Viruswarnung: Telekom E-Mail mit Betreff „Ihre Telekom Festnetz-Rechnung Februar 2019“ ist Spam

Seit Februar 2018 tauchen massenhaft gefälschte Telekom-Rechnungen per E-Mail auf. Diese enthalten einen Virus. Angeblich erhalten Sie Ihre Festnetzrechnung oder Mobilfunk-Rechnung von der Telekom. Doch wer den Anhang öffnet oder den Link anklickt, holt sich einen gefährlichen Virus auf den Computer. Wir erklären, wie die gefälschte Rechnung im Namen der Telekom aussieht und woran Sie echte Telekom-Benachrichtigungen erkennen.

Kriminelle missbrauchen den Markennamen Deutsche Telekom und die Logos des Telekommunikationsriesen sehr gerne, um gefälschte E-Mails zu versenden. Häufig möchten die Betrüger nur die Zugangsdaten zu Telekom-Diensten ausspähen. So haben wir beispielsweise vor den E-Mails gewarnt, die die Sperrung der T-Online-Adresse ankündigen oder um eine Aktualisierung des E-Mail-Kontos bitten.

Doch auch Viren und Trojaner werden über die gefälschten E-Mails im Namen der Telekom verbreitet. Zuletzt haben wir vor den gefälschten Telekom-Mahnungen gewarnt. Aktuell befindet sich in vielen Postfächern eine E-Mail mit einem besonders hohem Gefahrenpotenzial. In dieser Nachricht geht es angeblich um Ihre Festnetz-Rechnung von der Deutschen Telekom AG. Die Deutsche Telekom AG ist allerdings nicht der Versender der Nachricht. Das Unternehmen ist durch den Missbrauch des Namens geschädigt.

Update 10.12.2018 Die gefälschten E-Mails wurden in Bezug auf das Design ab Anfang Januar deutlich verbessert. Außerdem wird jetzt wieder ein Link verwendet, über den die schädliche Datei heruntergeladen wird.

So sieht die gefälschte Rechnung im Namen der Deutschen Telekom aus

Mittlerweile gibt es verschiedene Versionen der Benachrichtigungen für eine angebliche Telekom-Rechnung. Einige sind als typische Spam-Nachricht auf den ersten Blick nicht zu erkennen. Hier haben die Kriminellen ganze Arbeit geleistet. Als Absender der gefälschten TelekomRechnungen lesen Sie Deutsche Telekom AG, Telekom Leiter Kundenservice oder Telekom Deutschland. Wer sich die E-Mail-Adresse des Absenders ansieht, könnte schnell stutzig werden, denn dort steht eine beliebige E-Mail-Adresse, die nichts mit der Telekom zu tun hat. Doch es gibt auch Spam-Mails, die eigentlich recht schnell als Betrug erkennbar sind. Folgende Versionen der gefälschten Telekom-Mails sind uns bisher bekannt:

Folgende Absendernamen werden verwendet:

• Deutsche Telekom AG
• Kundenservice Rechnungonline Telekom
• [email protected]
• Telekom
• Telekom Deutschland GmbH
• Telekom Leiter Kundenservice
• Telekom Deutschland GmbH {NoReply}
• Kundenservice Rechnungonline Telekom <[email protected]>
• Telekom <[email protected]>
• Telekom Deutschland
• Telekom Deutschland <[email protected]>

Diese Betreffzeilen sind zu lesen:

• Abrechnung Monat_03_2018 (Buchungs- Konto: …)
• Ihre Telekom Festnetz-Rechnung März 2018 (Buchungskonto: 8735540576)
• RechnungOnline für Buchungskonto 3993871487, März 2018
• Rechnung Nr. … vom März 2018 Kdn …
• RechnungOnline März 2018 – Buchungsaccount: …
• RechnungOnline 03.2018 (Konto: 0 )
• Ihre Rechnung 367420238642 vom November 2018
• RechnungOnline, Abrechnung für November 2018 (Konto: 0539739803)
• RechnungOnline 11/2018 für das Konto 0828490569
• Ihre Telekom Mobilfunk RechnungOnline Monat November 2018 (Nr. 416596370206982)
• RechnungOnline Dezember 2018 (Buchungs-Kto.: 2945260486)
• Abrechnung Monat_12_2018 (Buchungs- Konto: 7916936653)
• RechnungOnline, Abrechnung für Dezember 2018 (Konto: 9741502095)
• Ihre Telekom RechnungOnline November 2018
• Rechnung Dezember 2018 Nr.: 091741697
• Ihre Telekom Mobilfunk RechnungOnline Monat Dezember 2018 (Nr. 261431762633040)
• Ihre Rechnung 332092272114 vom Dezember 2018
• RechnungOnline Monat Dezember 2018 (Buchungskonto: 7477382964)
• RechnungOnline für Buchungskonto 8735769134, Abr. 01.2019
• Neue Mobilfunk-Rechnung LQ31801699807304
• RechnungOnline Monat Januar 2019 (Buchungskonto: 9355803611)
• RechnungOnline, Abrechnung für Januar 2019 (Konto: 3766299600)
• Ihre Telekom Dezember 2018 Rechnung
• Ihre Telekom Rechnung Januar 2019 (Buchungskonto: 2069036493)
• Ihre Telekom Rechnung 01 2019 (Buchungskonto: 4567834725)
• Rechnung Nr. 6032938891 vom Januar 2019 Kdn
• Ihre Telekom RechnungOnline Januar 2019
• Telekom 01 2019 Rechnung
• Ihre Telekom Festnetz-Rechnung Februar 2019
• RechnungOnline 02/2019 für das Konto 7084200124

Anhang:

Die E-Mails enthalten beispielsweise folgende Dateien im Anhang, die alle auf unterschiedliche Weise schädlich sind.

• Rechnung_2019_02_7181033346.pdf (30,4 kB)
• Rechnung_2019_02_7084200124.pdf (39,9 kB)
• Rechnung_2019_02_5758956544.pdf (28,1 kB)

 

Da die E-Mails teils eine vermeintliche Buchungskontonummer im Betreff enthalten und mit Namen und Vornamen des Empfängers korrekt personalisiert sind, könnten vor allem Telekom-Kunden schnell darauf reinfallen. Wir warnen:

Wer den Link anklickt, lädt sich einen gefährlichen Virus auf seinen Computer. Das gleiche gilt für die Versionen der E-Mail, in denen der Virus im Anhang mitgesendet wird. Klicken Sie die Datei im Anhang nicht an, da Sie dadurch den Virus aktivieren.

Es gibt einige Merkmale, anhand derer Sie echte Rechnungen der Telekom von Fälschungen selbst unterscheiden können. Sehen Sie sich dazu unseren Ratgeber „Ist die Telekom Rechnung per E-Mail echt?“ an.

Telekom-Rechnung mit PDF-Datei im Anhang

Update 20.02.2019 Viele Empfänger der gefälschten Rechnungen im Namen der Deutschen Telekom sind verunsichert. In neueren Versionen befindet sich im Anhang eine PDF-Datei. Uns erreichen viele Anfragen, ob diese Datei schädlich ist. Wir können an dieser Stelle sagen, dass Sie nicht ganz sauber ist und wir deshalb vom Öffnen der Datei abraten. Die echte Gefahr steckt allerdings erst im Text der PDF-Datei. Darin befindet sich der Link zu der schädlichen Datei. Wenn Sie diesen Link anklicken, wird die Schadsoftware heruntergeladen.

Kurz. Das Öffnen der PDF-Datei ist nach bisherigen Erkenntnissen nicht schädlich.

Durch den Umweg über die PDF-Datei ist der schädliche Link oder sogar die Malware für Virenscanner schlechter erkennbar. Dadurch können sich die gefälschten E-Mails deutlich stärker verbreiten. Eine vergleichbare Vorgehensweise haben Spamer bei gefälschten E-Mails im Namen von Apple angewendet.

Virus wird bei Klick auf den Link automatisch geladen

Besonders gefährlich ist, dass der Trojaner nach einem Klick auf den Link, der angeblich zu der Telekom-Rechnung führen soll, automatisch heruntergeladen wird. Es gibt in der Regel keine weitere Abfrage. Heruntergeladen wird eine Javascript-Datei oder eine ZIP-Datei mit dem Namen „Telekom_2017_04rechnung_“ und einer beliebigen Ziffernkombination. Enthalten ist in dieser Datei eine Schadsoftware, die beispielsweise unter dem Namen HEUR:Trojan-Downloader.Script.Generic bekannt ist.

Der Download der Datei ist noch nicht schädlich. Aktiviert wird der Virus erst, wenn Sie versuchen die JS-Datei zu öffnen. Klicken Sie die heruntergeladene Javascript-Datei auf keinem Fall an und öffnen Sie auch die ZIP-Datei nicht. Sollten Sie die Datei heruntergeladen haben, empfehlen wir Ihnen, diese sofort zu löschen. Standardmäßig wird die Datei im Ordner „Downloads“ gespeichert. Die Datei enthält keine Telekom-Rechnung.

Malware im Anhang ist auch gefährlich

Einige Versionen der E-Mail werden mit einem Anhang in Form einer Word- oder Excel-Datei versendet. Darin befindet sich ein sogenannter Makro-Virus. Deshalb dürfen Sie den Anhang auf keinen Fall öffnen. Die Telekom würde niemals eine Word-Datei oder ein ZIP-File als Rechnung versenden.

Welche Gefahr geht von dem Trojaner aus

Leider lässt sich derzeit noch nicht vorhersagen, welchen Schaden der Trojaner anrichtet. Allerdings hat die Schadsoftware die Eigenschaft, dass sie weitere Malware herunterladen und ohne zutun des Nutzers installieren kann. Das ist sehr gefährlich, da auf diese Weise im Grunde die Kriminellen allein entscheiden, wozu Ihr Computer verwendet wird.

Denkbar und sehr wahrscheinlich ist, dass über den Trojaner Ransomware auf Ihren Computer geladen wird. Die auch als Erpressungstrojaner bekannte Malware verschlüsselt den Inhalt Ihrer Festplatte und sorgt dafür, dass der Computer unbrauchbar wird. Anschließend wird ein Lösegeld gefordert, um wieder an die Daten ran zu kommen. Möglich ist es aber auch, dass die Kriminellen die Kontrolle über Ihren Computer übernehmen, weitere Virus-E-Mails in Ihrem Namen versenden oder Passwörter und Zugangsdaten ausspähen.

Welche Betriebssysteme sind betroffen?

Nach allen bisher bekannten Informationen ist der Virus nur für Computer mit dem Betriebssystem Windows gefährlich. Dennoch raten wir davon ab, die Datei auf einem Smartphone oder einem Mac zu öffnen. Viren und Trojaner entwickeln sich ständig weiter und es ist denkbar, dass die Kriminellen über die infizierte URL verschiedene Schadsoftware zur Verfügung stellen.

Bisher ist jedoch keine Infektion eines Android-Smartphones, iPhones, iPads oder eines Mac durch diese E-Mail bekannt.

Telekom-Virus geöffnet – und nun?

Wie schon erwähnt, ist der reine Download noch unproblematisch. Auch der Klick auf den Link führt nach unseren Erkenntnissen zu keiner Infektion, wenn die Datei nicht heruntergeladen werden konnte. Haben Sie die Javascript-Datei auf Ihrem Windows-PC angeklickt und damit geöffnet, ist der Virus wahrscheinlich aktiv. Das Problem: Sie erkennen das selbst zunächst nicht, da die Schadsoftware im Hintergrund arbeitet.

Wir raten nach dem Öffnen der Javascript-Datei zu folgenden Vorsichtsmaßnahmen:

• Schalten Sie den Computer so schnell wie möglich aus.
• Lassen Sie von einem Spezialisten die Daten sichern und den Virus entfernen.
• Ändern Sie die Passwörter für alle Onlinedienste, die Sie nach dem Anklicken der Datei genutzt haben oder die auf dem Windows-Computer installiert sind.
• Wenn Sie geschädigt wurden, sollten Sie zudem Strafanzeige bei der Polizei erstatten.

Aus Erfahrung wissen wir, dass der Virus sich über das lokale Netzwerk (LAN/WLAN) auf andere Computer übertragen kann. Deshalb sind besondere Vorsichtsmaßnahmen nötig. Falls Sie den Virus selbst entfernen oder den PC noch einmal einschalten möchten, sollten Sie unbedingt darauf achten, dass keine Verbindung zum Netzwerk beziehungsweise Internet besteht.

Telekom Spam Mail 2018: Kann ich die Telekom-Rechnung melden?

Ja, neue gefälschte E-Mails im Namen der Deutschen Telekom AG können Sie an [email protected] weiterleiten. Zusätzlich empfehlen wir auch eine Weiterleitung an [email protected], damit wir andere Nutzer vor der Gefahr warnen können.

Haben Sie Erfahrungen mit dem Virus aus der Fake-Telekom-Rechnung?

Bitte nutzen Sie die Kommentare unter dem Artikel, um mit anderen Lesern über den Trojaner zu diskutieren, der im Namen der Telekom als angebliche Festnetz-Rechnung versendet wird. Falls Sie in unserem Artikel keine Antwort auf Ihre Frage finden, können Sie diese ebenfalls in den Kommentaren unter dem Artikel stellen.

Übrigens: Diese Virus-Mail hat große Ähnlichkeit mit der unlängst im Namen von DHL versendeten Spam-E-Mails, die einen vergleichbaren Virus enthielt. Was meinen Sie?