Topic: Ledger (Live) - Angebote / Diskussion / Hilfe - page 46. (Read 22292 times)

Habe ich heute auch bekommen, nur die englische Variante:


Absender war ebenfalls [email protected] . Ich rate dazu die Email-Adresse zu ändern falls möglich. Die Adressen sind besonders im aktuellen Krypto-Umfeld Gold wert und werden dementsprechend auch gehandelt werden. Daher wird man dauerhaft irgendwelche Krypto-Phising-Mails erhalten. Muss nicht auf "angebliche" Ledger-Mails beschränkt bleiben.

Ich hoffe/vermute zwar, dass jeder der einen Ledger gekauft hat verstehen wird, dass es sich hierbei um einen Betrugsversuch handelt aber wäre die Kundengruppe eine andere, also z.B. Senioren ohne technische Erfahrung würden die sich eine goldene Nase verdienen mit diesem Betrugstrick 

sehe die mail gerade auch bei mir im postfach. nervt...

Wenn du jetzt geschrieben hättest, du hast den heiligen Seed von Satoshi gefunden, würde ich dir das auch abnehmen. 

Auch von mir vielen Dank für die ausführliche Antwort! Wieder was gelernt

Habe nach deiner Meldung auch kurz danach gegoogelt und ebenfalls nichts gefunden, ist also tatsächlich sehr komisch, dass da nur bei dir der Defender angesprungen ist. Aber lieber einmal eine false-positive Meldung als eine nicht erkannte Schadsoftware

Auch hier nochmal danke für die Prüfung bob123! Interessant zu sehen welche Schritte du unternommen hast.
Bin schon etwas beruhigter seit gestern da mehrfach bestätigt wurde, dass das eigentlich nur ein Problem vom Defender sein kann.
Frage mich nur warum meine 2 Clients (zumindest lt. kurzer Google Recherche) die einzigen waren mit diesem falschen Alarm.

Die Datei könnte eigentlich noch hier hochgeladen werden: https://www.microsoft.com/en-us/wdsi/filesubmission/
aber da sich das Zeug wieder irgendwie mit meinem Windows-Domänen-Account verbandeln möchte lasse ich es einfach

Danke nochmal und umso besser wenn es nur falscher Alarm war. Vielleicht schafft es der Defender ja trotzdem die 2 Ledger Leak Files von allen Clients der Welt zu bereinigen
(Klar dass da nicht passieren kann. Nur Spaß)

Bei einem Text File ist es relativ einfach.

Zunächst habe ich mir etwaige Header angeschaut. Das Kommandozeilen Tool file liefert folgendes zurück:


Scheint also tatsächlich eine Text Datei mit "komischen" Zeichen zu sein.
Das anschauen der ersten Bytes der Datei bestätigt das:



Ist also tatsächlich eine Text Datei.
Um nun sicher zu sein, dass nicht etwaige Decoding bzw. Parsing Schwachstellen ausgenutzt werden, habe ich alle Mail Adressen aus der Datei extrahiert und in einer neuen Datei gespeichert:



Ein kurzer Vergleich zeigt, dass die originale Datei mehr Zeilen/Einträge enthält als meine extrahierten Mails:

Konkret kommen also noch 728 Zeilen in Frage.
Da das eine überschaubare Menge ist, habe ich sie mir mithilfe von diff anzeigen lassen.
Der Großteil waren hierbei Mail Adressen, die nicht von meinem Pattern erfasst wurden. Ein etwas interessanterer (und komischer) Eintrag war allerdings dieser:


Die drei russischen Textbausteine entsprechen: "Header", "Cookie" und "Response body".

Dies scheint einfach nur ein Eintrag zu sein, der nicht hätte hier stehen müssen, aber nichts "anstellen" kann.
Möglicherweise eine schlampige Programmierung. Anders kann ich mir diesen leeren Request nicht erklären.

Auf jeden Fall ist damit klar, dass es sich einfach um eine "normale" Text Datei mit Sonderzeichen handelt und definitiv keinen Parsing Exploit oder ähnliches enthält.

Jetzt trudeln noch Scam Mails von Ledger    ein . Peugeot... ein Autoname im Absendertext.
Mal sehen wer die noch so alles bekommt in den nächsten Tagen

Rein Interesse halber ... was würdest du dir da ansehen um das rauszufinden?
Also im Falle des Files, welches ich auch habe und definitiv ein Textfile ohne ausführbaren Code ist würd mich das sehr interessieren!

Dass als txt getarnte Binärdateien Schadcode enthalten können ist klar, hier bei diesen Dateien fehlt mir einfach etwas der Ansatzpunkt was es da haben könnte

Bzw. war bekannt und wurde daraufhin gefixt.

Es gab Remote Code Execution Schwachstellen schon bei Notepad und Notepad++.
Selbstverständlich wurde beides gemeldet und auch gefixt. 

Aber sooo extrem unwahrscheinlich muss das garnicht sein 

Unmöglich gibt es bei hacking eh nicht.
Bulletproof gibt es nicht.

Ist aber halt extrem unwarscheinlich, bzw nicht bekannt. Sonst gäbe es bei software wie Notepad sofort einen Security Patch für so was.

Weil Windows Software... naja.. nicht grad die beste ist 
False Positives stehen da an der Tagesordnung. Genauso wie False Negatives 



Wenn es dich interessiert ob an der Datei wirklich was faul ist, dann kannst du sie mir gerne per Mail schicken. Hab dir eine PM gesendet.

Verstehe aktuell nur nicht warum mein Defender der einzige seiner Art sein sollte der hier ein Problem erkennt... habe die gleiche Datei heute auf einem anderen Client (auch Windows 10 Letztstand inkl. aller Updates) runtergeladen und direkt im Anschluss gab es diese Meldung:

Heute ist es also Trojan:Script/Foretype.A!ml

Werde es jetzt einfach dabei belassen denn ich benötige die Daten nicht... war nur die Gegenprobe und auch da gab es wieder ein Problem. Vielleicht betrifft es ja in Zukunft noch jemanden.

Falls jemand auch gerne drübergucken würde kann ich sie direkt in Telegram weiterleiten. Interessant wäre es ja irgendwie schon ob sonst auch noch jemand ein paar Ungereimtheiten feststellen kann.

//edit: es sind ja 2 Dateien. Die mit den Mailadressen sorgt für die Probleme. Die Datei in der alle Infos enthalten sind ist auch lt. meinen 2 Systemen safe.

In der Regel zumindest.
Gab auch schon Schwachstellen in Texteditoren, die dann ausgenutzt wurden um Code auszuführen. Unmöglich ist das also nicht.

Aber um mal wieder Bezug auf die .txt Datei der gelakten Mails zu nehmen: Weiß nicht wo ihr die her habt, aber meine Datei ist tatsächlich nur eine Textdatei.




Nur weil virustotal nicht anschlägt heißt das nicht, dass es sich um keine Malware handelt.

Es handelt sich einfach um etwas das man Heuristik nennt.
Dein Programm sucht nach Merkmalen das es von anderen Viren kennt. Bei so einer Fetten TXT datei kann es gerne mal vorkommen das dort manche algortihmen fehlerhaft Alarm geben.

Das Programm schaut nämlich nicht wie die Datei aufgebaut ist, bzw. ob es überhaupt möglich ist schaden zuzufügen, sondern nur ob ein Teil der Datei anderen Virendateien ähnelt

Vermutlich schon. Ganz am Beginn gab es nur diese eine Quelle... weiß noch wo meine Datei her ist und werde sie ggf. morgen nochmal in Ruhe laden und abwarten/testen was der Windows Defender damit macht.

Finde es sehr komisch dass der heute nachdem ich das Textfile schon X Tage am PC hatte abgeschlagen hat. Werde berichten ob sich das Verhalten reproduzieren lässt oder es ein unerklärliches Phänomen bleibt.

Lakai01 und mole085, habt ihr die Dateien auch von der gleichen Quelle bezogen?

Gut danke dann bin ich (nochmal) beruhigter.
Ich hatte so ein Problem noch nie und hatte auch noch nie davon gehört... kA. warum mein Defender heute Alarm geschlagen hat.
Die Datei wurde auf jeden Fall bereinigt und das ist auch gut so. Benötige sie nicht da es nur zum Check war ob ich betroffen bin.

Lt. meiner Recherche gibt es die win32/coinminer Probleme im Normalfall mit div. Freewareprogrammen und dann eben .dll oder auch gerne mal der electrum-3.3.8-portable.exe -> Aber nie in Verbindung mit einem .txt File. Aber gut lieber 1x zu viel Alarm geschlagen als 1x zu wenig.

So kann man mit einer "txt" datei einen Trojan verbreiten.

https://fr.scribd.com/doc/49319507/How-to-Sent-a-Trojan-Horse-Virus-as-Txt-File

Wenn es sich tatsächlich NUR um eine TXT Datei handelt (zb zum öffnen Rechtsklick > Editieren) besteht kein Risiko. Da wird die Datei nämlich Direkt mit Notepad/Notepad ++ geöffnet, und es kann nichts passieren.

Super danke für die Prüfung.
Ich habe jetzt noch wie auch hier im Microsoft Hilfeforum (klick mich) empfohlen den AdwCleaner von Malwarebytes geladen.

Das Teil hat 2 Bedrohungen gefunden und auch bereinigt. Die Datei vom Ledger Leak war nicht dabei da sie ja bereits vom Defender bereinigt wurde. Das war jetzt noch zur Sicherheit... Bin jetzt mal wieder beruhigt und falls jemand das gleiche Verhalten bei seinem Windows feststellt steht hier ja ab sofort alles was relevant ist