Hilfe! Mir wird vorgeworfen, dass mein Rechner einen Trojaner hat und ich Spam verschicke

[vgwort line=“73″ server=“vg08″ openid=“3f6257a407594be79ca39e5e1b6f1504″]

Freitag bekam ich einen weniger netten Anruf aus Hamburg. Der Anrufer forderte, dass sich sofort damit aufhöre, ihn mit Spam Mails das Postfach zuzumüllen. Auf meine Nachfrage hin, bekam ich zur Antwort, dass ich doch mit meiner Firma hinter dieser Werbung für arbeitdeutschland.com stehen würde. Nun, da ich keine Firma habe, blieb ich gelassen. Der Anrufer hatte offensichtlich meine Web-Seite gefunden und sich nicht die Mühe gemacht, sie genauer zu lesen. Meine Auskunft, dass ich diese Mails nicht verschicke, sondern nur über sie schreibe und genau wie er leide, konnte ihn nur begrenzt überzeugen. Er wird mich jetzt weiter beobachten.

Es ist nicht das erste Mal, dass diese Behauptung aufgestellt wurde und mir sogar mit dem Anwalt gedroht wurde. Ich hoffe, dass die Leute sich etwas besser informieren, bevor sie voreilig Anzeige gegen mich erstatten oder einen Anwalt einschalten. Die Kosten können sie sich sparen.

Nun deutet ein Kommentar hier darauf hin, dass ich nicht der einzige bin, dem solches vorgeworfen wird. Den Vorwurf stets einfach von der Hand zu weisen, geht jedoch nicht. Es ist nicht auszuschließen, dass an dem Vorwurf etwas dran ist. „Was tun?“, spricht Zeus. Schauen wir uns die Sache näher an.

Was ist ein Trojaner

Ein Trojaner – oder Trojanisches Pferd – ist nichts anderes als ein Programm. Diese Programm gaukelt dem Nutzer vor, etwas nützliches zu tun, während es im Hintergrund, unsichtbar für den Nutzer, ganz andere Dinge tut. Zum Beispiel kann ein Trojaner das Mail-Adressbuch an einen anderen Rechner schicken, ohne das der Nutzer dies merkt. Für ihn hüpft vielleicht nur ein nettes nacktes Mädchen über den Bildschirm oder er spielt ein unterhaltsames Spiel. Die wenigsten Trojaner machen sich heute diese Mühen. Ihr Ziel ist es einmal von Nutzer gestartet zu werden und sich heimlich auf dem Rechner festzusetzen. Wichtig für eine Trojaner ist es, dass er nach dem Neustart des Rechners erneut aufgerufen wird. Neben der althergebrachten Methode sich in andere Programme oder dem Autostart-Ordner einzuklinken , sind heute Einträge in der Registry oder die Installation als Dienst beliebt. Unter Windows ist dazu ein Eintrag in einem Registry Schlüssel „Run“ beliebt. Heute meint fast jedes Programm sich vorsorglich starten zu müssen, so dass die Registry selten so übersichtlich ist, wie im nachfolgenden Screen Shot. Um hier Freund und Feind unterscheiden zu können, braucht es einiges an Wissen. Es gibt noch andere Möglichkeiten dafür zu sorgen, dass der Trojaner nach einen Rechnerneustart wieder aufgerufen wird, aber dieser zu betrachten würde hier zu weit führen.

Wer sich nicht mit der Registry auskennt, muss sich auf einen Virenscanner verlassen. Dies ist die einfachsten Möglichkeit den Rechner auf Trojaner zu prüfen. Allerdings gibt es Trojaner, die den Virenschutz aushebeln können. Aber beginnen wir mit der Prüfung außerhalb unseres Rechner. Die wichtigste Frage ist:

Wieso kommen andere zu der Erkenntnis, ich hätte einen Trojaner auf meinem Rechner

Warum andere auf die Idee kommen könnten, dass sich ein Trojaner auf meinem Rechner ein Trojaner befindet, kann verschiedenen Ursachen haben.

E-Mails werden mit meiner Adresse als Absender verschickt

Sollte der Andere E-Mails mit meiner Mail-Adresse bekommen, und daraus schließen, ich würde diese Mails verschicken, so unterliegt er zu 99% einem Irrtum. Jeder kann im Internet eine E-Mail unter meinem Namen abschicken. Was ein Mailprogramm als Absender einträgt, hängt davon ab, was jemand bei der Kontoerstellung als Adresse angibt. Siehe Screen Shot.

Wenn ich diese Mail-Adresse angebe, dann werden mich Antworten nicht erreichen. Dies stellt für die meisten Spammer kein Problem dar, denn sie wollen nicht per Mail erreicht werden.

Um diesen Missbrauch zu verhindern, ersetzen manche Provider in den Mails ihrer Kunden den Absender durch die richtige Adresse (z.B. T-Online).

Wenn sich die Behauptung nur auf den Absender in der empfangenen Mail bezieht, dann kann ich mich beruhigt zurück lehnen.

Meine IP-Adresse taucht in der Mail auf

Um das folgende zu demonstrieren hat mir mein Freund Barack Obama freundlicherweise mehrere Mails geschickt 😉 und so zeigt mein Client sie an:

Dies ist allerdings alarmieren. Lassen wir die Frage außer acht, ob wie der Andere es schafft hat, meine dynamische IP-Adresse meiner Person zuzuordnen. Dies ist ein sicheres Zeichen, dass auf meiner Seite etwas nicht stimmt. Schauen wir und dazu eine Mail im Quelltext an.

Eine Mail besteht grundsätzlich aus zwei Teilen: Dem Kopf oder header und dem Inhalt, Körper oder body. Der Inhalt kann weiter unterteilt werden, ist aber für uns hier uninteressant.

Nur der rot und fett markierte Teil im Header deutet darauf hin, dass diese Mail nicht von Barack Obama stammt. Es ist zwar nicht unmöglich, aber doch sehr unwahrscheinlich, dass der Präsident der Vereinigten Statten seine Mails von meinem Rechner aus verschickt. In der Regel gibt es mehrere Einträge dieser Art. Für jeden Server, der die Mail bearbeitet hat einen.

Schauen wir und diese Teil der Mail an, wenn ich sie nicht von meinem Rechner zu Hause verschicke, sondern von meinem V-Server im Internet:

Hier hat der Mail-Client die Mail beim lokalen Mail-Server abgegeben. Dieser hat diese Mail an den Mail-Server bei mir Zuhause weiter geleitet. Würde Barack an meine T-Online Adresse schreiben, sähe es am Ende wie folgt aus:

In diesem Fall hat der V-Server die Mail an einen Server von T-Online mailin13.aul.t-online.de weitergeleitet. Dieser hat sie wiederum intern an einen Server mhead408 weiter gegeben. Dieser hat die Mail auf nicht dokumentierte Weise an sfwd01.sul.t-online.de weitergegeben. Mein Rechner Zuhause die Mail mit fetchmail von sfwd01.sul.t-online.de abgeholt und über den internen Postfix Server verteilt.

In der Liste stehen die Server immer in der umgekehrten Reihenfolge der Abarbeitung, da ein Server sich immer vorne in der Liste einträgt. Spammer fügen noch ein paar weitere Einträge hinzu, um den Spam-Filtern die Arbeit zu erschweren. Hier sollte ich zur Täuschung noch Zeilen des Mail-Servers des Weißen Hauses einfügen. Aber es entsteht in der Regel ein logischer Bruch. Der nächste Server passt logisch nicht in die Kette, denn er empfängt die Mail von einem Server, der die Mail nicht empfangen haben kann. Dieser Bruch ist auch bei T-Online vorhanden, aber solange wir dem Provider vertrauen, ist dies nicht weiter schlimm.

Wenn in dieser Liste die IP-Adresse meines Servers oder meines DSL-Anschlusses auftaucht, dann besteht wirklich ein Problem, dem nachzugehen ist.

Wenn also jemand behauptet, ich würde Spam Mails verschicken, brauche ich zur Prüfung eine Mail mit Header. Weist diese in einer vertrauenswürdigen Kette nicht bis zu meinem Server, dann ist die Mail nicht von mir.

Hier ein Beispiel, wie es aussieht, wenn ich eine Mail über T-Online versende. Mein lokaler Mailserver (k2.arend.tksd) holt die Mail bei meinem Mailserver (172.16.0.1) im Internet mit fetchmail ab. Dieser Server hat die vom T-Online Server mailout09.t-online.de erhalten. Dieser wiederum hat sie T-Online intern von fwd00.aul.t-online.de erhalten, bei dem mein Mailprogramm die Mail abgeliefert hat.

Wie kommt man an den Header einer Mail?

Unter kmail drückt man einfach die Taste „V“ und schon wird der Quelltext der Mail in einem Fenster angezeigt. Unter Outlook Express geht es mit „Datei – Eigenschaften – Details“, unter Thunderbird ist es „Strg-U“. In der Regel hat jedes Mailprogramm seine eigene Bezeichnung und einen Menüpunkt um die Nachricht im Klartext, Quelltext, Quellcode oder wie auch immer es bezeichnet wird anzuzeigen.

Einfaches Weiterleiten der Mail reicht in der Regel nicht, da der Header abgeschnitten und nur der Text in die neue Mail übernommen wird. Am besten die Mail exportieren und als Anhang zu schicken. Den Textteil kann man da auch ruhig wegschneiden. Er ist unwichtig.

Findet sich dann ein Hinweis, dass diese Mail von meinem Rechner – oder besser aus meinem Heimnetz stammt, dann hat hier ein Rechner einen Trojaner. Ich tippe, dass dann mein Sohn sich wieder etwas eingefangen hat.

Fazit

Der Absender einer Mail hat nichts zu bedeuten. Hier kann man alles und jeden eintragen. Einzig verlässliche Quelle ist der Header mit den „Received:“ Einträgen.

Viele Spam Mails, gerade die Scanner- oder eFax-Spam werden mit meiner Domain und einem hexadezimalen User als Absender verschickt. Da viele Adressaten nicht existieren, bekam ich bisher die Zustellfehler. Diese angeblichen Absender existieren aber auch nicht bei mir und so nehme ich diese Mails nicht mehr an.

So, der Urlaub ist zu Ende. Daher gibt es keine Nachtsitzungen mehr.

Gute Nacht