payment-quickpay.com [46.161.40.112] Phishing nach Kreditkartendaten

Hallo zusammen!

Die Website internetbrowser-update.com verbreitet offensichtlich gezielt Schadprogramme. Wer die Seite aufruft, bekommt die Möglichkeit geboten Browser-Update wahlweise für Chrome, Firefox oder Opera zu Installieren. Auf der Website steht: "Der Download ist sicher von der offiziellen Seite des Herstellers." Angeboten wird aber immer die gleiche setup.exe, die auf dem Server und nicht beim Hersteller liegt. Intern nennt sich die Datei GoogleUpdateSetup.exe. Ein Scan der Datei bei Virustotal liefert leider keine Ergebnisse. Es muß aber einen Schadmechanismus geben, den ich nicht erkenne, den:

Auf dem Server in der Ukraine mit der IP-Adresse 46.161.40.112 liegen 6 Domains:

e-payment-postfinance.com
healthgrades.store
internetbrowser-update.com
payment-quickpay.com
safemeds.store
santanderelavontpvvirtual.com

Die Website payment-quickpay.com wird über den Browser bei Einkäufen in Webshops aufgerufen und versucht Kreditkartendaten zu erreichen, daher gehe ich davon aus, daß ein Zusammenhang zwischen beiden Domains besteht.

Nebelwolf

Naja Passwörter und Bankdaten werden sicherlich abgefischt, wenn man sich diese .exe auf dem Rechner holt.

Zitat:

---

Zitat von Nebelwolf

Intern nennt sich die Datei GoogleUpdateSetup.exe.

---

Wird diskutiert im WWW.

Check mal mit Malwarebyte. Kann sein, dass unter falscher Flagge gesegelt wird

Habe die *.exe zur Auswertung hier eingeworfen:



Analyse läuft derzeit noch.

Ich werfe es mal hier rein, wurde direkt als Phishing markiert:

header:

01: Received: from APC01-SG2-obe.outbound.protection.outlook.com
02: ([40.92.253.17])
03:  by mx-ha.gmx.net (mxgmx017 [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]

Zitat:

---

LIVEFUNDS Amount $7849.27 Received
First Account Code

---

^whois:
IP: 162.0.235.113 -> AS22612 Namecheap, Inc.

weiter auf:

^whois:
IP: 104.27.140.78 -> Cloudflare

Auch hier wieder evil Google:

header:

01: Received: from a4-17.smtp-out.eu-west-1.amazonses.com ([54.240.4.17]) by
02:  mx-ha.gmx.net (mxgmx001 [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]

Zitat:

---

Your package DE497586134 is waiting for delivery.
Important message!


In order to complete the delivery of your package DE497586134 , please
confirm the payment Online confirmation must be made within the next 10
days, before it expires.

Deliver My Package >>

Kind regards,
DHL Tracking services.

---

^whois:
IP: 35.221.170.221 -> AS15169 Google LLC

Gestern eingetrudelt, Phishing Mail Volks- und Raiffeisenbanken, Rücksendeadresse: . Also platter geht nimmer, obwohl die Mail optisch stimmig und seriös aufbereitet war.

Und weiter geht es mit IONOS:

<>
from 193.242.211.178 ([45.11.183.177]) by mrelayeu.kundenserver.de (mreue009 [213.165.67.97]) with ESMTPSA (Nemesis) id 1N5G1V-1kZ8Bf0KIv-011CZE for

soweit ich mit meinen Laienkenntnissen herausfinden konnte, stammt die erste IP aus den Niederlanden, die zweite jedoch aus Estland. Der Spamfilter hat die Datei erkannt.
Macht es Sinn, sie an IONOS weiterzuleiten?

Gruß

Zitat:

---

Zitat von Aliena2020

Macht es Sinn, sie an IONOS weiterzuleiten?

---

Kaum, sind in 5 Threads vertreten u.A

Zitat:

---

Zitat von kjz1

Auch Ionos im Programm:

---

Im allgemeinen kann man nur IPs in eckigen Klammern trauen, hier also 45.11.183.177. Soll zwar in Estland liegen, die Firma dürfte aber auch in Frankfurtlogieren:

IONOS ist ein "Ableger" von 1&1 und die hab ich fast vor der Haustüre!p?

Es ist wohl eine Umbenennung. Nachdem ja auch Google meinte, man müsse jetzt Alphabet heissen, war für UI 1&1 wohl auch zu schnöde und man firmiert jetzt als Ionos.

Zitat:

---

Zitat von kjz1

man firmiert jetzt als Ionos.

---

Zitat:

---

IONOS » Die Marke von 1&1 für Mail, Domains & Websites! Wir sind der größte Hosting-Anbieter Europas und Spezialist für Cloud-Infrastruktur-Lösungen.

---