen Person passt, gg...)
Gleiches gilt für den Webbrowser. Hier sollten diese über ein Add-On wie "No-Script" (browserabhängig auch anders lautend) standardmäßig deaktiviert sein. Die Einstellungen (zulassen der Scripte) sind hier normalerweise auch selbsterklärend, können aber bei schlecht programmierten Webseiten schnell graue Haare fabrizieren. Man wächst mit seinen Aufgaben. positiv zu vermerken ist hier, dass du evtl. Einstellungen nur einmal pro Seite und Browser machen musst. (wird gespeichert)
Bei halbwegs korrekter Bedienung und Einstellung ist deine Antivirensoftware zu 99% arbeitslos.
Flash (sofern nicht lebensnotwendig) am besten gleich deinstallieren.

Soweit du Flash, Java und Javascripte halbwegs unter Kontrolle hast, hast du imho gefühlte 95% aller Infektionspfade und -möglichkeiten gebannt.

lg larse

Re(2): Bin ich infiziert?

to_markus — Wed, 02 Mar 2016 20:11:01 GMT

Ev. hat gmx ein paar Festplatten aus der hauseigenen Vorratsdatenspeicherung günstig entsorgt

Re(3): Bin ich infiziert?

Fly — Wed, 02 Mar 2016 18:56:39 GMT

Es geht da mehr um das Adressbuch des Infizierten.

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 18:46:39 GMT

dass jemand der Dich im Adressbuch hat 'n Trojaner sich eingehandelt hat. Der
nimmt das Adressbuch her und verschickt dann eben an alle da drin von
irgendwem der halt auch da drin steht.

das würde passen. Das würde ALLE mails erklären, bis auf die eine, wo ich nicht mal einen Kontakt angelegt habe, sondern ich nur 3 Mails gesendet/empfangen habe. Diese Mailadresse ist nur im Verlauf, aber nicht in den Kontakten.

Re(4): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 18:44:17 GMT

ich hab mir die Mail angeblich auch selbst geschickt, also vom Sender- auf den identischen Empfängeraccount.

Nur ist die Mail, wie ich jetzt gesehen habe, im GMX-Spamfilter hängen geblieben, und damit gar nicht erst ins Outlook auf meinen PC gekommen.

Re: Bin ich infiziert?

Fly — Wed, 02 Mar 2016 18:43:34 GMT

Für ebenso möglich halte ich dass jemand der Dich im Adressbuch hat 'n Trojaner sich eingehandelt hat. Der nimmt das Adressbuch her und verschickt dann eben an alle da drin von irgendwem der halt auch da drin steht.

Den Infizierten nimmt man ungern als "bouncer", der soll's ja nicht merken.

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 18:32:23 GMT

betreff der spammail war: Fw: new important message
text:
Hello!
New message, please read http://spamspamspam.com/general.php
Vorname Nachname

genau diese Nachricht ist es. Wortgleich ident.

Re: Bin ich infiziert?

soul — Wed, 02 Mar 2016 18:12:57 GMT

https://www.sicherheitstest.bsi.de/

https://sec.hpi.uni-potsdam.de/leak-checker/search

Re(2): Bin ich infiziert?

der_koarl — Wed, 02 Mar 2016 17:57:10 GMT

Groß- oder Kleinschreibung bei einer Email-Adresse ist unerheblich und imho
kein Hinweis auf irgendwas.

Der Domainname (also alles hinter dem @): Ja.

Der Lokalteil (Das vor dem @) kann case sensitive sein - das ist dem Server überlassen.
(Obwohl man soetwas in der Praxis wohl kaum noch findet)

lg

Re(3): Bin ich infiziert?

Superfast — Wed, 02 Mar 2016 17:30:54 GMT

ich bin sicher infiziert: Affengrippe, soeben vom Doc bestätigt.

War uns schon länger klar, das die mal bei dir ausbricht, ist aber nicht ansteckend

Sonst würde es bald heißen: Planet der Affen Reloaded

Re: Bin ich infiziert?

edi666.com — Wed, 02 Mar 2016 17:27:16 GMT

ich kann dir zwar nicht wirklich weiterhelfen, allerdings wüsste ich auch gerne den ursprung dieses "problems". meiner frau erging es nämlich vor kurzem genauso.

mit ihrer gmx absenderadresse wurden spams an unterschiedliche (ihr bekannte) empfänger inkl mir versendet. es waren einige empfänger dabei mit denen sie ausschließlich vor ca. 3 jahren mailkontakt hatte. sie verwendet nur webmail und hat kein mailprogramm bei ihr konfiguriert.

ich hab in den letzten 2 wochen 3 mails mit dem gleichen betreff von unterschiedlichen (mir bekannten) personen bekommen.

betreff der spammail war: Fw: new important message
text:
Hello!
New message, please read http://spamspamspam.com/general.php
Vorname Nachname

mailheader:
Return-Path:
Received: from mail.marotori.net ([212.59.76.169]) by mx-ha.gmx.net (mxgmx008) with ESMTP (Nemesis) id 0LwWIZ-1Zt7xh1oHX-018NEo for ; Sun, 21 Feb 2016 01:38:46 +0100
Received: (qmail 2557 invoked by uid 399); 21 Feb 2016 00:38:44 +0000
Received: from unknown (HELO yrhmia.com) (andrew@spoonattea.com@177.231.168.21) (de-)crypted with TLSv1: DHE-RSA-AES256-SHA [256/256] DN=unknown by mail.marotori.net with ESMTPSAMMMMMM; 21 Feb 2016 00:38:44 +0000
X-Originating-IP: 177.231.168.21
X-Sender: andrew@spoonattea.com
From: Vorname Nachname
To: empfängeradressen
Subject: Fw: new important message
Date: Sun, 21 Feb 2016 03:38:40 +0300
Message-ID: <0000e4614506 a f fb a gmx at/>
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="----=_NextPart_000_0001_25FB160F.65C7AE4F"
X-Mailer: Microsoft Outlook 15.0
Thread-Index: AdFrez6jDwld3rgmNd7gwGohke5+RQ==
Content-Language: en-us
Envelope-To:
X-GMX-Antispam: 4 (nemesis spam server blocker); Detail=V3;
X-GMX-Antivirus: 0 (no virus found)

meine vermutung ist, dass da vor einiger zeit die gmx server gehackt wurden und die mailadressen aus dem mailverlauf ausgelesen wurden!

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 16:44:00 GMT

Entweder du traust dir es zu, deinen Rechner eigenständig nach den folgenden
Anweisungen zu scannen und evtl. zu bereinigen

also ich hab das jetzt mal gelesen: das ist starker stoff!!

Der Typ hatte aber echt fast 1:1 das gleiche Problem. Nur auch der hatte genau das, was mir blühen wird: und wo sehe ich jetzt, was ich habe oder hatte?
Die 10000000 Seiten logs halfen ihm so viel, wie sie mir helfen werden: NICHTS.

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 16:42:19 GMT

die schlechte: ich bin sicher infiziert: Grippe, soeben vom Doc bestätigt.

Re: Bin ich infiziert?

arctic — Wed, 02 Mar 2016 14:58:00 GMT

Bis dato gibt es keine Erkenntnisse , dass Computer-Viren auf Menschen übertragbar sind.

Also ist eventuell l dein PC infiziert , aber nicht du selbst.

Das war die gute Nachricht.

Re: Bin ich infiziert?

arctic — Wed, 02 Mar 2016 14:58:00 GMT

Bis dato gibt es keine Erkenntnisse , dass Computer-Viren auf Menschen übertragbar sind.

Also ist eventuell dein PC infiziert , aber nicht du selbst.

Das war die gute Nachricht.

Re(3): Bin ich infiziert?

larse — Wed, 02 Mar 2016 13:07:50 GMT

Nein, das würde der Beschreibung von AVS widersprechen, da zwar viele alte Adressen betroffen sind aber auch eine die erst vor einem Monat versandt wurde.

AVS bekommt hier ja nur das Ergebnis in Form von Deliverys mit, welche nicht zustellbar sind. Das betrifft dann wiederum nur alte nicht mehr existente Adressen.
Alle anderen existenten Adressen dürften mit einer echten Mail beglückt wurden sein. Das Feedback wird aufgrund der Aktualität aber erst im Laufe der Woche eintrudeln.

Re(3): Bin ich infiziert?

larse — Wed, 02 Mar 2016 12:59:21 GMT

Die weitere Erläuterung klingt sehr nach meiner zweiten Möglichkeit und nach einem intelligenteren Virus oder Trojaner, der den gesamten PC bzw. das Emailprogramm nach "Wörtern" mit @ im Namen scannt.
Die Netz-Robots verfahren ja auch so.

Re(2): Bin ich infiziert?

Paulas_Papa — Wed, 02 Mar 2016 12:42:37 GMT

Ist es möglich, dass jemand vor längerer Zeit seinen Outgoing Mail Traffic von den GMX Server mitgeschnitten hat und die darin enthaltenen alten Adressen verwendet, um in seinem Namen zu Spam-en?

mfg lukas

Re(3): Bin ich infiziert?

Nomade1 — Wed, 02 Mar 2016 12:35:18 GMT

weilst kein usb-kondom benutzt hast

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 12:34:39 GMT

1. Dein GMX-Account wurde gehackt, die Adressen dort abgegriffen

ich habe in GMX direkt nirgendwo Adressen gespeichert. Ja, vielleicht 2 oder 3, aber sicher nicht 20 und schon gar nicht diese.

2. Das gleiche, wie unter 1. beschrieben, ist auf deinem Rechner
passiert.

genau das macht mir ja Kopfweh.

eigenständig nach den folgenden Anweisungen zu scannen und evtl. zu
bereinigen

ich schaus mir mal an

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 12:32:33 GMT

genau das macht mich Kopfweh!

Re(2): Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 12:32:14 GMT

wenn xyz halbwegs üblich ist

ist mein echter Vor- und Nachname. Gibts genau 1x in Ö und sicher seltener als 10x weltweit.

Spam bekomme ich aber auf diese Adresse.

Kann es noch jemand anders geben der ein großteil deine Kontakten auch hat?

eigentlich nicht in der Kombination.

*grübel*
Tw sind das uralte Geschäftskontakte. Die sind hier bei mir lokal in einem Archivkontakteordner abgelegt.
Dann Privatkontakte. Die hab ich in einem Ordner und der iCloud.

Und dann ging 1Mail an einen Kontakt, der gar keiner ist. Der Person hab vor 1Moinat mal 3Mails geschrieben. 2 online über GMX, von einem fremden PC aus und 1x von meinem PC daheim geantwortet...
Aber die ist nicht einmal als echter Kontakt angelegt ???

Re: Bin ich infiziert?

larse — Wed, 02 Mar 2016 12:16:24 GMT

Es gibt hier eigentlich zwei relativ wahrscheinliche Möglichkeiten:

1. Dein GMX-Account wurde gehackt, die Adressen dort abgegriffen und die Spam-/Viren-oder was auch immer-Emails wurden in deinem Namen (nicht unter deinem Account!) versendet. Die Deliverys gehen dann natürlich an dich zurück, nur die dort noch aktiven Mailadressen freuen sich hier über eine Virenmail von dir.
Erläuterung: Von "dir" ist hier falsch, Versand mittels Angabe deiner "Emailadresse" wäre korrekter. Da jeder Emails unter deiner Adresse versenden kann, wenn der die Adresse nur kennt.

2. Das gleiche, wie unter 1. beschrieben, ist auf deinem Rechner passiert.

Zu 1. würden sich aber hier und jetzt sehr viele andere aktuelle Meldungen im Netz finden lassen, so dass 2. die wahrscheinlichere Variante ist.

Groß- oder Kleinschreibung bei einer Email-Adresse ist unerheblich und imho kein Hinweis auf irgendwas.

Zur möglichen Behebung:
Entweder du traust dir es zu, deinen Rechner eigenständig nach den folgenden Anweisungen zu scannen und evtl. zu bereinigen oder du machst dort einen eigenen Thread auf in dem dir geholfen wird.
Bitte nicht beim Namen des Boards erschrecken, das ist seriös:
http://www.trojaner-board.de/176051-gmx-mail-adresse-ruecklaeufer-e-mails-versendet-habe.html

lg larse

Edit: Das was Ardjan ist auch "möglich" aber durch deinen Hinweis, dass du die meisten Adressen zuordnen kannst, relativ unwahrscheinlich. Es sei denn ein Bekannter von dir hat fast den gleichen Emailadressenpool.

Re: Bin ich infiziert?

Ardjan — Wed, 02 Mar 2016 12:02:43 GMT

1. ich hab die Mails gar nicht geschickt.

Das kann leicht passieren. Was irgendjemand als Absender verwendet beim Versand ist egal. Rückläufer kriegst du dann.

2. Meine Absenderadresse ist falsch geschrieben und zwar xyz@GMX anstatt
xyz@gmx - ich hab das GMX noch nie irgendwo groß geschrieben.

Kann auch vom einfachen Spammer sein. Der Adresse steht irgendwann auf den Spamlisten, könnte sogar generiert sein (wenn xyz halbwegs üblich ist)

3. die meisten dieser Mailadressen existieren und sind mir bekannt.
4. unter den angeschriebenen finden sich einige Karteileichen,

Kann es noch jemand anders geben der ein großteil deine Kontakten auch hat? Im Freundeskreis haben alle Leute alle Adressen. Wann jemand anders ein Virus eingefangen hat und der auf deren Rechner anwesende Adressen anschreibt, mit als Absender auch eine der Adressen, könnte genau dies passieren...

Re: Bin ich infiziert?

Nomade1 — Wed, 02 Mar 2016 11:50:42 GMT

WAS IST DAS?
MUSS ICH MIR SORGEN MACHEN?

SIE haben DICH erwischt!!!!!!!!! elseineinseins

Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 11:19:35 GMT

Muß ich mir jetzt sorgen machen?
Seit gestern Abend habe ich ca 25 Delivery Status Notification von diversen mailer-daemons erhalten, daß Mails von mir nicht zugestellt werden können!?!?!?!?

Problem:
1. ich hab die Mails gar nicht geschickt.
2. Meine Absenderadresse ist falsch geschrieben und zwar xyz@GMX anstatt xyz@gmx - ich hab das GMX noch nie irgendwo groß geschrieben.
3. die meisten dieser Mailadressen existieren und sind mir bekannt. Nur ganz wenige der angeblich angeschriebnenen kenne ich nicht.
4. unter den angeschriebenen finden sich einige Karteileichen, deren Mailadresse zwar richtig WAR, inzwischen aber gar nicht mehr existiert. (zB Mail an einen Freund kommt unzustellbar zurück, weil sie an seine alte Firmenadresse ging, obwohl er vor 3J den Job gewechselt hat)

WAS IST DAS?
MUSS ICH MIR SORGEN MACHEN?

Hats mich erwischt? Und wenn ja: was?
Virusalarm hab ich keinen bekommen.

Kleiner Nachtrag noch:
Ich habe mir die Mail offensichtlich auch selbst geschickt, an genau die gmx-Adresse, von der aus ich das angeblich geschickt habe. ???????

Bin ich infiziert?

AVS_reloaded — Wed, 02 Mar 2016 11:19:35 GMT