je to dobře vypečená forma spamu/pokusu o napadení PC? (vyřešeno)

posílám to trochu jako varování před možnou formou zavirování kompu, trochu jako dotaz na místní e-mail odborníky: dneska mi přišel mail na první pohled působící věrohodně (perfektní čeština), na druhý už ne. Dole je začátek mailu, a co se mi na něm nezdá:

příloha (ač s atributy 'Content-Type: application/msword; name="Screenshot.doc"' je něco tvářícího se jako HTML, začíná to:

<html xmlns:v="urn:schemas-microsoft-com:vml"
xmlns:o="urn:schemas-microsoft-com:office:office"
xmlns:w="urn:schemas-microsoft-com:office:word"
xmlns:m="http://schemas.microsoft.com/office/2004/12/omml"
xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv=Content-Type content="text/html; charset=windows-1250">
<meta name=ProgId content=Word.Document>
<meta name=Generator content="Microsoft Word 12">
<meta name=Originator content="Microsoft Word 12">
<!--[if gte mso 9]><xml>
 <o:DocumentProperties>
...
<img src="http://mailbox4free.eu/img/cb0f5ae783753526946a/Screenshot.png" title="Screenshot" alt="Screenshot" />
...
</body>
</html>

moje odpověď (ala "screenshot nebyl přiložen, pošlete znovu") se vrátila s chybou
```
550 5.1.1 <eva.dvorakova@mailbox4free.eu>... User unknown
```
X-Mailer je uveden 'Mozilla Thunderbird', ale ten by se IMO identifikoval i verzí a OS
podle hlavičky (pole 'Received:') má mail původ přímo na mailserveru mailbox4free.eu, což je také podivné (neznám Postfix, co je význam toho "from userid 0"?)
Pole "Errors-To:" je podle nějakého RFC? (přiznávám, že jsem skončil někde u 821/822, novější 282[12] jsem nějak nepotřeboval a jestli je něco ještě novějšího ani nevím ;)
o doméně "mailbox4free.eu" (registrovaná v Austrálii na petrprocházka4@gmail.com) jsem ještě neslyšel (ale to nemusí nic znamenat)
Ten odkazovaný "Screenshot.png" se asi nedá stáhnout, wget hodí chybu o nedostupnosti

Je to jasný podvrh, nebo se to dá nějak normálně vysvětlit?
Díky předem. Hlavička a začátek mailu:

To: boy@blabla.cz
Subject: =?UTF-8?B?TmVmdW5rxI1uw60gc3Ryw6Fua3k=?=
From: "Eva =?UTF-8?B?RHZvxZnDoWtvdsOh?=" <eva.dvorakova@mailbox4free.eu>
Errors-To: eva.dvorakova@mailbox4free.eu
Reply-To: eva.dvorakova@mailbox4free.eu
Importance: Normal
MIME-version: 1.0
Content-Type: multipart/mixed; boundary=BOUND_50E008257896B3.00452056
Message-Id: <20121230092813.132C727022E4@mailbox4free.eu>
Date: Sun, 30 Dec 2012 13:23:49 +0400 (MSK)

This is a message with multiple parts in MIME format.

--BOUND_50E008257896B3.00452056
Content-Type: text/plain; charset=utf-8
Content-Transfer-Encoding: 8bit

Dobrý den,

chtěla jsem se podívat na Vaše stránky http://www.blabla.cz, které mi našel Google,
ale vyskočila na mě hláška, že mohou poškodit můj počítač. Používám Firefox a dříve
se mi to nikdy nestalo. Můžete mi prosím poradit? Do přílohy jsem zkopírovala obrazovku,
když na mě ta hláška vyskočila, abyste si mohli udělat představu.

S pozdravem

Eva Dvořáková

--BOUND_50E008257896B3.00452056
Content-Type: application/msword; name="Screenshot.doc"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="Screenshot.doc"
...

Odpovědi

možná si nějaký trouba vytváří seznam aktivních schránek na českém internetu pro spamování (taky mi to přišlo - neotvíral jsem to), informace o tomto šmejdovi se dneska šíří napříč celým internetem, stačí pohledat:-P každý příjemce má odlišnou URL obrázku http://mailbox4free.eu/img/___ID-EMAILU___/Screenshot.png - kdo obrázek načte, ten má aktivní schránku :)

Linux Dokumentační Projekt - PDF ke stažení

30.12.2012 16:34 Franta Hanzlík
Rozbalit Rozbalit vše Re: je to dobře vypečená forma spamu/pokusu o napadení PC?

Aha, díky. Nikde jsem nebrouzdal, tak jsem to nezaregistroval. Asi to testování aktivnosti adresy je nejpravděpodobnější.
(ale co když je to reklamní kampaň nové prezidentské kandidátky? ;)

30.12.2012 22:28 bodik
Rozbalit Rozbalit vše Re: je to dobře vypečená forma spamu/pokusu o napadení PC?

mate nekdo vzorek toho PNG ?

http://mailbox4free.eu/img/e8542024e2bc626176df/Screenshot.png

nedari se mi jej stahnout pro analyzu. mohlo by jit o http://technet.microsoft.com/en-us/security/advisory/2794220 ??

30.12.2012 22:55 Franta Hanzlík
Rozbalit Rozbalit vše Re: je to dobře vypečená forma spamu/pokusu o napadení PC?

Příloha:

Screenshot.png (39014 bytů)

mně jej nakonec wget stáhnul (asi předtím byl http://mailbox4free.eu/ přetížen podobnými požadavky - zřejmě úspěšná akce) a geeqie jej jako PNG zobrazí. widlousí sw moc neznám, takže mi to nic nepřipomíná.
je to v příloze.
Z toho vámi uvedeného CVE moudrý nejsem...

Ten samý mail od "Evy Dvořákové" na všechny firemní e-maily (mezi 11:52 a 12:40). Bohužel jsem na jeden odpověděl, stejný "undelivered" jako výše popsaný, obrázky v příloze se mi nenačetly (Windows 8, Thunderbird), při přeposlání na Gmail mi integrovaná GMail antivirová ochrana nic nezjistila. Prosím pokud by někdo zjistil nějaké nebezpečí (napadení PC virem + ideálně řešení), prosím o zaslání bližšího info na jiri.svarc@gmail.com. Díky.

30.12.2012 16:55 Stillfish
Rozbalit Rozbalit vše Re: je to dobře vypečená forma spamu/pokusu o napadení PC?

Tady něco je.

http://forum.viry.cz/viewtopic.php?f=13&t=126880

Ale moc se mi to nezdá, myslím, že jde opravdu jen o ověření funkčnosti mailové adresy. Já jsem přílohu otevřel, ale obrázek se nenačetl, takže mám asi štěstí... Nějakou nefunkčnost MS Office nebo Windows jsem nepozoroval, test přes antivir proběhl v pořádku.

30.12.2012 23:52 Aleš
Rozbalit Rozbalit vše Re: je to dobře vypečená forma spamu/pokusu o napadení PC?

Dobrý den,

přesně, jak popisujete. Moje firemní maily také dostaly tuto zprávu. Přesně stejnou. Obrázek se mi nepodařilo stáhnout, jen se otevřel word a v něm bylo: Toto se mi ukázalo: a pod tím jen ikona obrázku (jako když je nefunkční odkaz na obrázek - systémová ikona) a nic víc.

Odpověděl jsem na mail, ale žádná zpráva o nedoručitelnosti mi nedošla, normálně šlo odpovědět.

Vzhledem k tomu, že "paní Dvořáková" posílala mail v 11:51 a stále nereagovala na mou odpověď, vyhledal jsem její mail na netu a už vidím další uživatele se stejným problémem :-)

Tak snad to je jen forma získání aktivních schránek.

Dotaz: je to dobře vypečená forma spamu/pokusu o napadení PC?

Odpovědi