Ihre Apple Bestellung W78604060 wurde versandt

Druckbare Version

Nahmd!

Übles Fundstück in meinem Briefkasten: Eine "Auftragsbestätigung" im HTML-Format mit Links zu apple.com, die sich dannn aber in der Statuszeile als Links zu ^whois: offenbaren. Gibt man applestore.ms in den Browser ein, wird per http-Refresh sofort die 123904 Bytes große Datei syme.exe auf den Rechner zu laden versucht. Die enthält (natürlich) einen Schädling.

Hier der Header der Mail:

header:
01: From:     Apple Store <service [at] apple.com>
02: To:        <geht niemanden was an>
03: X-Envelope-From: <service [at] apple.com>
04: X-Envelope-To: <geht niemanden was an>
05: X-Delivery-Time: 1174334527
06: Return-Path: <service [at] apple.com>
07: Received: from 80.154.41.94
08: 	(static-ip-80-154-41-94.in-addr.arpa.myserver.t-online.de [80.154.41.94])
09: 	by mailin.webmailer.de (blert mi31) (RZmta 5.1)
10: 	with SMTP ID: [ID filtered]
11: 	Mon, 19 Mar 2007 xx:xx:xx +0100 (MET)
12: Received: from dns6.apple.com (dns6.apple.com [128.235.17.2]) by  with SMTP ID:
13: 	[ID filtered]
14: 	 Mon, 19 Mar 2007 xx:xx:xx -0500
15: Date: Mon, 19 Mar 2007 xx:xx:xx +0100
16: Reply-To: "Apple Store" <service [at] apple.com>
17: Message-ID: [ID filtered]
18: Organization:  1944 
19: X-Mailer:  1944 
20: X-RZG-CLASS-ID: [ID filtered]
21: Subject: Ihre Apple Bestellung W78604060 wurde versandt
22: Mime-Version: 1.0
23: Content-Type: multipart/alternative; boundary="65272851"
Den restlichen Text der Mail erspare ich Euch - es steht nichts drin, was wir nicht schon tausendmal gelesen hätten.

Schöne Grüße
schmubo

Evil Google hilft auch Gaunern beim Phishing:

header:
01: Received: from mail-lj1-f179.google.com ([209.85.208.179]) by mx-ha.gmx.net
02:  (mxgmx101 [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  for <x>; Sun, 18 Apr 2021 xx:xx:xx +0200
04: Received: by mail-lj1-f179.google.com with SMTP ID: [ID filtered]
05:         for <x>; Sun, 18 Apr 2021 xx:xx:xx -0700 (PDT)
Zitat:

Please download and review your receipt in our attached pdf.

Im PDF dann die URL:

^whois:

weiter auf:

^whois:
IP: 162.214.98.85 -> AS46606 Unified Layer

und neu:

^whois:

19.04.2021, 13:48
schara56

Code:

12: Received: from dns6.apple.com (dns6.apple.com [128.235.17.2]) by with SMTP ID: 13: [ID filtered] 14: Mon, 19 Mar 2007 xx:xx:xx -0500

Bitte gehen Sie weiter, es gibt nichts zu sehen.

Code:

canonical name this-address-spoofed.spam-did-not-originate-here.not-a-mail-relay.block-address-locally-if-needed.njit.edu. aliases addresses 128.235.17.2