In einer Virtuellen Maschine gehackt worden - Auswirkungen?

[Iotis]

Sicher das das kein Spam ist? Sieht für mich zumindest danach aus.

 

[fixedwater]

In der Mail war auch noch eine .doc Datei mit einem Kündigungsschreiben inkl. Kontonummer, allerdings von einer Freundin.

Du solltest diese Freundin mal darüber informieren...

 

[SebastianK]

Fakemail --> Tonne.

 

[Tryptoff]

@fixedwater Selbstverständlich, ist schon geschehen!

Ja es ist kein Spam! Wie schon mehrmals gesagt sind die Dateien in den Anhängen von mir und der Screenshot von meinem Webbrowser ist auch echt! Sonst würde ich mich doch gar nicht so aufregen.

 

[Bobbie Draper]

Diese Mails landen bei mir automatisch im Spamfolder. Ich würde auf Phishing-Versuch tippen. Also zunächst Ruhe bewahren und Dir selber ein paar Fragen beantworten:

1) an welche EMail Adresse ging die Mail? Also, steht diese EMail Adresse tatsächlich mit den VMs in Verbindung? Falls nein: +1 für Phishing.
2) die Inhalte der Screen-Shots sehen nicht sehr einzigartig aus. Ist wirklich etwas dabei was nur von Deinem NAS kommen kann? Falls nein: +1 für Phishing
3) Hast Du denn eine kinky Fetish Bildersammlung? Falls nein: +1 für Phishing (und for the lolz, falls ja: send pixxs)
4) alles im Mailtext hört sich sehr generisch an und nicht nach etwas was nur auf Dich passt. Also ähnlich wie bei Frage 2: Ist wirklich etwas dabei was nur von Deinen VMs kommen kann? Falls nein: +1 für Phishing

Ich würde die Sache ja schon ab einem Punkt als Phishing abhaken.

Ergänzung (24. Februar 2020)

Ah, sehe gerade Deine Antwort:

Ja es ist kein Spam! Wie schon mehrmals gesagt sind die Dateien in den Anhängen von mir und der Screenshot von meinem Webbrowser ist auch echt! Sonst würde ich mich doch gar nicht so aufregen.

Wer hosted denn Deine VMs? Hast Du Dir die irgendwo geklickt und es ist "nur" der Hoster geknackt worden und jetzt bekommen alle Kunden diese Mail? Gibt es dort ein User-Forum? Kannst Du dort die anderen User nach dieser Mail fragen?

 

[Tryptoff]

@Bobbie Draper Leider sind alle Punkte nicht auf Phishing zutreffend. Die Mail Adresse ist quasi meine Spamadresse für unwichtige Seiten, also eine Mail die ich auch in der VM benutzt habe.

Die Screenshots die oben angehängt waren, waren ja nicht die einzigen Anhänge der Mail. In einem der Screenshots sieht man den Pfad zu meinem AppData Ordner, der ist korrekt und auch die Ordner darin sind alle korrekt. Außerdem sind wie schon gesagt noch weitere Anhänge mit Dateien von mir dabei, also leider auch hier kein Phishing...

Zum 3. Punkt: Naja, wie mans nimmt, für "normale" Menschen wohl ein klares Ja

Zur Frage 2: Ja, ganz klar Sachen von mir.

Edit: Ähm, die VMs laufen bei mir zuhause auf meinem Privaten PC. Das sind stinknormale VMware VMs.

 

[Wilhelm14]

eine Textdatei mit Passwörtern (belanglose Seiten), die .doc Datei, die 2 Screenshots die auch oben zu sehen sind sowie ein Screenshot von meinem Webbrowser.

Im ersten Beitrag schreibst du, dass es Screenshots vom Erpresser sind, die beweisen wollen, dass der Erpresser tatsächlich Zugriff hatte. Jetzt sind es welche von deinem Webbrowser.
Ist der Screenshot von "AppData" von dir erstellt oder vom Erpresser?
Ist es AppData von deinem Rechner oder der VM?
Die doc und die txt waren in der VM oder auf dem NAS?
Ich würde halt prüfen, wie weit der Erpresser tatsächlich Zugriff hatte. Oder ob er nur behauptet.

Antworten würde ich vorerst auch nicht. Wie andere sagten, weiß der Erpresser nicht, ob du die E-Mail überhaupt erhalten hast. Die VM würde ich komplett löschen. Laut Beitrag #1, letztem Satz, hört sich das so an, als sei die noch existent.

 

[BlubbsDE]

Ah, sehe gerade Deine Antwort:

Das stand auch schon im ersten Post...

 

[Tryptoff]

@Wilhelm14 Es sind 2 Screenshots von seinem Tool mit dem er auf mein System zugegriffen hat, quasi als Beweis. Als zusätzlicher Beweis war noch der besagte Browserscreenshot dabei. Den habe ich nicht gepostet, da nicht jugendfrei.
Der Screenshot vom AppData Ordner kommt vom Erpresser (aus seinem Hackertool) und das ist der AppData Ordner von meiner VM gewesen.
Die .doc und die Bilder stammen von meinem NAS Laufwerk. Die txt hat er erstellt mit einem Passwortauslesetool o.ä.
Also Zugriff hatte er definitiv, sonst wären diese Sachen nicht in seinem Besitz...
Die VM ist mittlerweile gelöscht!

 

[Bobbie Draper]

Dann scheint das dem ersten Lachtest standzuhalten. Also raus aus dem Internetforum und ab zur Polizei.

 

[Eishunter]

by the way - kann man von den Protkolldateien vom NAS nicht auslesen, wer oder welche IP, von einem NAS Daten ausliest - mal so in die Runde gefragt ?

 

[Tryptoff]

by the way - kann man von den Protkolldateien vom NAS nicht auslesen, wer oder welche IP, von einem NAS Daten ausliest - mal so in die Runde gefragt ?

Gute Frage. Und ob man es auch nachvollziehen kann wenn es in Windows über sein Zugriffstool war?

Polizei mache ich die Woche noch. Die Mail war vom 8. Februar und ich habs heute erst gesehen, also kommt es bestimmt nicht auf einen Tag mehr oder weniger an

Also das schlimmste was er haben !KÖNNTE! sind meine Perso-Daten, da ich davon Bilder gespeichert habe. Musste das mal zur Altersverifizierung wegschicken und natürlich lösche ich sowas nicht wieder... Aber wäre ich ein Erpresser und würde sowas haben dann hätte ich das direkt mitgeschickt

 

[Eishunter]

Polizei mache ich die Woche noch.

entweder heute noch oder morgen - nicht diese Woche

 

[purzelbär]

Es sind 2 Screenshots von seinem Tool mit dem er auf mein System zugegriffen hat, quasi als Beweis. Als zusätzlicher Beweis war noch der besagte Browserscreenshot dabei. Den habe ich nicht gepostet, da nicht jugendfrei.
Der Screenshot vom AppData Ordner kommt vom Erpresser (aus seinem Hackertool) und das ist der AppData Ordner von meiner VM gewesen.

Was überlegst du da noch? der Erpresser war mit einem Hacker Tool auf deinem PC und hatte Zugriff auf Dateien von dir. Von daher: antworte nicht auf seine Erpresser Mail, gehe zur Polizei(auch wenns nicht viel bringt)und dann machst du bitte eine Datensicherung und machst Windows inkl. Programme usw. komplett neu, das NAS auch sowie die VM's denn so einem System würde ich nicht mehr vertrauen wollen aus Schiß das irgendwo noch etwas ist von dem Hacker Tool. Meiner Meinung nach darf von deinem jetzigen Windows, NAS und VM nichts unberührt bleiben, sollte alles neu gemacht werden inkl. formatieren und löschen der Partitionen deiner PC Festplatte auf der Windows installiert ist.

 

[Eishunter]

und machst Windows inkl. Programme usw. komplett neu, das NAS auch sowie die VM's denn so einem System würde ich nicht mehr vertrauen wollen aus Schiß das irgendwo noch etwas ist von dem Hacker Tool.

ich bin davon ausgegangen, nach der VM-Installation hat der TE ein Backup der VM ertsellt.

 

[Tryptoff]

Ja, habs mittlerweile eingesehen, dass da nichts dran vorbei geht...
Zum Glück war es in der VM sonst hätte er noch viel mehr Daten und wichtige Passwörter von mir.
Du meinst es könnte über das NAS auch auf mein Hauptsystem (Host von der VM) was draufgekommen sein? Da habe ich schon einige Scans gemacht und es wurde nichts gefunden. In der VM war auch der Windows-Defender komplett aus, was mir natürlich nicht aufgefallen ist. Was aber ein Anzeichen dafür war, dass sein Tool aktiv war. Das hatte ich auf dem Haupt-PC nicht. Aber ich sehe es schon ein, wenn man zu 100% sicher sein will dann führt da wohl kein Weg dran vorbei...

Edit: Ja, ich habe regelmäßig Backups meiner VMs erstellt, eben falls da irgendwas kaputt gehen sollte. Das ist aber nicht das Problem, so eine VM erstelle ich mir in einer halben Stunde neu und das werde ich auch irgendwann machen. Die ganzen bisherigen VMs inkl. aller Backups sind komplett gelöscht.

 

[Eishunter]

In der VM war auch der Windows-Defender komplett aus,

schlecht immer anlassen, da der Defender der beste Scanner für Win10 ist

 

[purzelbär]

Wie oft denn noch? wenn du auf Nummer sicher gehen willst, machst du nicht nur das NAS und die VM's neu falls du wieder mit VM's arbeiten willst, sondern auch dein reguläres Windows mitsamt Programmen usw auf der Festplatte in deinem PC und dazu startest du das Windows 10 Installationsmedium und mit dem löscht du alle bisherigen Partitionen der Festplatte auf der Windows installiert ist und danach formatierst du nochmal die dadurch neu entstandene Partition auf der dann danach Windows 10 installiert wird. Und eine itte das NAS immer offline lassen als Datenträger für Backups dir wichtiger dateien und für Systembackups von Windows 10. das NAS nur einschalten bzw anschliessen wenn du Datensicherungen machst bzw mit einem Backup/Image Programm ein Systembackup von Windows 10 bzw von der gesamten PC Festplatte machen willst. Hast du kein solches Programm dann nimm zum beispiel Aomei Backupper das es als Promotion für 1 Jahr kostenlos in der Pro Version gibt: https://www.deskmodder.de/blog/2019/12/23/aomei-backupper-pro-kostenlos-fuer-euch/ Zitat von dort:

Dieses Angebot von AOMEI ist bis zum 8.August 2020 gültig.

obwohl für Heimanwender auch Aomei Backupper Standard: https://www.aomei.de/backup-software/ab-standard.html ausreicht.

da der Defender der beste Scanner für Win10 ist

Ach ja Eishunter, dann lies mal: https://www.computerbase.de/forum/t...gut-wie-sein-ruf.1916094/page-2#post-23771300 nein ich will Euch den Defender nicht madig machen, aber Schutz geht auch mit anderen Virenschutzlösungen die hier gerne als Schlangenöle betitelt werden. Letztendlich kommt es auch darauf an, wer vorm Monitor sitzt und wie derjenige mit seinem System umgeht.

 

[Tryptoff]

schlecht immer anlassen, da der Defender der beste Scanner für Win10 ist

War er ja auch, der Betrügertyp hat den vorher irgendwie ausgeschaltet so dass dort nur noch "Ihr Viren- und Bedrohungsschutz wird von ihrer Organisation verwaltet" stand.

@purzelbär Habs ja verstanden. Ich nutze mein NAS halt als klassichen Netzwerkspeicher.

 

[purzelbär]

Ich nutze mein NAS halt als klassichen Netzwerkspeicher.

Und dadurch ist es genauso angreifbar wie deine im PC verbaute Festplatte und Backups gehören auf eine Offline USB Festplatte oder Offline NAS sonst sind die nicht geschützt vor zum Beispiel Ransomware Trojaner die Dateien der User verschlüsseln und Lösegeld forden. Haste verstanden worauf ich aus bin?