Alle Passwörter geändert?

tl;dr: Bekommt man eine Mail vom T-Online-Sicherheitsteam, dass der Account für Spam missbraucht wird, darf nicht nur das Passwort für den Webmailer sondern muss auch das zweite für die Nutzung von POP3/IMAP/SMTP geändert werden.

Einer meiner Kunden war eine Spamschleuder.

Freundlicherweise hat die T-Online bzw. die Telekom das gemerkt und eine Mail geschrieben. Darin wird empfohlen, den Rechner nach Malware zu durchsuchen und alle Passwörter zu ändern. So weit so gut. Allerdings war es nicht das erste Mal, dass diese Warnmail gekommen ist.

Also den Rechner gecheckt. Avira, Malwarebytes und Avast fand nix. Auch Spybot Search & Destroy fand nichts. In Currports und Process Explorer war auch nichts zu sehen. Gut, muss nichts bedeuten – wenn ein Rootkit im Spiel ist, fliegt der Krempel unterm Radar.

Laut Kunde kamen vor ein paar Tagen auch einige nicht zuordenbare Zustellungsfehler-Mails. Wie üblich ist auch die Originalmail dabei – einmal eine Fedex-Paketzustellungsmail und das andere mal für einen amerikanischen Internetfax-Provider.

Die Links führen auf eine gehackte WordPress-Installation, dann auf eine kryptische Domain – weiter habe ich den Weg nicht verfolgt.

Interessanter waren da die Mailheader, die Details über den Versand zeigen. Absendezeitpunkt, Hostname und IP des Absenders und das verwendete Mailprogramm.

Nichts passte:

  • Zu dem Zeitpunkt war nach Windows Event Log der PC aus
  • Hostname stimmte nicht zum PC und die IP (Logs vom Router) wurde zum Versendezeitpunkt nicht dem Anschluss zugeordnet – und war auch in einem völlig anderem Range. Geotrace spuckte – wenn man dem nach einer guten Woche nach Versand noch trauen darf – die Westküste der USA aus
  • Als Mailclient war „iPhone Mail“ gesetzt

Gut, der letzte Punkt ist schwach, die anderen deuten sehr stark darauf hin, dass der PC nicht am Spamversand beteiligt war.

Was dann sonst? Schließlich hat mein Kunde lt. eigenen Angaben das Passwort seines Mailaccounts geändert. Das Passwort? Hier liegt der Hund begragen: Bei T-Online-Mailaccounts gibt es zwei Passwörter. Eines für den Webmailer, das man in den dortigen Einstellungen ändern kann (was auch gemacht wurde) und ein zweites für die Nutzung eines lokalen Mailclients. Um dieses Passwort zu ändern, muss in das Kundencenter gewechselt werden.

Dort kann man das Passwort nicht nur ändern, sondern auch einsehen. Einsehen? Einsehen. Es wird also an mindestens einer Stelle im Klartext gespeichert. Nach diversen Datenlecks sollte man eigentlich wissen, dass man das nicht macht…

Das Problem sollte mit dem zweiten geänderten Passwort wohl behoben sein. Wie die Mailadressen-Passwort-Kombination in die Hände von Spammern gelang, konnte ich leider nicht verfolgen, allerdings hat mein Kunde für viele Dienste das gleiche Passwort verwendet. Vermutlich war das das Einfallstor – Identitätsdiebstahl.

Da das sicher nicht der einzige Fall für einen T-Online-Mail-Benutzer war, habe ich das Sicherheitsteam (abuse@) angeschrieben. Zunächst wurde mein Hinweis anscheinend nicht richtig verstanden, da nach den Mailheadern einer der zurückgekommenen Mails gefragt wurde. Auf meine Antwort, dass „alle“ Passwörter geändert werden sollen (in Bezug auf alle Passwörter eines Dienstes), was von den meisten als „alle Passwörter“ der verschiedenen genutzten Dienste missverstanden wird.

Leider habe ich bis jetzt keine Antwort mehr bekommen.

Im Spamfilter ist zumindest nichts hängen geblieben.