Fremd-Logins bei gmx

[andinaut]

Hallo zusammen,

bei meiner Freundin kommt es in letzter Zeit zu Logins bei zwei gmx-Konten, die zeitlich (mitten in der Nacht) nicht passen. Sie hatte sich wohl was bei nem verpassten Java-Update eingefangen. Schlafwandeln ist ausgeschlossen

Darauf hin haben wir erstmal Ihren Rechner auf den neusten Stand gebracht und ihr Passwort von meinem Rechner (=sauber ) aus geändert.

Trotz den allgemeinen Grundregeln bei PWs (Länge, Groß-/Kleinschreibung, Sonderzeichen) kam es bei einem ihrer Konten erneut zu einem Login zu einer dubiosen Uhrzeit.

Wie lange das schon ging, wissen wir nicht, da wir die Mails oft von Handys (auch sauber) aus abrufen und man dort den "letzten Login" nicht angezeigt bekommt.

Ist das Problem bekannt? Wenn ja, was kann man man dagegen tun?

Besten Dank für Eure Antworten,
Grüße
Andi

 

[sasdensas]

- Sind zu den Adressen andere E-Mail-Adressen hinterlegt? Da könnte die Adresse des Angreifers hinterlegt sein. Er klickt dann auf Passwort vergessen und erhält ne E-Mail an seine Adresse.
- könnte auch ein Keylogger am Start sein

 

[schmibu]

Loggt sie sich noch von anderen Geräten z. B. Smartphones ein oder ruft Mails damit ab?

 

[Yuuri]

Welches Problem? Da versucht einfach jemand sich einzuloggen. Gib mir deine Mail-Adresse und ich versuch es ebenso. Das Problem ist, dass die Mail-Adresse vorhanden und bekannt ist, mehr nicht.

 

[Wilhelm14]

Tatsächliche Logins oder rot markierte fehlgeschlagene? Es gab mal auf gmx Attacken, da hatten manche Konten mehrere hundert fehlgeschlagene Logins.

Wie lang ist das Passwort? Kann man es ergoogeln?

Vielleicht ist doch nicht alles sauber. Woher weißt du, dass das Telefon sauber ist? Speichert es vielleicht Konten als Backup auf Google (Android)? Vielleicht hat dort jemand Zugriff.

Hat sonst jemand Zugang zum Rechner?

 

[andinaut]

soderle, das war ja schon ne Megne Input, ich probiere es mal chronologisch

- Weitere Adressen sind bei gmx nicht hinterlegt gewesen - extra geschaut
- Keylogger scheidet hoffentlich aus: PW von meinem Rechner aus geändert, und am nächsten Vormittag war doch wieder ein Fremd-login geschehen. Dazwischen kein login-Versuch unsererseits.
- E-Mail Abruf auch vom Handy (Addroid) aber auch nicht in o.g. Zeitraum. Auch nicht per App, sondern "normal" über den Browser. Kein Google-Backup
- Eine der beiden Adressen ist nur 3 Leuten bekannt, da kommt noch nichtmals spam hin
- Es sind richtige Logins, keine Fehlgeschlagenen
- weitere Leute haben keinen Zugang zu dem Rechner

Ach ja, mich hat es auch erwischt (denke, es könnte daran liegen, dass ich mich mal von ihrem Rechner aus eingeloggt habe) Darauf hin habe ich mein PW ebenfalls von einem weiteren Rechner (bei der Arbeit) aus geändert, und auch da kam es dann zu einem weiteren Login (der definitiv nicht von mir war) :/

 

[sasdensas]

Zufällig offenes oder schlecht gesichertes WLAN? Stell mal im Smartphone eine verschlüsselte Verbindung ein (TLS oder SSL) und danach nochmal die Passwörter ändern und beobachten.

 

[schmibu]

Ich hatte auch immer so ein Phänomen, und habe andauernd mein Passwort geändert und immer länger und sicherer. Letztendlich lag es immer am Smartphone und der darauf installierten GMX-App...

 

[andinaut]

Danke nochmal für die Tipps.
WLAN ist via WPA2/PSK gesichert, SSID unsichtbar. Darüber hinaus mit MAC Filter.
Keine GMX-App installiert.

Wir halten die Augen nochmal offen.
Angenehmen Abend noch,
Andi

Ergänzung (11. April 2013)

Da ging ja fix.
Gestern Abend an meinem Rechner noch malwarebytes (oder wie es heißt. Hier unter den downloads zu finden) läusen lassen.
Full Scan, keine Funde.
PW bei meiner Freundin geändert.
Heute morgen war der nächste Fremd-Login.

Mal schauen, ob gmx da mehr zu zu sagen hat, als ne Standard-Antwort...

 

[Darlis]

Was passiert denn, wenn du auf "Passwort vergessen?" klickst? Wird das alte an eine anderes (kompromittiertes) Konto geschickt? Gibt es eine Sicherheitsabfrage, die du mal ändern solltest? Das Adressbuch im Konto kontrolliert? Liegen dubiose HTML-E-Mails im Postfach?

Um Keylogger & Co. auszuschließen, solltest du dir eine Linux-Live-CD besorgen, davon booten und dann das Passwort nochmal ändern. Gib' das neue Passwort nirgendwo sonst an.
Um ein kompromittiertes WLAN auszuschließen, deaktiviere das WLAN und benutze ein Kabel. Ändere dabei auch nochmal das Passwort und prüfe, ob die MAC-Sperre noch korrekt ist.