Fake-Bestellbestätigung führt zu Schadsoftware

↳ Themenbereich: Malware erkennen – Hintergründe, typische Muster und weitere Analysen.

Was nach dem Klick passiert

Diese Screenshots zeigen die nächsten Schritte des Betrugs — etwa die gefälschte Anmeldeseite oder das Formular zur Datenabfrage. Wer hier Daten eingibt, gibt sie direkt an die Täter.

Auf der Folgeseite scheint eine "Zusammenfassung der Bestellung" auf, die dazu verleitet, auf den Button "Bestelldetails herunterladen" zu klicken

Wortlaut der Nachricht

Bestellbestätigung #2607290DOB344 Michael Bauer | Bestellservice Extern 29. Juli 2026, 23:04 An : [verdeckt] Sehr geehrte Kunden von Michael Bauer Versanddienste, wir bestätigen hiermit, dass Ihre Bestellung, die mit der E-Mail-Adresse [verdeckt] verknüpft ist, eingegangen ist und derzeit bearbeitet wird. Hier sind die Details Ihrer Anfrage: Bestellnummer: KV- 528654 Bestelldatum: 21:03:56 29/07/2026 Gesamtbetrag: 568,25 € Status: Bestätigt und in Bearbeitung Sie können die vollständige Übersicht der Artikel und Versanddetails über den folgenden Link einsehen: https://sites.google.com/view/lieferuebersicht-bauer Vielen Dank für Ihre Bestellung. Mit freundlichen Grüßen, Das Team der Michael Bauer Versanddienste

Fake! Die E-Mail gibt vor, eine Bestellung bei Michael Bauer Versanddienste über 568,25 Euro zu bestätigen. Ziel ist es, Empfänger auf eine Google Sites Seite zu locken, auf der ein Download der angeblichen Bestelldetails angeboten wird. Klicken Sie nicht auf den Link und laden Sie keine Datei herunter.

Warum es Fake ist

Der Absender nutzt die Domain insermind.com.pe und keine erkennbare offizielle Adresse im Zusammenhang mit „Michael Bauer Versanddienste“.
Die Nachricht behauptet eine konkrete Bestellung über 568,25 Euro, ohne dass ein nachvollziehbarer Kundenbezug sichtbar ist.
Die angeblich bestellten Artikel werden in der E-Mail nicht genannt.
Die Anrede „Sehr geehrte Kunden“ ist unpersönlich und passt nicht zu einer konkreten Bestellbestätigung.
Die Folgeseite imitiert eine Bestellverwaltung von „Michael Bauer Versanddienste“, liegt aber auf einer frei erstellbaren Google-Sites-Seite.
Diese Google-Seite trägt im Seitentitel unpassenderweise "Thomas Fischer Logistik".
Auf der Folgeseite wird ein Button „Bestelldetails herunterladen“ angezeigt, statt die angeblichen Bestelldaten direkt darzustellen.
Die Folgeseite betont Begriffe wie „verschlüsselt“, „vertraulich“ und „Bereit zum Download“, um Vertrauen in den Dateidownload aufzubauen.
Der Download wird über den Kurzlink iffii.com/de229 weitergeleitet. - Je nach Browser und Einstellung kann der Download automatisch gestartet werden.
Heruntergeladen wird die Datei Invoice-6317.vhdx und keine PDF-Datei oder Rechnung, eine VHDX-Datei ist ein virtuelles Festplattenabbild und kein übliches Format für Bestellbestätigungen.
Die Datei ist mit rund 71 Megabyte ungewöhnlich groß für angebliche Bestelldetails.
Im VHDX-Abbild befindet sich die ausführbare Windows-Datei Invoice.pdf.exe, die doppelte Dateiendung soll eine PDF-Datei vortäuschen.
Zusätzlich befindet sich die verdächtige Datei uxtheme.dll im selben Abbild.
Die Kombination aus Invoice.pdf.exe und uxtheme.dll deutet auf DLL-Sideloading und damit auf die Ausführung von Schadcode hin.

Handlungstipps

Klicken Sie den Link in der angeblichen Nachricht von Michael Bauer nicht an.
Laden Sie über die Google-Sites-Seite keine „Bestelldetails“ oder andere Dateien herunter.
Brechen Sie einen automatisch gestarteten Download nach Möglichkeit sofort ab.
Öffnen Sie die Datei Invoice-6317.vhdx nicht.
Binden Sie die VHDX-Datei unter Windows nicht als virtuelles Laufwerk ein.
Starten Sie die Datei Invoice.pdf.exe nicht.
Öffnen Sie auch keine anderen Dateien aus dem virtuellen Laufwerk.
Prüfen Sie eine angebliche Bestellung nur über offizielle und unabhängig aufgerufene Kontaktwege des jeweiligen Händlers.
Falls die Datei nur heruntergeladen, aber nicht geöffnet wurde, löschen Sie sie und leeren Sie anschließend den Papierkorb.
Ein bloßer Download bedeutet in der Regel noch nicht, dass die Schadsoftware ausgeführt wurde.
Wenn Sie die VHDX-Datei bereits eingebunden oder Invoice.pdf.exe gestartet haben, trennen Sie das Gerät sofort vom Internet und vom lokalen Netzwerk.
Lassen Sie das Gerät mit einer aktuellen Sicherheitssoftware vollständig überprüfen.
Informieren Sie bei einem beruflich genutzten Gerät unverzüglich die zuständige IT-Abteilung.
Ändern Sie wichtige Passwörter von einem sauberen Gerät aus, falls Sie nach dem Öffnen der Datei Zugangsdaten eingegeben haben.
Markieren Sie die E-Mail als Phishing und löschen Sie sie anschließend.

Weitere Informationen

Ausführliche Hintergründe und Schutzmaßnahmen:

Passende Themenseiten

Malware erkennen →

Hinweis der Redaktion

Wir haben die heruntergeladene Datei Invoice-6317.vhdx statisch untersucht. Dabei zeigte sich: Die Datei enthält keine Bestellübersicht, sondern unter anderem die ausführbare Windows-Datei Invoice.pdf.exe sowie die verdächtige Datei uxtheme.dll.

Invoice.pdf.exe ist kein PDF, sondern ein Windows-Programm. Die doppelte Dateiendung soll offenbar den Eindruck eines Dokuments erwecken. Die Kombination mit uxtheme.dll deutet auf sogenanntes DLL-Sideloading hin. Dabei lädt ein legitimes Programm unbemerkt eine manipulierte Datei aus demselben Ordner und führt deren Schadcode aus.

Ein automatischer Download allein bedeutet noch nicht zwingend eine Infektion. Gefährlich wird es, wenn die VHDX-Datei unter Windows eingebunden und die darin enthaltene EXE-Datei gestartet wird.

Was brauchst du gerade?