Falscher Microsoft Mitarbeiter am Telefon

[RalphT 15]

Hallo,

ich hoffe, dass ich mit meinem Thema hier richtig bin.

Bei einem Bekannten ist letze Woche folgendes passiert:
Ein falscher Micrososft Mitarbeiter rief bei ihm an und sagte, dass sein Computer mit einem Trojaner infiziert sei. Er könnte ihm zeigen, dass tatsächlich der Trojaner darauf sei.
Der Bekannte fragte: "Woher weiß ich denn, dass Sie von Microsoft sind?" Darauf kam auf seinem PC ein Fenster mit Logo und Namen. Er willigte ein. Den Rest schreibe ich gerne, wenn das hier erwünscht ist.

Ich verstehe hier etwas nicht. Wie war das möglich, dass auf diesem besagten PC eine Art Fenster kam? Der Bekannte versicherte mir, dass er vorher nur mit dem falschen Mitarbeiter gesprochen hat und nichts am Rechner gemacht hat.
Um so eine Art Fenster zu erzeugen, muss doch dem Angreifer die öffentlich IP-Adresse bekannt sein?

Hat jemand eine Idee, wie das zu Stande gekommen sein kann?

[NorbertFe 2.035]

Und was passierte dann? :)

[testperson 1.677]

Hi,

 

Rechner infiziert sich z.B. auf manipulierter Website -> Trojaner telefoniert nach Hause -> der freundliche MS Mitarbeiter hat Kontrolle ;)

 

Mal recht simpel gehalten..

 

Gruß

Jan

[NorbertFe 2.035]

Die interessante Zuordnung wäre aber IP zu Telefonnummer. Bei VOIP sicher irgendwie machbar...

[testperson 1.677]

Naja, da reicht doch ggfs. schon eine Website wo die Telefonnummer eingegeben wurde und der Trojaner hat da eben auch noch gelauscht.

 

Vielleicht ging aber auch ein Fenster auf "Bitte geben Sie Ihre Telefonnummer ein" :D

[RalphT 15]

 

Und was passierte dann?

 

Ich merk schon, ihr wollt es wissen. :D

 

Nach der telefonischen Einwilligung, durfte der falsche Mitarbeiter Tight-VNC installieren. Nach dem er die volle Kontrolle über diesen Rechner hatte, navigierte er zügig zu der Ereignisanzeige in die Rubrik "Administrative Ereignisse". Dort ist ja bekanntlich alles gelb und rot. Dann die Aussage von ihm: " Hier sehen Sie, das macht alles der Trojaner". Der Bekannte sah das ja auch und schluckte. Der freundliche Mitarbeiter schlug vor, den Trojaner zu beseitigen. Mein Bekannter willigte ein. Im Hintergrund löschte der Mitarbeiter fleißig die persönlichen Daten auf Laufwerk C. Dann kam er zu den Zertifikaten. Auf einmal schlug die Stimmung um. Der Mitarbeiter sagte, dass er eine Raubkopie hätte und er jetzt die Polizei informieren würde. Zum Glück, war in diesem Moment der Akku vom Telefon alle. Er rief auch nicht mehr an.

 

Die interessante Zuordnung wäre aber IP zu Telefonnummer. Bei VOIP sicher irgendwie machbar...

 

 

Oh ja, er hatte VoIP. Das könnte ich mir auch vorstellen.

Dann bleibt noch anzumerken, dass er die Tage etwas schlecht geschlafen hat, da wir beide nicht wussten: Hat er nur gelöscht oder auch kopiert? Was macht er mit den evtl. kopierten Daten?

Leider waren dort von seiner Arbeitstelle einiges an Firmandaten drauf. (gaaaanz schlecht)

 

Das Internet ist ja voll mit diesen Meldungen. Man scheint wohl nur den Rechner unbrauchba zu machen und anschließend Geld fordern. Von nachfolgenden Erpressungen habe ich nichts gelesen.

[DocData 85]

Wie leichtgläubig viele Anwender immer noch sind... -.-

[RalphT 15]

 

Wie leichtgläubig viele Anwender immer noch sind... -.-

 

Ja, mag sein. Aber in diesem Fall stimmten die "Voraussetzungen". Er war am Tag vorher kräftig im Internet untewegs. Er hatte für sich bei zwei Portalen einen Account erstellt. Und anschließend rief dieser Betrüger an. Er hatte ja noch einen Zweifel und fragte am Telefon, woher er wissen sollte, dass derjenige wirklich von Microsoft ist. Darauf kam ja sofort dieses angebliche Zertifkat mit Logo. Dazu muss man noch sagen, dass er normaler Anwender ist. In diesem Fall passten leider die Voraussetzungen. Und genau diese Zielgruppe wird immer wieder darauf reinfallen.

[NeMiX 76]

Ja, mag sein. Aber in diesem Fall stimmten die "Voraussetzungen". Er war am Tag vorher kräftig im Internet untewegs. Er hatte für sich bei zwei Portalen einen Account erstellt. Und anschließend rief dieser Betrüger an. Er hatte ja noch einen Zweifel und fragte am Telefon, woher er wissen sollte, dass derjenige wirklich von Microsoft ist. Darauf kam ja sofort dieses angebliche Zertifkat mit Logo. Dazu muss man noch sagen, dass er normaler Anwender ist. In diesem Fall passten leider die Voraussetzungen. Und genau diese Zielgruppe wird immer wieder darauf reinfallen.

 

Nicht wenn man vorher die diversen Hinweise im Bekanntenkreis teilt das von MS niemals jemand anruft um mal eben einen Trojaner zu entfernen. Gibt da doch zig Hinweise.

In den USA ist diese Masche noch mehr verbreitet, da werden dann einfach Telefonnummern abtelefoniert und ohne Trojaner (das war bei dir ja anscheinend vorhanden) der Eventviewer abgegangen um dann per Remotetool zu "helfen".

Siehe: https://blog.malwarebytes.org/fraud-scam/2013/04/phone-scammers-call-the-wrong-guy-get-mad-and-trash-pc/

[tesso 375]

Der Trick kommt auch in Deutschland alle paar Jahre mal wieder hoch. Neu ist das nicht.