'Nacha' Exploit

[kjz1]

Und noch einer, hier hat man schon reagiert:

header:

01: Received: from pub-195-135-228-218.mirasoft.pl (unknown [195.135.228.218])
02: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
03: 	for xxxxx; Tue, 28 Feb 2012 xx:xx:xx -0500 (EST)
04: Received: from  (192.168.1.86) by intuit.com (195.135.228.218) with
05: Microsoft SMTP Server ID: [ID filtered]

Hello,

Here with the Better Business Bureau notifies you that we have been filed a
complaint (ID 71259297) from one of your customers related to their
dealership
with you.

Please open the COMPLAINT REPORT

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

below to obtain more information on this matter and suggest us about
your point
of view as soon as possible.

We hope to hear from you shortly.

Faithfully,

Katherine Schulte

Dispute Counselor
Better Business Bureau

--------------------------------------------------------------------------------


*Council of Better Business Bureaus*
4200 Wilson Blvd, Suite 800
Arlington, VA 22203-1838
Phone: 1 (703) 276.0100
Fax: 1 (703) 525.8277

IP: 176.9.52.231 ---> server3.bplaced.net/Hetzner


Hetzner? Hetzner! Warum wundert mich das jetzt überhaupt nicht...

[kjz1]

Und wieder Vorsicht!, Zeus läßt grüßen:

header:

01: Received: from 90-147-91.219.static.youbroadband.in (unknown
02: [219.91.147.90])
03: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
04: 	Wed, 29 Feb 2012 xx:xx:xx -0500 (EST)

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 205.251.154.90 ---> GNAX

[Link nur für registrierte Mitglieder sichtbar. ]

header:

01: Received: from 90-147-91.219.static.youbroadband.in (unknown
02: [219.91.147.90])
03: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
04: 	Wed, 29 Feb 2012 xx:xx:xx -0500 (EST)

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 190.228.29.82 ---> mx2982.godns.net/ELSERVER.COM

[Link nur für registrierte Mitglieder sichtbar. ]

[kjz1]

Und wieder mal eine Kette von gecrackten Servern zur Verbreitung des Zeus-Trojaners:

header:

01: Received: from irs.com (unknown [178.175.81.255])
02: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
03: 	Thu,  1 Mar 2012 xx:xx:xx -0500 (EST)

Tax Appeal Rejection

Dear business tax payer, Hereby you are notified that yourIncomeTax
Return Appeal id#5830428 hasbeen REJECTED. If youconsider that the IRS
did not properlyexamine youcase due to amisinterpretation of thecase
details, beprepared to submit additional information. You candownload
the rejectiondetails and re-submit your appealunder the following link
Online Tax Appeal.InternalRevenue Service
Telephone Assistance forBusinesses:Toll-Free, 1-800-829-4933Hours of
Operation: Monday � Friday, 7:00 a.m. � 7:00 p.m.your local time (Alaska
& Hawaii follow Pacific Time).

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 31.210.152.18 ---> host-31-210-152-18.routergate.com


leitet weiter auf:


^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 200.98.246.235 ---> cpweb0006.servidorwebfacil.com

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 76.191.115.147 ---> horus.servidordedicado.info/Sentris

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 188.138.40.202 ---> loft4859.serverloft.eu/Plusserver

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 188.138.32.205 ---> loft4622.serverloft.eu


leitet weiter auf:


^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 66.150.188.222 ---> v-66-150-188-222.unman-vds.internap-la.nfoservers.com/Internap

[Link nur für registrierte Mitglieder sichtbar. ]

[kjz1]

Und wieder 2 Zeus-Schleudern:

^whois: [Link nur für registrierte Mitglieder sichtbar. ] ---> server1.mlsecure.com

^whois: [Link nur für registrierte Mitglieder sichtbar. ] IP: 66.40.52.171 ---> LiquidNet

Interessant ist, dass ich kurze Zeit später auf dieselbe Adresse mit sehr ähnlichem Header einen Pillz-Spam bekam:

^whois: [Link nur für registrierte Mitglieder sichtbar. ] IP: 60.190.223.190 ---> NINBO-LANZHONG-LTD ('Pharmacy Express')

Dass hinter der Zeus-Virenmachinerie die Russisch-Ukrainische Mafia stecken könnte, dürfte für Insider keine Neuigkeit, sondern eher eine traurige Gewissheit darstellen.

[kjz1]

Und wieder 2 gecrackte Zeus-Schleudern:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 64.8.113.13 ---> web05.rcahost.net
[Link nur für registrierte Mitglieder sichtbar. ]


^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 64.130.221.81 ---> mail.farnaam.com
[Link nur für registrierte Mitglieder sichtbar. ]

[kjz1]

Die Zeus-Schleudern von heute (Vorsicht!):

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 217.76.132.145 ---> llgf841.servidoresdns.net/arsys.es


^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 195.248.234.22 ---> loaders.in.ua/Besthosting, UA


^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 66.165.125.12 ---> d700.webminders.com/NJ Tech Solutions, Inc.

[kjz1]

Die Kriminellen cracken Server anscheinend direkt im Hunderterpack:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 81.169.145.149 ---> w95.rzone.de/Strato

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 174.121.21.2 ---> r1-dallas.webserversystems.com

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 180.235.148.111 ---> PT. ARDH GLOBAL INDONESIA

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 187.45.195.32 ---> hm3076.locaweb.com.br

^whois: [Link nur für registrierte Mitglieder sichtbar. ] ---> down

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 200.219.244.56 ---> static.200.219.244.56.datacenter1.com.br

^whois: [Link nur für registrierte Mitglieder sichtbar. ] ---> down

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 89.36.27.74 ---> SC-HOSTWAY-ROMANIA

Viele der Spams wurde über 95.77.189.30 (UPC Romania). Also wieder die Vlads. Kann man die eigentlich nicht mal in ihrem Intranet versauern lassen, bis die gelernt haben, wie man Server administriert und dass man als EU-Mitglied möglichst 'Schweinkram' unterlassen sollte...

[kjz1]

Vorsicht, Zeus läßt grüßen:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 174.120.179.66 ---> longhouse.webserversystems.com/Site5/Planet

[kjz1]

Und noch ein Zeus:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 212.97.132.139 ---> ws39.surf-town.net

Man crackt wohl Wordpress im großen Stil...

[kjz1]

Und wieder eine Zeus-Schleuder (Vorsicht!):

header:

01: Received: from bbb.org (unknown [49.158.68.32])
02: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
03: 	Thu,  8 Mar 2012 xx:xx:xx -0500 (EST)

IP: 49.158.68.32 ---> UBBNET-NET, TW


^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 205.204.66.228 ---> server04.whitelabelcroc.com/Netelligent

weitergeleitet:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 82.194.73.149 ---> mail.static.spain10.hostinet.com/Acens

weitergeleitet:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 74.91.112.98 ---> v-74-91-112-98.unman-vds.internap-atlanta.nfoservers.com

Analyse:

[Link nur für registrierte Mitglieder sichtbar. ]