Norton Scam?

[kjz1]

header:

01: Received: from NAM02-SN1-obe.outbound.protection.outlook.com
02:  ([52.100.159.200]) by mx.emig.kundenserver.de (mxeue109
03: [217.72.192.66]) with
04:  ESMTPS (Nemesis) ID: [ID filtered]
05: 24 May
06:  2023 xx:xx:xx +0200
07: Received: from BN9PR03CA0132.namprd03.prod.outlook.com
08: (2603:10b6:408:fe::17)
09:  by IA1P221MB0864.NAMP221.PROD.OUTLOOK.COM (2603:10b6:208:3ec::6) with
10:  Microsoft SMTP Server (version=TLS1_2,
11:  cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) ID: [ID filtered]
12:  2023 xx:xx:xx +0000
13: Received: from BN8NAM12FT099.eop-nam12.prod.protection.outlook.com
14:  (2603:10b6:408:fe:cafe::64) by BN9PR03CA0132.outlook.office365.com
15:  (2603:10b6:408:fe::17) with Microsoft SMTP Server (version=TLS1_2,
16:  cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) ID: [ID filtered]
17:  Transport; Wed, 24 May 2023 xx:xx:xx +0000
18: Authentication-Results: spf=pass (sender IP is 167.89.58.138)
19:  smtp.mailfrom=e.notification.intuit.com; dkim=pass (signature was verified)
20:  header.d=notification.intuit.com;dmarc=pass action=none
21:  header.from=notification.intuit.com;
22: Received-SPF: Pass (protection.outlook.com: domain of
23:  e.notification.intuit.com designates 167.89.58.138 as permitted sender)
24:  receiver=protection.outlook.com; client-ip=167.89.58.138;
25:  helo=o1.e.notification.intuit.com; pr=C
26: Received: from o1.e.notification.intuit.com (167.89.58.138) by
27:  BN8NAM12FT099.mail.protection.outlook.com (10.13.183.226) with
28: Microsoft SMTP
29:  Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) ID: [ID filtered]
30: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
31: d=notification.intuit.com;
32: 	h=content-type:from:mime-version:subject:reply-to:to:cc:content-type:
33: 	from:subject:to;
34: 	s=s1; bh=HdsWjtE3ScwhSgMIsRRJCyZavybLaTRVQo1F4SdfYu8=;
35: 	b=2TD9IEdZyxtltS9BuaKGPZegznXjDrE5RXuZUnHlKuHtHDZmwBuOpbfjuIZiHx1Lok4B
36: 	Q//ONF3KHr2mrbJjNwY3DG8tBfEUrEVYtxMGCtDQEgkRLRWzMkQXCmYyAxD3QSyNAHVHjH
37: 	/VXYgtbdHcKPv2875a4DbFYpVVcgJrBvhKvJdHWxUMSNYDZ48IDZ5fKd4Lj5FK5dmh7JZp
38: 	XwHW+coY/74cXm9IR5w83+Ug98sJdMDJ47Fw7R8j/V0+pT7yeMeyLOvnttXo+o4TLdl7UJ
39: 	rJSVOFbQ2XsgIKudItP+ROHYmWjtXFYvtt8u5SEKLCnpQOU+x9EuZ8x3RRW4FnCQ==
40: Received: by filterdrecv-567b479f9-bjhxp with SMTP ID: [ID filtered]
41:         2023-05-24 xx:xx:xx.461416243 +0000 UTC m=+1177674.774024721
42: Received: from MjMyNzEzNQ (unknown)
43: 	by geopod-ismtpd-1 (SG) with HTTP
44: 	ID: [ID filtered]
45: 	for <poor [at] spamvictim.tld>;
46: 	Wed, 24 May 2023 xx:xx:xx.352 +0000 (UTC)

[Link nur für registrierte Mitglieder sichtbar. ]

Dear Customer:

Your invoice-675579 for 349.99 is attached towards renewal of 3 years
Subscription.

For any Queries you can reach us .

Thank you for your business - we appreciate it very much.

Sincerely,
Allen
Billing Dept.

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 167.89.115.56 -> AS11377 - SendGrid, Inc.

Natürlich wieder unter Beteiligung der völlig schwarzbehüteten Großspamschleuder Sendgrid. Im Anhang dann eine (Fake-)Rechnung als PDF.
Allerdings ohne Kontonummer. Ich frage mich, was das bezwecken soll? Einziger Anhaltspunkt ist eine recht offensichtlich nachträglich eingeflickte
Telefonnr.:

+1 855 538 1723

Angeblich aber eine Freephone-Nummer.

[Syphedias]

Ist bei mir auch zig Fach aufgeschlagen.
Der Spamfilter von GMX hat das nicht erkannt, weil es direkt von intuit selbst kam. Hab den dann direkt angelernt.
Aber auch das Gleiche wie bei dir. 350 USD für ein 3 Jahres-Abo im PDF (über ne VM in Linux geöffnet) stand selbst nur was von einer 12 monatigen Maintenance.

Ich vermute, hier landet man bei Anruf der Nummer dann bei einem indischen Callcenter, die dann den "Norton Refund Scam" mit einem abziehen wollen.
Sehr gute Videos (hier schon mal im Forum genannt) zu dem Thema hat übrigens Jim Browning gemacht.