Paypal-Phishing

[kjz1]

Paypal mal wieder:

header:

01: Received: from netzeband.publicompserver.de
02: (netzeband.publicompserver.de [92.43.109.70])
03: 	by xxxxx (Postfix) with ESMTP ID: [ID filtered]
04: 	for xxxxx; Fri, 16 Dec 2011 xx:xx:xx +0100 (CET)
05: Received: from User (unknown [204.93.155.249])
06: 	by netzeband.publicompserver.de (Postfix) with ESMTPA ID: [ID filtered]
07: 	Fri, 16 Dec 2011 xx:xx:xx +0100 (CET)

IP: 204.93.155.249 ---> unknown.scnet.net

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Der Kriminelle von Welt nutzt das natürlich nur als Weiterleitung, um den originären Schadserver zu schützen:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 184.172.184.191 ---> 184.172.184.191-static.reverse.softlayer.com/Planet

Also merkbefreit gehostet beim 'Planet of Spam'.

[carkiller08]

header:

01: Received: from server.deephavenmusic.com ([64.22.103.230]) by
02: 	SNT0-MC4-F5.Snt0.hotmail.com with Microsoft SMTPSVC(6.0.3790.4900);
03: 	 Wed, 21 Dec 2011 xx:xx:xx -0800
04: Received: from server.deephavenmusic.com (localhost.localdomain [127.0.0.1])
05: 	by server.deephavenmusic.com (8.13.1/8.13.1) with ESMTP ID: [ID filtered]
06: 	for <***@***>; Wed, 21 Dec 2011 xx:xx:xx -0500
07: Received: (from nobody [at] localhost)
08: 	by server.deephavenmusic.com (8.13.1/8.13.1/Submit) ID: [ID filtered]
09: 	Wed, 21 Dec 2011 xx:xx:xx -0500
10: Date: Wed, 21 Dec 2011 xx:xx:xx -0500
11: Message-ID: [ID filtered]
12: To: ***@***
13: Subject: Fortsetzung blockiert !
14: X-PHP-Originating-Script: 99:send.php
15: From: PayPal <PayPal [at] PayPal.de>

PayPal - Bitte best&aumltigen Sie Ihre pers&oumlnlichen Daten


Hallo

Im Rahmen unserer Ma&szlignahmen zur Gefahrenabwehr, regelmä&szligig Bildschirm Aktivit&aumlt PayPal.
Wir bitten um Informationen &uumlber Sie aus dem folgenden Grund :

Unser System erkannt ungew&oumlhnliche Geb&uumlhren f&uumlr eine Kreditkarte in Verbindung mit Ihrem PayPal-Konto.

Dies ist die letzte Mahnung, sich bei PayPal. Dies ist die letzte Erinnerung an bei PayPal anmelden. Sobald Sie den Zugang werden wir Ma&szlignahmen, um den Zugang zu Ihrem Konto wieder.

Einmal verbunden, folgen die Schritte zur Aktivierung Ihres Kontos !
Vielen Dank f&uumlr Ihr Verst&aumlndnis, da wir der Account-Sicherheit zu gew&aumlhrleisten arbeiten.




Das Verfahren ist sehr einfach :
1.Klicken Sie auf den Link unten, um einen sicheren Browser &oumlffnen.
2.Best&aumltigen Sie, dass Sie der Inhaber des Kontos sind und folgen Sie den Anweisungen.

Gehen Sie zu Ihrem Konto
^whois: [Link nur für registrierte Mitglieder sichtbar. ] deutsche/cgi-bin/webscr%25253fcmd%253d_login-rundispatch%253d5885d80a13c0db1f8e263663d3faee8db2****************************/index.htm">

Hilfe | Security Center

Bitte nicht auf diese Nachricht antworten. Die Nachrichten unter dieser Adresse eingegangene werden nicht gelesen und deshalb erhalten keine Antwort. Um Hilfe zu erhalten, Zeichen in Ihr PayPal-Konto und klicken Sie auf den Link Hilfe in der oberen rechten Ecke jeder PayPal-Seite.

Um E-Mail-Benachrichtigungen im Nur-Text-und HTML erhalten, Ihre Einstellungen auf dem Laufenden.


--------------------------------------------------------------------------------
Copyright © 2011 PayPal Ltd. Alle Rechte vorbehalten.

PayPal (Europe) S.à r.l. & Cie, S.C.A.
Joint Stock Company
Hauptsitz : 5° plan 22-24 Boulevard Royal L-2449, Luxembourg
RCS Luxembourg B 118 349

Email PayPal n° PP315

[kjz1]

Wieder mal per HTML-Anhang:

header:

01: Received: from out06.smtpout.orange.fr (EHLO out.smtpout.orange.fr)
02: [193.252.22.215]
03:   by mx0.gmx.net (mx065) with SMTP; 07 Jan 2012 xx:xx:xx +0100
04: Received: from mail2.migne-csc86.org ([80.14.56.205])
05: 	by mwinf5d34 with ME
06: 	ID: [ID filtered]
07: Received: from User ([188.138.84.90] RDNS failed) by
08: mail2.migne-csc86.org with Microsoft SMTPSVC(6.0.3790.4675);
09: 	 Fri, 6 Jan 2012 xx:xx:xx +0100

IP: 188.138.84.90 ---> pro1317.startdedicated.com/INTERGENIA/Plusserver

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 74.208.82.75 ---> perfora.net/Schlund/1&1

header:

01: Received: from smtp-gw-web.fnbs.net.my (smtp-gw-web.fnbs.net.my
02: [202.9.108.176])
03: 	by xxxxx (Postfix) with ESMTP ID: [ID filtered]
04: 	for xxxxx; Sat,  7 Jan 2012 xx:xx:xx +0100 (CET)
05: Received: from fnsrvnt9-new (fnsrvnt9.fnbs.net.my [202.9.109.192])
06: 	by smtp-gw-web.fnbs.net.my (SMTP Mailer) with ESMTP ID: [ID filtered]
07: 	for xxxxx; Sat,  7 Jan 2012 xx:xx:xx +0800 (MYT)
08: Received: from User ([71.110.126.76]) by fnsrvnt9-new with Microsoft
09: SMTPSVC(6.0.3790.4675);
10: 	 Sat, 7 Jan 2012 xx:xx:xx +0800

IP: 71.110.126.76 ---> static-71-110-126-76.lsanca.fios.verizon.net

[HTML]<form name="frm" method="post"
action="http://1130868877:81/Restore.Account.Paypal.Manager/w.php"
onsubmit="return validate()" >[/HTML]

Die (leicht verschleierte) IP lautet: 67.103.176.141 ---> Covad

[Johannes]

Auch hier... mal wieder...

header:

01: From: 	- Sun Jan 15 xx:xx:xx 2012
02: X-Account-Key: 	account12
03: X-UIDL: [UID filtered]
04: X-Mozilla-Status: 	0000
05: X-Mozilla-Status2: 	00000000
06: X-Mozilla-Keys: 	
07: X-Envelope-From: 	<server [at] server001.ovh.net>
08: X-Envelope-To: 	<poor [at] spamvictim.tld>
09: X-Delivery-Time: 	1326539211
10: X-UID: [UID filtered]
11: Return-Path: 	<server [at] server001.ovh.net>
12: X-RZG-FWD-BY: 	ich [at] xyz-online.de
13: Received: 	from mailin.rzone.de (hamish mi2) ([unix socket]) by mailin.rzone.de
14: 	(hamish mi2) (RZmta 27.4) with LMTPA; Sat, 14 Jan 2012 xx:xx:xx +0100 (MET)
15: X-RZG-CLASS-ID: [ID filtered]
16: Received: 	from server001.ovh.net (ns38807.ovh.net [91.121.17.89]) by
17: 	mailin.rzone.de (hamish mi2) (RZmta 27.4 OK) with ESMTP ID: [ID filtered]
18: Received: 	from server by server001.ovh.net with local (Exim 4.69) (envelope-from
19: 	<poor [at] spamvictim.tld>) ID: [ID filtered]
20: Date: 	Sat, 14 Jan 2012 xx:xx:xx +0100
21: To: 	poor [at] spamvictim.tld
22: From: 	PayPal Deutschland <deutchland [at] security-servers.de>
23: Reply-To: 	
24: Subject: 	Account wurde von einem anderen Standort abgerufen
25: Message-ID: [ID filtered]
26: X-Priority: 	1
27: X-Mailer: 	PHPMailer (phpmailer.sourceforge.net) [version ]
28: MIME-Version: 	1.0
29: Content-Transfer-Encoding: 	8bit
30: Content-Type: 	text/html; charset="iso-8859-1"
31: X-AntiAbuse: 	This header was added to track abuse, please include it with any abuse
32: 	report
33: X-AntiAbuse: 	Primary Hostname - server001.ovh.net
34: X-AntiAbuse: 	Original Domain - xyz-online.de
35: X-AntiAbuse: 	Originator/Caller UID/GID: [UID filtered]
36: X-AntiAbuse: 	Sender Address Domain - server001.ovh.net
37: X-AntiVirus: 	checked (incoming) by Avira MailGuard (Version: 12.1.1.20; AVE:8.2.8.26;
38: 	VDF:7.11.21.28

PayPal ist ständig bemüht, die Sicherheit durch regelmäßige Screening der Konten in unserem System zu gewährleisten. Wir haben kürzlich Ihr Konto überprüft, und wir brauchen mehr Informationen, die uns helfen, Ihnen ein sicheres Service. Bis wir diese Informationen sammeln können, wird Ihr Zugriff auf sensible Konto Funktionen beschränkt werden. Wir möchten Ihren Zugang so schnell wie möglich wieder herzustellen, und wir uns für die Unannehmlichkeiten entschuldigen.

Warum ist mein Konto zugreifen begrenzt?

Ihr Konto Zugriff hat aus dem folgenden Grund (s) begrenzt worden:

14 Januar 2012: Ihr Kartenherausgeber lass es uns wissen, dass es ein Problem mit der EC-oder Kreditkarte in Verbindung mit Ihrem PayPal-Konto. Sie müssen die Details.

(Ihr Fall-ID wird aus diesem Grund PP-001-621-828 bis 981).

Wie kann ich mein Konto zugreifen wiederhergestellt?

« Bitte klicken Sie hier » (link zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ])

Wir überprüfen die Informationen, die Sie und senden Ihnen, wenn wir mehr Informationen benötigen, oder wenn Ihr Konto ist wieder normal.

Abschluss aller Punkte auf der Checkliste wird automatisch wieder auf Ihr Konto zugreifen.

Copyright © 1999-2012 PayPal. All rights reserved
PayPal Germany & Austria Pty Limited
ABN 76 966 195 389 (AFSL 304962)

[Speedy56]

Ist ein hervorragend Information, ich dieses Aktion durchzuführen sofort werde...

[kjz1]

Ich sage nur: OVH mal wieder....

[Mittwoch]

Die Zielseite wird von Firefox schon als Betrugsversuch gemeldet.

[kjz1]

Wieder als HTML-Anhang:

header:

01: Received: from unknown (EHLO smtp2.maginnet.com) [61.4.189.152]
02:   by mx0.gmx.net (mx052) with SMTP; 17 Jan 2012 xx:xx:xx +0100 
03: Received: (qmail 32573 invoked by UID: [UID filtered]
04: Received: from unknown (HELO User) (contact [at] maginnet.com@96.57.179.66)
05:   by 0 with ESMTPA; 17 Jan 2012 xx:xx:xx -0000

Schadseite:

[HTML]<form method="post" action="http://kurisma.com/z.php">[/HTML]

IP: 116.0.23.217 ---> phoenix.instanthosting.com.au

[kjz1]

Tja, mit Bablefish wird das wohl nix:

header:

01: Received: from mail2.diatem.net (mail2.diatem.net [212.103.24.40])
02: 	by xxxxx (Postfix) with ESMTP ID: [ID filtered]
03: 	for xxxxx; Tue, 24 Jan 2012 xx:xx:xx +0100 (CET)
04: Received: from gw-mail3.diatem.net (gw-mail3.diatem.net [212.103.24.21])
05: 	by mail2.diatem.net (8.13.1/8.13.1) with ESMTP ID: [ID filtered]
06: 	Tue, 24 Jan 2012 xx:xx:xx +0100
07: Received: from gw-mail3.diatem.net (localhost.localdomain [127.0.0.1])
08: 	by localhost (Postfix) with SMTP ID: [ID filtered]
09: 	Tue, 24 Jan 2012 xx:xx:xx +0100 (CET)
10: Received: from mail2.diatem.net (mail2.diatem.net [212.103.24.40])
11: 	by gw-mail3.diatem.net (Postfix) with ESMTP ID: [ID filtered]
12: 	Tue, 24 Jan 2012 xx:xx:xx +0100 (CET)
13: Received-SPF: pass (mail2.diatem.net: 194.50.78.157 is whitelisted)
14: receiver=mail2.diatem.net; client-ip=194.50.78.157;
15: helo=mail.labo-flajolet.local; envelope-from=info [at] e.paypal.de;
16: x-software=spfmilter 0.97 http://www.acme.com/software/spfmilter/ with
17: libspf2-1.0.0;
18: Received: from mail.labo-flajolet.local (owa.labo-flajolet.fr
19: [194.50.78.157])
20: 	by mail2.diatem.net (8.13.1/8.13.1) with SMTP ID: [ID filtered]
21: 	Tue, 24 Jan 2012 xx:xx:xx +0100
22: Received: from User ([85.119.154.196]) by mail.labo-flajolet.local with
23: Microsoft SMTPSVC(6.0.3790.4675);
24: 	 Tue, 24 Jan 2012 xx:xx:xx +0100

IP: 85.119.154.196 ---> dynamic-net.ch

Liebe Paypal Auftraggeber

Wir möchten darauf hinweisen, dass unser System ist die Aktualisierung der
Datenbank, aktualisieren Sie bitte ein und bestätigen Sie Ihr Konto.

Webseite anmelden http://www.paypal.de
^whois: [Link nur für registrierte Mitglieder sichtbar. ] und
bestätigen Sie Ihre account.Update System ist für die
Sicherheitskontrollen wichtig.

Sicherheit Büro Hans J ID-0211917:

[schara56]

header:

01: Received: from 05.Airg.sibiu.astral.ro (EHLO hosting.host4u.ro)
02: 	[194.102.180.116]
03:   by mx0.gmx.net (mx009) with SMTP; 03 Feb 2012 xx:xx:xx +0100
04: Received: from User (host9-244-static.113-2-b.business.telecomitalia.it
05: 	[2.113.244.9])
06: 	by hosting.host4u.ro (Postfix) with ESMTPA ID: [ID filtered]
07: 	Fri,  3 Feb 2012 xx:xx:xx +0200 (EET)

Gephished wird hier: ^whois: [Link nur für registrierte Mitglieder sichtbar. ]