[Peter]

Betreff: Wichtige Information für unsere Kunden, "Manager v4"


Roubaix, den 25.01.2008


Sehr geehrte Kunden,

vielleicht haben Sie vor einigen Tagen auch eine E-Mail erhalten die vorgab, von OVH zu stammen, und Sie einlud, eine neue Version unseres Managers (v4) herunterzuladen.

Diese E-Mail stammt nicht von OVH und stellt einen Versuch dar, Ihren Computer zu hacken.

Wenn Sie diese Datei heruntergeladen haben, dann empfehlen wir Ihnen dringenst Ihr Antivirenprogramm auf den neuesten Stand zu bringen und eine vollständige Überprüfung Ihres Rechners durchzuführen.

Eine Diskussion auf unserem Forum wurde unter folgender Adresse gestartet, falls Sie Fragen zu dem Thema haben:
http://forum.ovh.de/showthread.php?p=16108

Mit freundlichen Grüssen,

Der OVH Kundendienst

[mathias]

Hi,

nur kurz zur Info: Das Thema wurde bzw. wird auch hier behandelt: http://forum.ovh.de/showthread.php?t=3051

Mathias

[sledge0303]

Warten wir ab was die Analyse von Octave ergibt.

[ThEWaTcHeR]

hehe ja hab ich.
Aber das war nur die Feststellung, dass ich keine Mail auf meine Adresse die im OVH Manager eingetragen ist bekommen habe.

[sledge0303]

Also ich hab es auf die Mail-Adresse bekommen, die hier im Forum registriert ist.

Du hast deine Mail ja freigegeben für die Forenteilnehmer. Man sollte erstmal sehen ob es jetzt endlich ein Ende hat mit diesen Mails.

[ThEWaTcHeR]

Also ich hab es auf die Mail-Adresse bekommen, die hier im Forum registriert ist.

[trueman]

Ich hab solche Mails zum Glück nicht bekommen.

Aber solchen Leuten sollte man .... ich wills gar nicht hier niederschreiben.

[sledge0303]

Das 'Abgreiftool' läuft wohl direkt im OVH-Manager?!

Du scheinst recht zu haben, die in dem Manager angegebene Mail hatte ich zwar woanders verwendet, doch die andere 'erhielt' auch diese Mail. Dieser Account wurde frisch eingerichtet...
Daher, ASAP Passwort ändern!

[Fritz]

kann ich bestätigen. Habe heute um 02:41 an meine 'gute Emailadresse' den Mist bekommen. Wie ist er an die Emailadressen gekommen? Das 'Abgreiftool' läuft wohl direkt im OVH-Manager?! Dann sollten alle ihr PW ändern, wenn das Abgreiftool gefunden und eliminiert wurde.

Gruß Fritz

[sledge0303]

Das Spielchen scheint anscheinend weiter zu gehen
Also, wer eine Mail mit einem diesem Link erhält weder Downloaden noch entpacken noch starten!!!
http://.../ovh/managerV4.zip
http://.../ovh/managerV41.zip

Das Programm sendet all Eure Passwörter zu einem sehr sehr sehr bösen Onkel.
Da scheint jemand sehr böse auf die Firma OVH zu sein...

[TF_SChw@rZl!cht]

ROFL ... nee oder?
Der kann sofort in die Liste der dümmsten Leute eingetragen werden ...

Nur um es nochmals zusammenzufassen:

Punkt 1:
Der hat nen Sharedhostingpaket und nen Dedizierten Server bei OVH.

Punkt 2:
Besagter Kunde schickt eine Flut von PishingMails raus um Passwörter von OVH-Kunden zu klauen, obwohl der Server und Webspace bei OVH selber steht?!!

Ich will hier keine Anleitungen oder Tipps geben aber wenn man so etwas macht, dann hostet man die Server doch nicht bei dem Provider den es betreffen soll.

Entweder ist es ein 13 Jähriger Scriptkiddy oder ein *mit Verlaub* extrem dummer Mensch -.-

ODER

Der Server wurde von unseren Koreanischen/Brasilianischen/Chinesischen *Freunden* übernommen und dafür verwendet.
Diese Theorie glaube ich aber ehr weniger, da oben genannte Personen sich ehr an Banken als an Provider interessieren.

Trotzdem freut es mich, dass dieser Person so schnell das Handwerk gelegt werden konnte!

[sledge0303]

Hi Peter,

wunderbar das diesem 'Kunden' so schnell das Handwerk gelegt wurde. Die Mails gingen höchstwahrscheinlich schon früher raus, siehe Headerauszug.

[Peter]

Hallo,

ja, ein belgischer "Kunde" von uns war dafür verantwortlich, es handelt sich bei dem Programm offensichtlich um ein Tool das Logins/Passwörter abgreifen und weitersenden soll. Die Webseite wurde auf einem 60GP gehostet und einer unserer dedizierten Server wurde zum Weiterleiten verwendet.
Die ersten Mails gingen wohl Heute gegen Mitternacht raus, um 00:20 hat ein französischer Kunde gemeldet dass ihm da was komisch vorkommt ... und ab 00:30 war die Seite schon nicht mehr online: "The requested URL /~xxxxxxxx/ was not found on this server." Da hatte dann Octave schon seine Axt ausgepackt...
Der dedizierte Server wurde ebenfalls geschlossen, wir sind derzeit bereits bei der Auswertung der Platten, Mails, IP-Adressen usw. und werden in diesem Fall natürlich Strafanzeige stellen.

Peter

[sledge0303]

Virenwarnung. Solltet ihr eine Mail erhalten mit Manager V4 als Subjekt, Absender , diese Mail nicht öffnen!!!


Headerauszug:

Mon, 21 Jan 2008 15:37:49 -0800 (PST)
Received: by 10.66.240.12...
Mon, 21 Jan 2008 15:37:49 -0800 (PST)
Return-Path: 
Received: from ns352299.ovh.net (ns352299.ovh.net [91.121.81.64])