Fälschungen und Tarnungen

von Fries Websolutions

Immer mehr dubiose Geschäftemacher ködern potenzielle Interessenten mit einer Email und locken in Massenmails mit falschen oder unkenntlich gemachten Webadressen. Da kommen allerlei Tricks zum Einsatz.

Nun schauen Sie sich diese tatsächlich verschickte Email an:

http://345k34j5h235235bklzu45634dgt435dtu435jfhjf4533ser654@ichunddu.tripod.com.co/chat.txt?sid=0203041D29580600441455D50410B

Diese ist ganz schön verworren, oder? Das sich dieser Geschäftemacher hinter einer Massen/Werbeprovider in Kolumbien versteckt hat, ist auch sonst noch mit einigem schlechten verbunden. Wenn man etwas genau hinschaut, erkennt ein "@"- und ein Fragezeichen innerhalb der überlangen Adresse. Hiermit werden einige Eigenheiten des Browser ausgenutzt. Denn tatsächlich ignoriert ein Browser alles, was er vor einem "@"-Zeichen innerhalb einer URL findet und so könnten zum Beispiel auch sie diese Adresse verwenden:

http://yahoo.de@htmlopen.de

Dachten Sie etwa sie landen etwa bei Yahoo, nein Sie sind bei uns.
Aber, wo bin ich?

Aber genau anders herum läuft es mit allem, wo man das Fragezeichen sehen kann. Denn der Browser ignoriert diese Zeichen, aber Logfiles registrieren solche Zusatzangaben, so kann man sich das zunutze machen, um den Besucher zu identifizieren. Der Spammer schafft es somit festzustellen, welche seiner unzähligen Mails zu einem Treffer führten. Nun weiß er genau, wer ihn besucht hat, auf seiner Seite.

Diese Adresse führt auch nur zur Startseite, aber nicht nach yahoo.

http://htmlopen.de?www.yahoo.com

Aber genau diese Methoden werden dazu missbraucht, dem Empfänger diese gefälschte Seiten unterzuschieben. Auch eine URL wie diese

http://htmlopen.de/websitederwoche.shtml?www.yahoo.de

ist für den Internet- Surfer nicht einmal ungewöhnlich, wird sie nun noch im typischen Yahoo-Design gestaltet, das lässt sich ruckzuck kopieren und die Täuschung ist perfekt. So funktioniert die Version mit den "@"-Zeichen:

http://www.yahoo.de@htmlopen.de/websitederwoche.shtml

Wenn Sie wollen, können Sie beide URLs anklicken und selber nachsehen.

Aber damit sind noch nicht alle Möglichkeiten ausgeschöpft, denn es geht noch raffinierter zu:

http://www.yahoo.de@3586539821/websitederwoche.shtml

Da ist nun wirklich gar nichts mehr von der eigentlichen Web-Adresse zu erkennen,oder? Es wurde eine so genannte Long-IP benutzt, aus der Zahl 3586539821.hierbei handelt es sich um eine verschlüsselte IP Adresse, sie wurde durch die Umrechnung aus 213.198.65.45 erhalten.

Im Net gibt es Skripte, welche die Umrechnung vornehmen können. Dabei ist eine fertige Installation ist im Web verfügbar.

Aber, ob das obige Beispiel tatsächlich funktioniert, hängt von den Sicherheitseinstellungen des jeweiligen Browser ab. Komischerweise ließ unser IE 6 die Adresse nicht passieren, aber Opera 7 und Firebird allerdings schon.

Wenn Sie Mails bekommen, denen URLs mit längeren Ziffernfolgen, "@"- und Fragezeichen folgen, ist eine gesunde Portion Skepsis besser..