Meine Nachbarin weiß, dass ich „irgendwas mit Computern“ mache. Vor einer Weile habe ich ihr Windows 11 Home – ein System, das Sicherheit ungefähr so ernst nimmt wie ihr Gartenzaun aus Buchsbaum – so weit zusammengestrichen, dass sie selbst nichts mehr installieren kann.
Dachte ich.
Firefox sah das anders. Dreizehn Adware-Erweiterungen, über Jahre wie Rabattmarken gesammelt, sorgten für Werbung – zuletzt aus dem Rotlichtsegment – und schließlich für das klassische Pop-up: „Ihr Computer ist kaputt. Rufen Sie sofort den Microsoft Support an.“ Berliner Nummer.
Panik. Onlinebanking läuft über den Rechner, die Enkel-Kontakte auch. In der Hektik ruft sie nicht mich an, sondern die Nummer auf dem Schirm. „Ich habe 4 Stunden mit einem Microsoft-Ingenieur telefoniert.“
Die Abzocker bringen sie dazu, Quick Assist zu starten. Zum Glück nur im Modus „Bildschirm ansehen“ – für die volle Steuerung hätte sie noch einmal klicken müssen. Hat sie nicht. Ihr Glück.
Die Angreifer sahen also alles, konnten aber nichts bedienen. Sie mussten ihr am Telefon diktieren, was sie tippen soll: Über den Ausführen-Dialog VNC nachinstallieren und per hh.exe – Microsofts signierte Hilfedatei-Anzeige – ein Skript aus dem Netz nachladen.
Was sie nicht bedacht hatten: Die Feststelltaste war aktiv. Und wenn man meiner Nachbarin „Punkt“ sagt, tippt sie konsequent einen Doppelpunkt. Das Ergebnis steht schwarz auf weiß in der Registry: HH:EXE WWW:VNCVIEWER:COM WWW:VNCVIEWER:COM MMMMMMMM
Die Angreifer erklärten, wurden lauter, erklärten sogar die Feststelltaste. Sie tippte weiter Doppelpunkte. Nach vier Stunden gaben die Gauner genervt auf und wollten am nächsten Morgen zurückrufen. Taten sie aber nicht – ihr kam das Ganze komisch vor – und sie rief mich an.
Forensik (Prefetch, BAM, Browserverlauf, Registry): Keine Schadsoftware. Kein neuer Dienst. Kein neues Konto. Nichts. Die dummen Vögel sind komplett an einer Feststelltaste und der Unfähigkeit gescheitert, einer Seniorin eine URL zu diktieren.
Trotzdem das volle Programm: Konten und Karten gesperrt, Strafanzeige, Passwörter geändert, Rechner plattgemacht und gehärtet neu aufgesetzt. Browser-Erweiterungen sind jetzt per Richtlinie dicht.
Was sagt uns das? Immer Standardbenutzer statt Admin. Browser-Erweiterungen per Richtlinie sperren – sie sind das Einfallstor, nicht das Pop-up.
Und ein Zettel am Telefon: „Microsoft ruft nie an. Wenn was komisch ist: auflegen und mich anrufen.“
Das Schlimmste für sie war aber die Scham. Ich hatte mindestens so viel Arbeit mit ihrem Seelenleben wie mit der Technik. Und den Möchtegern-Hackern wünsche ich ein PTBS namens CapsLock.
P.S. Hier noch die Telefonnummer in Berlin: 030 70012323 und die Hacker-Kampagne: getcubbie.com
