Amazon-Phishing

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

15.02.2015, 19:30
kjz1
Und wieder der altbekannte Gauner mit dem HTML-Anhang:

header:
```
01: Received: from barracuda.PBK.com ([97.65.38.39]) by mx-ha.gmx.net (mxgmx110)
02: 	with ESMTP (Nemesis) ID: [ID filtered]
03: X-ASG-Debug-ID: [ID filtered]
04: Received: from [85.214.196.117] (h2403459.stratoserver.net
05: 	[85.214.196.117]) by barracuda.PBK.com with ESMTP ID: [ID filtered]
```
Zitat:

Sehr geehrter Amazon Kunde,

Sicherheit hat für Amazon.de höchste Priorität. Wir sorgen für ein
sicheres Zahlungssystem, schützen Karteninhaber, Händler,unsere
Mitglieder sowie Unternehmen und tragen zum Wachstum bei.

Amazon.de Datenabgleich (Verifizierungsvorgang)

Bitte beachten Sie folgende Hinweise:

Aufgrund sicherheitstechnischen Mängeln bei Online-Anbieter sind wir
gezwungen, mit unseren Kunden einen Datenabgleich durchzuführen.

Sollten Sie eine Visa, Master oder AmericanExpress-Card besitzen,
bitten wie Sie eine Adress- und Kartenverifizierung durchzuführen um
eine Account/ Kartensperre zu verhindern.

Bitte führen Sie Ihren Datenabgleich baldmöglichst aus.

Sollten Sie nicht innerhalb der nächsten 8 Tage Ihren Datenabgleich
ausführen, sperrt unser System automatisch Ihren Amazon-Zugang
unwiederuflich.

Achtung: Online Kostenlos, über den Postweg zahlen Sie 14.95EUR!

Klicken Sie Hier oder öffnen Sie die Datein in Ihrem eMail Anhang.

Alle Pflichtfelder bitte korrekt ausfüllen und dann auf "Senden"
klicken.

Ihre bestätigung erhalten Sie nach überprüfung Ihrer Daten.

Gephisht wird hier:

[HTML]<form name="creditForm" method="post" action="http://k1.amazon-verifi.ru/Konto/Sicherheit/Verifizierung/amazon_check.php">[/HTML]

IP: 46.4.85.38 ---> static.38.85.4.46.clients.your-server.de

Ach ja, Hetzner mal wieder...
12.06.2015, 11:38
madman70

Kundendienst
Und wohl eine neue Runde Amazon:

Zitat:

Datum: 11.06.2015
Wichtige Kundenmitteilung
Referenznummer: #133-82169631-0158829

Sehr geehrter Kunde,

Ihr Nutzerkonto wurde vorsichtshalber fürs Erste deaktiviert.

Der Grund hierfür ist, dass Sie Ihre persönlichen Daten nicht bestätigt haben.

Dies sorgt in diesen Fall dafür, dass die hinterlegten Daten stets aktuell sind. Ein weiterer wichtiger Faktor hierbei ist: Ihre Sicherheit beim Einkaufsvorgang.

Kommen Sie dieser Aufforderung innerhalb 14 Tagen nicht nach, wird Ihr Nutzerkonto permanent deaktiviert. Da diese Prüfung manuell überprüft werden muss, wird eine Bearbeitungsgebühr in Höhe von 29,95€;; fällig.

Daher bitten wir Sie, über den unten ausgeführten Link den Abgleich Ihrer Daten durchzuführen. Hierbei entstehen keine Kosten oder Nachteile für sie.

Hierüber gelangen Sie zur Bestätigung:

> Jetzt zur Bestätigung (hier klicken) ^whois:

Wir bitten Sie herzlichst die Unannehmlichkeiten zu entschuldigen.

Mit freundlichen Grüßen
Ihr Kundenservice-Team

Der Link führt nach einigen automatischen Weiterleitungen zu einer hübschen, gefakten Amazon-Seite der frisch registrierten Domain ^whois:...

Hab mal eine Mail an die Phishing-Abteilung von Amazon geschrieben ... im zweiten Versuch, die erste Mail wurde abgelehnt, da web.de einen zu schlechten Ruf hat :cool:

Zitat:

"":
SMTP error from remote server in greeting:
host: amazon-smtp.amazon.com:
smtp-fw-31001.amazon.com
SBRS score too low: ^whois:

Hier mal noch ein Stück vom Mail-Header...

header:
```
01: Received: from correio.madrecor.com.br ([189.112.42.155]) by mx-ha.web.de
02:  (mxweb109) with ESMTP (Nemesis) ID: [ID filtered]
03:  <xxxxx [at] web.de>; Thu, 11 Jun 2015 xx:xx:xx +0200
04: Received: from localhost (localhost.localdomain [127.0.0.1])
05: 	by correio.madrecor.com.br (Postfix) with ESMTP ID: [ID filtered]
06: 	for <poor [at] spamvictim.tld>; Thu, 11 Jun 2015 xx:xx:xx -0300 (BRT)
07: X-Virus-Scanned: amavisd-new at correio.madrecor.com.br
08: Received: from correio.madrecor.com.br ([127.0.0.1])
09: 	by localhost (correio.madrecor.com.br [127.0.0.1]) (amavisd-new, port 10024)
10: 	with ESMTP ID: [ID filtered]
11: 	Thu, 11 Jun 2015 xx:xx:xx -0300 (BRT)
12: Received: from WINLP46618PVJBblazingfastio (unknown [185.62.188.126])
13: 	by correio.madrecor.com.br (Postfix) with ESMTPSA ID: [ID filtered]
14: 	for <poor [at] spamvictim.tld>; Thu, 11 Jun 2015 xx:xx:xx -0300 (BRT)
```
01.09.2015, 08:08
madman70

Wir wollen Ihren Schutz
Hui - Amazon will mein Kundenkonto löschen - seems legit :cool:

Zitat:

Datum:29.08.2015

Kunden Information
Sehr geehrte(r) (xxxxx), <- immerhin richtiger Nachname, Vorname falsch

da wir sehr viel Wert auf Ihre Sicherheit legen, sind wir zu dem Entschluss gekommen, ein neues Sicherheitssystem für Sie zu entwickeln und durchzuführen.

Aus diesem Grund sind wir ab dem 01 September 2015 dazu verpflichtet, nur noch Zahlungen abzuwickeln die mit dem 3D-Secure Verfahren gesichert sind.

Die Vorkehrung sorgt für zusätzliche Sicherheit bei Online-Transaktionen und reduziert den Missbrauch von daten Daten.

Mit dieser Email fordern wir alle Nutzer auf, Ihre Daten zu verifizieren.

Kommen Sie dieser Nachricht innerhalb von 5 Tagen nicht nacht, sind wir dazu verpflichtet, Ihr Nutzerkonto aus unserem System zu entfernen.

Die Verifizierung können Sie über den unten angezeigten Link starten.
Nehmen Sie sich Zeit um Fehler zu vermeiden.

Hier geht es zu der Bestätigung:

Jetzt bestätigen (hier klicken) ^whois:

Wir entschuldigen die Unannehmlichkeiten und wünschen Ihnen noch weiterhin viel Vergnügen auf unserer Plattform .

Mit freundlichen Grüßen
Ihr Kundenservice

Der Link war über einen Kurz-URL-Dienst "optimiert" (bit.ly) - eigentlicher Ziel-Link (nicht mehr) erreichbar...

Hier noch ein Stück Header:

header:
```
01: Received: from host.imexbelts.com ([198.57.213.64]) by mx-ha.web.de (mxweb005)
02:  with ESMTPS (Nemesis) ID: [ID filtered]
03:  01 Sep 2015 xx:xx:xx +0200
04: Received: from [85.214.196.187] (port=55342)
05: 	by host.imexbelts.com with esmtpa (Exim 4.80)
06: 	(envelope-from <sales [at] ageespetcrematorium.com>)
07: 	ID: [ID filtered]
08: 	for poor [at] spamvictim.tld; Sat, 29 Aug 2015 xx:xx:xx -0500
```

Hallo hier bei web de aufgeschlagen.

Hallo
angeblich bekommt mann 25€ wenn man diese APP installiert, habs natürlich nicht ausprobiert ;)
Link war personalisiert und versendt wohl via Strato.

header:
01: Return-Path: serviceamazon.de
02: Received: [B]from h2098212.stratoserver.net
03: 	([85.214.75.126])[/B] by mx-ha.web.de (mxweb106) with ESMTPS (Nemesis) ID:
04: 	[ID filtered]
05: Received: from localhost.localdomain (unknown [185.62.188.50]) by
06: 	h2098212.stratoserver.net (Postfix) with ESMTPA ID: [ID filtered]
07: Date: Wed, 16 Sep 2015 xx:xx:xx +0200
08: To: poor [at] spamvictim.tld
09: From: Amazon <serviceamazon.de>
10: Subject: Erhalten Sie kostenlos einen 25 EUR Gutschein!
11: Message-ID: [ID filtered]
12: X-Priority: 3
13: X-Mailer: PHPMailer 5.2.7 (https://github.com/PHPMailer/PHPMailer/)
14: MIME-Version: 1.0
15: Content-Type: multipart/alternative;
16: 	boundary="b1_7a60bd86eabe242a0b096a0463457eac"
17: X-PPP-Message-ID: [ID filtered]
18: [B]X-PPP-Vhost: pappdorf.de [/B]
^whois: h2098212.stratoserver.net
geht zu :

Zitat:

dimond-soab.com/wp-content/themes/Fsabon/admin/ReduxCore/inc/fields/editor%2

Seite scheint derzeit arge SQl probelme zu haben das komt davon wenn man diese nicht aktuell hält.

Taucht die Domain nicht schon mal irgendwo auf hier??? ^whois:pappdorf.de

MFG

23.09.2015, 19:38
carsten.gentsch
Hallo selber Müll weider diesmal Paypal. Was die ap macht weiss ich nicht sieht jedoch danach aus Bankdaten zu klauen und Zugänge abzupfischen. Haupttext Russisch sollte somit klar sehr wer dahinter steckt.
Interessant ist aber das hier:

header:
```
01: X-Greylist: delayed 313 seconds by postgrey-1.32 at c5; Wed, 23 Sep 2015 xx:xx:xx MEST
02: Received: from 202.80.213.31 (unknown [202.80.213.31])
03: 	by me (Postfix) with SMTP ID: [ID filtered]
04: 	for <me>; Wed, 23 Sep 2015 xx:xx:xx +0200 (MEST)
05: Received: from unknown (HELO g7z) ([81.113.65.212])
06: 	by 202.80.213.31 with ESMTP; Wed, 23 Sep 2015 xx:xx:xx +0700
07: [B]Message-ID: [ID filtered]
08: From: "PayPal" <iva  wavemusic.de>
```
Message-ID: <000b01d0f619$e9e0e630$517141d4@SbastianPCg7z>

Sieht nach gehacktem PC oder Server aus oder jemand ganz schlaues klickt auf jeden Müll.
^whois:81.113.65.212 und ^whois:202.80.213.31

na irgendwer wird sich den Müll schon installieren und dann doof aus der Wäsche schauen. Aber es gibt ja 25€ quasi Ersatz LOL!
15.11.2015, 09:33
Eniac
header:
```
01: Return-Path: <no_reply [at] amazon.de>
02: Received: from rs000891.fastrootserver.de ([89.163.132.132]:51508)
03: 	by host.indiadomain.com with esmtpa (Exim 4.86)
04: 	(envelope-from <no_reply [at] amazon.de>)
05: 	ID: [ID filtered]
06: 	for poor [at] spamvictim.tld; Fri, 13 Nov 2015 xx:xx:xx +0530
07: Message-ID: [ID filtered]
08: Mime-Version: 1.0
09: From: Amazon <no_reply [at] amazon.de>
10: To: me <poor [at] spamvictim.tld>
11: Subject: Amazon.de - Adressdatenabgleich
12: Date: Fri, 13 Nov 2015 xx:xx:xx +0100
13: Content-Type: multipart/alternative;
14: 	Boundary="--=BOUNDARY_11131525_YPVJ_BJEO_VAJO_DHKC"
```
Zitat:

Sehr geehrter Amazon Kunde,

Leider haben Sie sich bisher nicht auf unsere Schriftliche Benachrichtigung,
zur Aktualisierung Ihrer Adress-Kreditkartendaten Online oder in einer unserer
Zweigstellen gemeldet.
Im Rahmen unser regelmäßigen Sicherheitsprüfungen wurde festgestellt, dass Ihr Konto
eine Aktualisierung Ihrer Adress-Kreditkartendaten unterzogen werden muss.

Bitte gehen Sie nun wie folgt vor:

Bitte beachten Sie:
Aus Sicherheitsgründen bezüglich Ihrer Adress/ Bank und Kreditkarten,
ist die Überprüfung Ihrer Adress-Kreditkartendaten unumgänglich.

Im Falle einer Verzögerung sehen wir uns gezwungen Ihr Amazon Konto, sowie Ihre
Verfügungen/ Bestellungen und Angebote bis zur vollständigen Berichtigung still zu legen.

Amazon bietet Ihnen folgende Optionen Ihre Adress-Kreditkartendaten zu verifizieren:

a) In einer unserer Zweigstellen Vorort, dazu benötigen Sie:

- gültigen Personalausweis
- 19.95EUR für die Bearbeitung Vorort
- Ihre Adress-Kreditkartendaten
- ein aktuellen Adressennachweis

b) Kostenlos Online, dazu benötigen Sie:

- Ihre Adress-Kreditkartendaten

Besuchen Sie unser "Customer-Security Portal" --> ^whois:
und führen die Überprüfung Online kostenlos durch.

Mit freundlichen Grüßen

Amazon.de

Eniac
09.04.2016, 18:13
Mindgespammt

Amazon
Heute hier eingetroffen:

Zitat:

E-Mail Adresse
meine email-Adresse

Datum
*09.04.2016*
Wir benötigen Ihre Hilfe
Hallo korrekter Vor- und Nachname,

Aufgrund jüngster Betrugsversuche haben wir einige Kundenkonten zum Schutz
unserer Kunden vorsorglich gesperrt. Dies ist ein automatischer Prozess unseres
Sicherheitssytems.

Aktuell können Sie keine neue Bestellungen tätigen oder Zahlungs- und
Adressdaten ändern. Um Ihr Kundenkonto wieder wie gewohnt nutzen zu können ist
ein kurzer Abgleich Ihrer Kundendaten notwendig.

Nachdem der Abgleich erfolgreich durchgeführt wurde, können Sie Ihr Amazaon
Kundenkonto wieder uneingeschränkt nutzen. Um Die Sicherheit Ihres Amazon
Kundenkontos zu erhöhen beachten sie bitte folgendes:

* Nutzen sie, falls möglich, immer die selben Geräte für den Zugriff auf Ihr
Kundenkonto
* Geben sie ihre Daten niemals an Dritte.
* Nutzen sie ein sicheres Passwort (Groß- und Kleinbuchstaben + Sonderzeichen)

Um den Abgleich jetzt durchzuführen besuchen Sie bitte folgenden Link:

Datenabgleich durchführen
<http:// amazon.de-signup-sicherheitscenter-userid.sehr langer personalisierter link
>
Bitte führen sie diesen Abgleich innerhalb von 24 Stunden durch.

*Viele Grüße,

Ihr Amazan Service Team*

© 2014 Amazon Inc., Amazon Europe S.à r.l. 22-24 Boulevard Royal, L-2449, Luxemburg

Beim flüchtigen Durchlesen klingt das erst mal ganz gut.
Beim genaueren Anschauen finde ich aber jede Menge Fehler, darunter zwei sehr peinliche.
Und was diesen ### entgangen ist - diese email-Adresse benutze ich zwar für diverse Firmen, nicht jedoch für A.

Was mich jedoch sehr irritiert:
Bei nicht-deutschsprachigem Dreck wurde bisher nie mein Name verwendet. Es ist also unwahrscheinlich, dass einer dieser ### nun plötzlich in deutsch schreibt, um glaubwürdiger zu sein.

Sämtlicher deutschsprachige Dreck, mit und ohne meinem Namen, kam, zumindest bisher, nur aus einer Quelle, dem Rotzer in Braunschweig. Sollte der umdisponiert haben und nun in Phissing machen ?

header:
```
01: From - Sat Apr 09 xx:xx:xx 2016
02: X-Account-Key: account4
03: X-UIDL: [UID filtered]
04: X-Mozilla-Status: 0001
05: X-Mozilla-Status2: 00000000
06: X-Mozilla-Keys:                                                                        
07: 	        
08: Return-Path: <meine email-Adresse>
09: Received: from www.o4s.de ([78.46.110.6]) by mx-ha.xxxxxx with
10:  ESMTP (Nemesis) ID: [ID filtered]
11:  2016 xx:xx:xx +0200
12: Received: from whoer.net (unknown [191.255.209.22])
13: 	by www.o4s.de (Postfix) with ESMTPA ID: [ID filtered]
14: 	for <meine email-Adresse>; Sat,  9 Apr 2016 xx:xx:xx +0200 (CEST)
15: To: meine email-Adresse
16: From: Amazon.de <meine email-Adresse>
17: Content-Type: text/html; charset=utf-8
18: MIME-Version: 1.0
19: Subject: Betrugsversuche
20: Envelope-To: <meine Email-Adresse>
21: X-UI-Filterresults: notjunk:1;V01:K0:VvzSZXc0FU4=:memMNKNfh7dIGexJm/PWz4sKOJ
22:  3lQalPx/dv2niAn/MZwt2/MBEN7oeE3jNMifbcJrpkREMSb0v/k8IWp4oRxSuXyjMXLGnZmH0
23: 	.......................
```
09.04.2016, 21:49
Goofy

Spammer verkaufen untereinander Datenbanken, das ist nichts neues. Und dass der Braunschweiger intensiv mit der russischen Spam-Mafia zusammenarbeitet (s. Spam für Binäre Optionen und dubiose Kreditplattformen etc.), ist auch bekannt. Es würde auch nicht verwundern, wenn der Braunschweiger den Russen die deutschen Texte für Phishing-Mails liefern würde bzw. auch den einen oder anderen Spam-Run durchführen würde.
22.04.2016, 09:28
kjz1
Amazon ist wieder dran:

header:
```
01: Received: from mout.kundenserver.de ([212.227.126.135]) by mx-ha.gmx.net
02:  (mxgmx013) with ESMTPS (Nemesis) ID: [ID filtered]
03: Received: from S19085896 ([87.106.240.180]) by mrelayeu.kundenserver.de
04:  (mreue003) with ESMTPSA (Nemesis) ID: [ID filtered]
```
selbstverständlich wieder ein URL-Shortener zur Tarnung:

^whois:
IP: 209.236.114.28 ---> server4.conehosting.com

auf:

^whois:
IP: 95.163.98.52 ---> RU-DINET

Und als Nameserver:

Zitat:

Domain Nameservers:
BETH.NS.CLOUDFLARE.COM
PHIL.NS.CLOUDFLARE.COM

sprich: wieder mal die Ganoven-Beschützer von Cloudflare...

Hier auch:

Zitat:

Ihr Amazon.de | Angebote | Alle Kategorien Guten Tag Vorname Nachname,

Ihre Sicherheit ist uns wichtig, daher findet regelmäßig eine Überprüfung der Accounts unserer Kunden statt.

Unser System konnte bei Ihrem Kundenkonto einige unregelmäßige Aktivitäten feststellen.
Ihr Kundenkonto wurde somit automatisch gesperrt, um weitere Risiken zu vermeiden.
Um Ihr Kundenkonto wieder zu entsperren, klicken Sie bitte auf den unten aufgeführten Link, und folgen Sie den weiteren Anweisungen im Formular.

Während des Vorgangs entstehen keine weiteren Kosten für Sie. Folgend sind die geänderte Liefer- und Rechnungsadresse aufgelistet. Bitte entschuldigen Sie aufkommende Unannehmlichkeiten.

› Klicken Sie hier um Ihre Daten zu bestätigen <http://0t.se/6yb>
Bestellinformationen:
E-Mail-Adresse: me
Rechnungsadresse:
Mumadi Khadzhiyev
Luebeckertordamm 72
64521 Groß-Gerau
Deutschland Versandadresse:
Mumadi Khadzhiyev
Luebeckertordamm 72
64521 Groß-Gerau
Deutschland
Bestellübersicht:
Bestellnummer:
Versand:
Artikel:
Verpackung & Versand:
Gesamtbetrag: 715-5129680-7340612
Standardversand
79,95 €
6,90 €
86,85 €
Copyright © 1999–2015 Amazon. Alle Rechte vorbehalten.
Amazon (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions.
Eingetragener Firmensitz: 22–24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

header:
01: Return-Path: <meinvermoegenwachst95 [at] online.de>
02: Received: from mout.kundenserver.de ([212.227.17.13]) by mx-ha.gmx.net
03:  (mxgmx011) with ESMTPS (Nemesis) ID: [ID filtered]
04:  me; Fri, 22 Apr 2016 xx:xx:xx +0200
05: Received: from S18870999 ([212.227.141.140]) by mrelayeu.kundenserver.de
06:  (mreue102) with ESMTPSA (Nemesis) ID: [ID filtered]
07:  me; Fri, 22 Apr 2016 xx:xx:xx +0200
08: From: "Amazon.de" <meinvermoegenwachst95 [at] online.de>
09: Subject: Wichtige Mitteilung
10: To: "meinname" me
11: Content-Type: multipart/alternative;
12: 	boundary="IgWI8IrskCD7E53vXK18oVikIg8R=_dD8J"
13: MIME-Version: 1.0
14: Date: Fri, 22 Apr 2016 xx:xx:xx +0200
15: Message-ID: [ID filtered]
16: X-Provags-ID: [ID filtered]
17:  lM90Bwu4E0/10YcD80qdk3NtZolIV+wIDV9PwykXx/jGRlBz++KadRrRC0ymZAfl382Aqab
18:  BrY7blurW8SiZzIOLzxSIDTZGXirvx0zK068/k3k8KYTIyBaELJQVQya7Cz9fpQ3vYSVGtL
19:  8WWSatrR6bqFggystb8QA==
20: X-UI-Out-Filterresults: notjunk:1;V01:K0:+8lzdpWeOsk=:YkJOOykbK0Trpad2znAKh1
21:  1Q1OzdugFce+gBzIPM7yzDPQH+NTrGFlxKN/2DBYIFkGYMSVrCA6t6U/uK0t4lxNi23jxeRy8
22:  fKmLTizSNK9YFucOdy5qqu5uHbl73GBhVI8iIpoX7jTvSXvvC/E0JXw0FKNkOVUlGQE2Cv6EF
23:  7cutvlnSxfbB9R/qU2p4bEEHlPeH2JlUKpdjqsKbM8NUNCBnSPOB3iKv9ZxdcbpGTNlYw5RvT
24:  9K/ZhJO7SRBJxbLy1SwkyVPQxfvHaqCu4Le3MwmDs22rWSgS5YmBcRMQnztin93gPEpUMJPee
25:  hRjsC4MI3fv4T8VAHrJlrC7sz7KkqMr032zezEgvC7M3nZwrZKECBtEoeGMgVv7EJRFHuoJUv
26:  8c/HQ762sNUjrnQZpWJGdbLqGooY90YQu9C7ZD1F3n6ybK5goyhB9n5apuUAb3ncGIBGi6KIr
27:  1f5UC0vzP++4gSgYkW1H7jWyjWS+WXP6GNR5f66LoZftvgrR9GXb6XAgmSuYzfymCcE/igmIc
28:  wC+Yq+64MbK4tigkfh0lagdjsUtjV+ioVCUpMnyTixBPvVJU5zHN5WujONneptkmWHTt/9z1g
29:  Wna3AzH3TOnSdtfl5I2GyVvcWhxEqVOy0Cf8Pj926990U4no4rQ6tOioZNWa7ZgDAzNvsa0JZ
30:  vU4CrC8Wh7mdtF6hqhFeavBEpUSaDX9zuRxkHJBupTNv3z6BNlbGzheYz1eztKEK80QkpQmvi
31:  r4+WFdN/jr7M0u8fblYZJiFnM+1u1mNqYBFux4FqHA1HHIGG4kswVeTXmG0F18gJGDWPhmsyu
32:  O+/7POcEuT9URfar8usQREmITSWypOdsWjx36kUMsDztcNBFy/2ApPsahJaj7Nlm+yJncLm
33: Envelope-To: me
Fast die gleiche URL: ^whois:

40 Beiträge dieses Themas auf einer Seite anzeigen