Telekom Warnung

[SSD1TB]

Hallo, ich habe einen Brief von der Telekom bekommen, meinem Internetprovider:
Eines oder mehrere Endgeräte in Ihrem Netzwerk, wie etwa Smartphones oder Computer, sind möglicherweise mit Schadsoftware infiziert. Welches Ihrer Endgeräte betroffen ist, können wir nicht prüfen.

Bitte überprüfen Sie alle Geräte in Ihrem Netzwerk mit einem Virenscanner und stellen Sie sicher, dass alle Endgeräte mit den neuesten Betriebssystemen ausgestattet sind.

Folgende Informationen zu dem Sachverhalt haben wir für Sie:
Zeitpunkt: 03.03.2025 06:45:20 MEZ
Infektion: sunburst

Der Zeitpunkt war einige Minuten nachdem ich den Rechner eingeschaltet habe.
Nur ein Laptop mit WIN 11.
Habe den Rechner mit dem WIN 11 internen Defender überprüft und mit dem Tool HitmanPro.
Diese haben keine Malware gefunden.
Wäre es am Besten ein Tool zu nutzen welches direkt von einem USB Stick bootet oder habt ihr Tipps wie ich prüfen kann ob ich
einen Virus, Backdoor oder was ich immer auf dem Rechner habe?
Habe bei der Telekom nachgefragt was denn nun genau von meinem Rechner aus passiert sein soll, habe aber nur eine Standard-Mail bekommen.

Thanks und schönen Freitag Abend.

 

[Nordwind2000]

Die Telekom verschickt Briefe, wenn man ein Gerät mit Malware-Probleme hat?

Wie erkennen die das?

 

[Alexander2]

Oh wow machen die Betrüger jetzt auch schon Phishing per Brief?

 

[kachiri]

@Nordwind2000
@Alexander2

https://www.telekom.com/de/konzern/...hinweise-auf-sicherheitsrisiken-ernst-1060716

 

[BFF]

Echt jetzt? Und dann als Ausloeser Sunburst? Oh Boy/Girl.
Das Ding ist eigentlich alt.

https://cloud.google.com/blog/topics/threat-intelligence/sunburst-additional-technical-details

Wie erkennen die das?

Wegen der Nutzung von Ports und anderem auffaelligem Verhalten aus dem Netz des TE.
Wegen nix verschick der Rosa Riese nix per Post.

 

[Alexander2]

habe aber nur eine Standard-Mail bekommen.

da wird ja wohl dann drinstehen was man machen kann.

 

[n/a]

Hatte ich eine Zeit lang auch mal. Das lag daran, dass ein drittes Gerät (Smartphone), welches mit dem Wlan-Gastzugang verbunden war, eine Sicherheitslücke hatte.

 

[Redundanz]

die telekom verschickt auch teils briefe bei fehlkonfigurationen und offenen ports, die eigentlich nur im local area network was zu suchen haben. das ist jedenfalls in der regel authentische post.

 

[BFF]

Steht auch. Pruefen. @Alexander2
Am Ende bedeutet es vermutlich platt machen wenn man den Ausloeser nicht kennt.
Alles. Also PC und Telefone.

@SSD1TB
Hast Du Dir irgendeine Fernwartung rein gezogen?

 

[Djura]

Moin,

sowas ähnliches habe ich per Mail von Vodafone? bekommen, siehe Screenshot. Klickt man aufn Link, dann sind da zwei Eingabefelder übereinander. Im ersten oben ist bereits wohl die Ticket-ID eingetragen und im zweiten sollte man seine Postleitzahl angeben. Naja, ich halte die Mail für ein Fake.

 

[n/a]

das ist jedenfalls in der regel authentische post.

Ist es auch, mit an Sicherheit grenzender Wahrscheinlichkeit, besteht (oder bestand) auch tatsächlich eine Sicherheitslücke.

 

[Kristatos]

@Nordwind2000 Ja, machen die tatsächlich manchmal. Allerdings keine Ahnung, wie das erkannt wird.

Sunburst habe ich nachgesehen, dies betraf vor einigen Jahren eine (teure) Sicherheitssoftware für Unternehmen von Solarwinds. Sonst findet man nichts. Das ist alt, betrifft keine privaten Rechner und dürfte längst behoben sein.

@SSD1TB Es gibt diverse Rescue CDs von den Antivirus-Herstellern (AVG, Avira, Norton, F-Secure etc.), die kann man auf einen bootfähigen USB Stick kopieren z.B. mit Rufus oder BalenaEtcher etc. .

 

[shadowworld]

Das sollte man wirklich ernst nehmen, die verschicken das nicht aus Spaß. Irgendwas an Deinem Anschluss scheint infiziert. Gibt es Smartphones, (alte) Tablets, ein altes Notebook? Einen Nachbarn, der Dein WLAN nutzt (legal oder illegal, mal im Router nachschauen, wieviel bekannte Geräte es gibt (die auch online sind/waren))?

 

[BFF]

Nur hier war es offiziele Briefpost von der Telekom. @Djura
Die verschicken das nur wenn wirklich, nach deren Meinung, Kacke am dampfen ist.

Ergänzung (7. März 2025)

Das ist alt, betrifft keine privaten Rechner und dürfte längst behoben sein.

Was nicht heisst, das ein irgendwer das wieder ausgebuddelt hat und benutzt. Oder was Neueres selbiges Verhalten zeigt.

 

[Helge01]

Wie erkennen die das?

Es gibt Sicherheitsunternehmen wie Shadowserver.org oder AnubisNetworks die eine "Sinkhole" betreiben. Es werden z.B. bösartige Domains übernommen und die Anfragen zu diesen ausgewertet. Anschließend wird die Quell IP-Adressen dem entsprechenden Provider mitgeteilt (die Unternehmen kennen ja nicht den Eigentümer dieser IP-Adresse). Der Provider schaut in seinen Daten nach wer um diese Uhrzeit/Datum diese IP-Adresse hatte und informiert diesen Kunden. Leider machen das nicht alle Provider, die Telekom und Vodafone aber schon.

@Djura Würde ich ernst nehmen.

 

[Bully49]

Tja, das ist ja ein Ding. Telekom schickt mir auch mal gelegentlich solche Warnungen. Ich ignoriere sie einfach. Ob das richtig ist oder nicht, kann ich das nicht sagen. Bis heute bin ich heil geblieben ...

Einzig was ich erwähnen muss, ich bekomme öfters Mails von einem Bekannten, der schon vor 7 Jahren verstorben ist! Selbstverständlich habe ich diese Mails überhaupt nicht geantwortet ... Allein mit dem Phishings/Spam verdacht reichts mir schon.

 

[n/a]

Falls es sich um ein Android-Gerät handeln sollte, deinstalliere alle dubiosen Apps, und aktualisiere alles (Apps, App-Store/Play Store und das OS (möglicherweise auch mehrmals)).

Einen Windows Laptop kannst du eigentlich nur platt machen und danach auch die Firmware aktualisieren.

 

[shadowworld]

Wie erkennen die das?

Die Telekom betreibt Firewall Router, die den Traffic filtern und durchsieben, daher fällt das auf. Die Provider können ganz genau sehen, was man an seinem Anschluss macht und wofür der Traffic genutzt wird

 

[SSD1TB]

@BFF, nein habe keine Fernwartung gemacht.
@shadowworld: Ich habe WLAN aus, bzw. nutze das nur sehr selten bei Bedarf.

 

[n/a]

@SSD1TB nutzt du zufällig (edit so eine Software https://www.security-insider.de/was-sind-sunburst-und-supernova-a-a51d54e7fb673d48a3b2f6fa131e662b/