Mail Account Phishing

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

14.10.2019, 13:32
kjz1
Das kommt davon, wenn Mugus bei der Russenmafia das Ratware sorglos Paket einkaufen:

header:
```
01: Received: from su-edge-01.sevsu.ru (su-edge-01.sevsu.ru [178.34.184.165])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon, 14 Oct 2019 xx:xx:xx +0200 (CEST)
04: Received: from SU-MB-01.sevsu.ru (10.32.9.15) by SU-EDGE-01.sevsu.ru
05:  (10.32.11.4) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06:  2019 xx:xx:xx +0300
```
x-originating-ip: [105.112.97.96] -> Airtel Nigeria

gecrackt:

Zitat:

From: Богуцкий Владимир Борисович
Sent: Monday, October 14, 2019 2:45 AM
Subject: Überprüfen und bestätigen Sie Ihre Einschätzung.

Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen,

1. Öffnen Sie Ihren Browser unter:

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre
E-Mail-Adresse und Ihr Passwort ein
3. Weitere Informationen werden an Ihren Posteingang gesendet.
Wählen Sie das neueste Datum aus dem Dropdown-Listenfeld aus
4. Suchen Sie den Abschnitt "Employee Acknowledgement"
5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3)
Optionen im Abschnitt Mitarbeiterbestätigung auswählen
6. Wählen Sie die Schaltfläche "Speichern".

IP: 209.170.211.179 -> Ontra

Weiter geht es dank ignoranter Provider mit den Ganoven:

header:
01: Received: from mail-01.leroymerlin.ru (mail-01.leroymerlin.ru
02: [195.151.35.22])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Thu, 17 Oct 2019 xx:xx:xx +0200 (CEST)
05: Received: from PRUEXMAIL3.hq.ru.corp.leroymerlin.com (10.80.176.17) by
06:  mail-01.leroymerlin.ru (192.168.202.12) with Microsoft SMTP Server
07:  (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) ID: [ID filtered]
08: Received: from PRUEXMAIL4.hq.ru.corp.leroymerlin.com (10.80.176.18) by
09:  PRUEXMAIL3.hq.ru.corp.leroymerlin.com (10.80.176.17) with Microsoft SMTP
10:  Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) ID: [ID filtered]
11: Received: from PRUEXMAIL4.hq.ru.corp.leroymerlin.com
12:  ([fe80::edfb:c779:b19f:b7d2]) by PRUEXMAIL4.hq.ru.corp.leroymerlin.com
13:  ([fe80::edfb:c779:b19f:b7d2%2]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

From: cprc mag028
Sent: Thursday, October 17, 2019 5:12 AM
Subject: Attn: Webbenutzer

Ihr Webmail-E-Mail-Konto-Zertifikat ist bald abgelaufen. Dies kann
verwendet werden, um die Konfiguration der E-Mail-Zustellung und des
POP-Kontos sowie von Seitenfehlern beim Senden der Nachricht abzuschließen.

Um die Zertifikatinformationen in Ihrem E-Mail-Konto zu veröffentlichen,
müssen Sie Ihre Datensätze unter

^whois:

aktualisieren.

Ihr Webkonto funktioniert normalerweise nach dem Bestätigungsvorgang und
der Erneuerung des Webmail-Zertifikats.

Ihre
WEBMASTER Support Team

IP: 209.170.211.179 -> mail9.ontramail.com

22.10.2019, 16:10
kjz1
Wieder via NL:

header:
```
01: Received: from slot0.kenzennen.com (slot0.kenzennen.com [104.168.243.3])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Tue, 22 Oct 2019 xx:xx:xx +0200 (CEST)
```
Zitat:

Sehr geehrter Outlook-Benutzer,

Ihr Konto steht im Verdacht, dass mehrere ungewöhnliche oder
betrügerische Anmeldeversuche unternommen wurden. Bitte sichern Sie Ihr
Outlook-Konto. HIER ANMELDEN, um Ihr Konto zu sichern.

Grüße,
Kellen Dayane Dos S. Oliveira Sekretär von
Outlook-Sicherheitsteam
Copyright © 2019, Alle Rechte vorbehalten

^whois:
IP: 185.224.128.70 -> server01.cloudcave.net

Und diese Drecksdomain ist immer noch online:

header:
01: Received: from dsc-ffm-0965.mas.t-systems-service.com
02: (dsc-ffm-0965.mas.t-systems-service.com [185.9.219.211])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Mon,  4 Nov 2019 xx:xx:xx +0100 (CET)
05: Received: from [11.11.11.4] (helo=dsc-ffm-0866.mas.t-systems-service.com)
06: 	by dsc-ffm-0965.mas.t-systems-service.com with esmtps
07: (TLSv1.3:TLS_AES_256_GCM_SHA384:256)
08: 	(envelope-from <miguel.recas-lopez [at] georgfischer.com>)
09: 	ID: [ID filtered]
10: Received: from [11.11.10.236] (helo=DE08S00DEXC0D.ag.gf)
11: 	by dsc-ffm-0866.mas.t-systems-service.com with esmtps
12: (TLSv1.2:ECDHE-RSA-AES128-SHA256:128)
13: 	(envelope-from <miguel.recas-lopez [at] georgfischer.com>)
14: 	ID: [ID filtered]
15: Received: from DE09S00DEXC0C.ag.gf (10.1.168.6) by DE08S00DEXC0D.ag.gf
16:  (10.1.160.4) with Microsoft SMTP Server (version=TLS1_2,
17:  cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256) ID: [ID filtered]
18: 4 Nov 2019 xx:xx:xx +0100
19: Received: from DE09S00DEXC0C.ag.gf ([fe80::845c:1ed7:c113:7f8d]) by
20:  DE09S00DEXC0C.ag.gf ([fe80::845c:1ed7:c113:7f8d%12]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

From: Recas Lopez, Miguel Angel
Sent: Sunday, November 3, 2019 10:38 PM
Subject: Bestätigen Sie Ihre Einschätzung.

Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser unter:

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre E-Mail-Adresse
und Ihr Passwort ein.

3. Weitere Informationen werden an Ihren Posteingang gesendet. Wählen
Sie das neueste Datum aus dem Dropdown-Listenfeld aus.

4. Suchen Sie den Abschnitt "Employee Acknowledgement".

5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3)
Optionen im Abschnitt Mitarbeiterbestätigung auswählen.

6. Wählen Sie die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com

T-Systems interessiert sich offensichtlich nicht dafür, wenn bei Kunden die Mail Accounts reihenweise gecrackt werden. Und bei Ontra duldet man offensichtlich schon üner Wochen kriminelle Machenschaften:

header:
01: Received: from dsc-ffm-0965.mas.t-systems-service.com
02: (dsc-ffm-0965.mas.t-systems-service.com [185.9.219.211])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Tue, 12 Nov 2019 xx:xx:xx +0100 (CET)
05: Received: from [11.11.11.33] (helo=dsc-ffm-0966.mas.t-systems-service.com)
06: 	by dsc-ffm-0965.mas.t-systems-service.com with esmtps
07: (TLSv1.3:TLS_AES_256_GCM_SHA384:256)
08: 	(envelope-from <stephanie.albrecht [at] georgfischer.com>)
09: 	ID: [ID filtered]
10: Received: from [11.11.10.236] (helo=DE09S00DEXC0C.ag.gf)
11: 	by dsc-ffm-0966.mas.t-systems-service.com with esmtps
12: (TLSv1.2:ECDHE-RSA-AES128-SHA256:128)
13: 	(envelope-from <stephanie.albrecht [at] georgfischer.com>)
14: 	ID: [ID filtered]
15: Received: from DE09S00DEXC0D.ag.gf (10.1.168.1) by DE09S00DEXC0C.ag.gf
16:  (10.1.168.6) with Microsoft SMTP Server (version=TLS1_2,
17:  cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256) ID: [ID filtered]
18:  Nov 2019 xx:xx:xx +0100
19: Received: from DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01]) by
20:  DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01%13]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

From: Albrecht, Stephanie
Sent: Tuesday, November 12, 2019 3:01 AM
Subject: Neue Gehaltserhöhung

NEUE PAYROLL

Ticket: # HRD

Neues Payroll Bulletin und Review; HRM bittet Sie, Ihre Daten mit dem
unten stehenden sicheren Link zu aktualisieren, um eine neue
Gehaltserhöhung zu erhalten. / Der für alle Mitarbeiter im
Gehaltsverzeichnis geltende Zeitplan für das neue Jahr 2019.

Klicken Sie auf

^whois:

um die Gehaltsabrechnung abzuschließen

Danke,

Payroll Admin.

IP: 209.170.211.179 -> mail9.ontramail.com

Auch Ionos im Programm:

header:

01: Received: from mail-gateway-shared01.cyon.net ([194.126.200.215]) by
02:  mx-ha.gmx.net (mxgmx117 [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03: Received: from s051.cyon.net ([149.126.4.60])
04: 	by mail-gateway-shared01.cyon.net with esmtpsa
05: (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
06: 	(Exim)
07: 	(envelope-from <froox [at] cyon.ch>)
08: 	ID: [ID filtered]
09: Received: from [10.20.10.233] (port=59300 helo=mail.cyon.ch)
10: 	by s051.cyon.net with esmtpa (Exim 4.92)
11: 	(envelope-from <froox [at] cyon.ch>)
12: 	ID: [ID filtered]
13: 	for x; Tue, 19 Nov 2019 xx:xx:xx +0100

header:

01: Received: from mail-gateway-shared03.cyon.net ([194.126.200.53]) by
02:  mx-ha.gmx.net (mxgmx015 [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]
03: Received: from s051.cyon.net ([149.126.4.60])
04: 	by mail-gateway-shared03.cyon.net with esmtpsa
05: (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
06: 	(Exim)
07: 	(envelope-from <froox [at] cyon.ch>)
08: 	ID: [ID filtered]
09: 	for x; Tue, 19 Nov 2019 xx:xx:xx +0100
10: Received: from [10.20.10.233] (port=12504 helo=mail.cyon.ch)
11: 	by s051.cyon.net with esmtpa (Exim 4.92)
12: 	(envelope-from <froox [at] cyon.ch>)
13: 	ID: [ID filtered]
14: 	for x; Tue, 19 Nov 2019 xx:xx:xx +0100

Zitat:

Sehr geehrter Kunde ,

Die Zugangsdaten Ihres Kundenbereichs sind abgelaufen.

Sie können sich nicht mit Ihrer Kontonummer und Ihrem alten Geheimcode
in Ihrem Kontobereich anmelden. Jetzt mussen Sie Ihre neue

Internet-ID verwenden.

Verbinde Jetzt

Mit freundlichen Grüßen
Kundenservice IONOS

^whois:
IP: 185.50.196.201 -> cp201.zonasprivadasdns.com

weiter auf:

^whois:
IP: 89.46.105.40 -> webx1071.aruba.it

Man vergleiche mit:

Und wieder dieselben Ganoven:

header:
01: Received: from mail.croatiaairlines.hr (mail.croatiaairlines.hr [193.47.246.69])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon, 25 Nov 2019 xx:xx:xx +0100 (CET)
04: Received: from dlp-prevent. (unknown [10.100.100.202]) by
05: 	mail.croatiaairlines.hr with smtp
06: 	(TLS: TLSv1/SSLv3,128bits,ECDHE-RSA-AES128-GCM-SHA256)
07: 	 ID: [ID filtered]
08: 	Mon, 25 Nov 2019 xx:xx:xx +0100
09: Received: from mail.croatiaairlines.hr (unknown [10.100.101.146]) by
10: 	dlp-prevent. with smtp
11: 	(TLS: TLSv1/SSLv3,128bits,ECDHE-RSA-AES128-GCM-SHA256)
12: 	 ID: [ID filtered]
13: 	Mon, 25 Nov 2019 xx:xx:xx +0100
14: Received: from webmail.croatiaairlines.hr (ctn-exch1.ctn.hr [10.100.100.230])
15: 	by mail.croatiaairlines.hr with smtp
16: 	(TLS: TLSv1/SSLv3,128bits,ECDHE-RSA-AES128-GCM-SHA256)
17: 	 ID: [ID filtered]
18: 	Mon, 25 Nov 2019 xx:xx:xx +0100
19: Received: from ctn-exch1.ctn.hr (10.100.100.230) by ctn-exch1.ctn.hr
20:  (10.100.100.230) with Microsoft SMTP Server (version=TLS1_2,
21:  cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) ID: [ID filtered]
22:  2019 xx:xx:xx +0100
23: Received: from ctn-exch1.ctn.hr ([fe80::3925:d04b:3fcc:32fd]) by
24:  ctn-exch1.ctn.hr ([fe80::3925:d04b:3fcc:32fd%3]) with mapi ID: [ID filtered]
25:  Mon, 25 Nov 2019 xx:xx:xx +0100
gecrackt:

Zitat:

From: Benko Vjekoslav
Sent: Monday, November 25, 2019 9:47 AM
Subject: Gewinn- und Verlustrechnung für November 2019!!

Ihre letzte Gehaltsabrechnung wurde gestern bezahlt, und Ihre Gehaltsabrechnung für die direkte Einzahlung für November 2019 kann auf der unten stehenden Website für die Gehaltsabrechnung eingesehen und bestätigt werden. Registerkarte Meine Informationen> Mitarbeiterinformationen> Gewinn- und Verlustrechnung.

So melden Sie sich an:
1) Melden Sie sich mit Ihrer Arbeits-E-Mail-Adresse und Ihrem Passwort an.

Bitte beachten Sie, dass die Personalabrechnung der Mitarbeiter nun alphabetisch aufgeteilt ist:

A - J Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

K - Z Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

Die Links sind glücklicherweise schon totgelegt.

16.12.2019, 07:23
schara56
header:
```
01: Received: from mail.mfiu.gov.mm (mail.mfiu.gov.mm [203.81.89.168])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Sun, 15 Dec 2019 xx:xx:xx +0100 (CET)
06: Received: from taxfoundation.org (unknown [103.99.2.3])
07: 	(Authenticated sender: test)
08: 	by mail.mfiu.gov.mm (Postfix) with ESMTPA ID: [ID filtered]
09: 	for <x>; Mon, 16 Dec 2019 xx:xx:xx +0630 (+0630)
```
^whois:/os?email=[[-Email-]]
Im Anhang eine *.pdf.html

Zitat:

Dear x,

Please be informed that your application no.0301 for Tax Clearance Certificate
has been approved.
Please find the attached TCC ( Tax clearance certificate) for your records.

/*Please do not reply to this email as this mailbox is not monitored.*/

IT PAYS TO PAY YOUR TAX

CONFIDENTIALITY NOTICE: This e-mail message (including any attached documents)
is intended for the exclusive and confidential use of the individual or entity
to which this message is addressed. The contents is confidential and privileged
information of Gov Tax. Any dissemination, distribution, copying or alteration
of the enclosed content is unlawful and prohibited. If you receive this e-mail
in error.

Und weil es so schön war, gleich nochmal

header:

01: Received: from mail.mfiu.gov.mm (mail.mfiu.gov.mm [203.81.89.168])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Tue, 17 Dec 2019 xx:xx:xx +0100 (CET)
06: Received: from taxfoundation.org (unknown [103.99.2.3])
07: 	(Authenticated sender: test)
08: 	by mail.mfiu.gov.mm (Postfix) with ESMTPA ID: [ID filtered]
09: 	for <x>; Tue, 17 Dec 2019 xx:xx:xx +0630 (+0630)

header:

01: Received: from [156.96.46.75] (unknown [156.96.46.75])
02: 	by mao.com (Postfix) with ESMTPA ID: [ID filtered]
03: 	for <x>; Wed, 22 Jan 2020 xx:xx:xx -0500 (EST)

^whois:/cube2020APPverifi-login/index.php?Email=*schnapp*

Scammi möchte GMX-Logins phishen.

header:

01: Received: from mout.gmx.net ([212.227.15.15]) by mx-ha.gmx.net (mxgmx115
02:  [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <x>; Sat, 25 Jan 2020 xx:xx:xx +0100
04: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=gmx.net;
05: 	s=badeba3b8450; t=1579908312;
06: 	bh=0ZAl5kglVJX0Q2xqv4vdB7XUqjutyNdzr0bfQ5T1vpA=;
07: 	h=X-UI-Sender-Class:Subject:To:From:Date;
08: 	b=fT+xDTHBRtJL1lvaHIuhpGkuQ80HmOhpdzvvLxk1J9pWqI4uqYoA/S8jTgKNlePR8
09: 	 61m5NYmCmRKAUnrie6IS3WV8u1/t/NX5DL5JHtNw+RGj/UXuJqYTcip4qCBh+bullp
10: 	 BOuIzPwQw1IlN77rqqAcfpFJxOGmTnpoeh6umKko=
11: X-UI-Sender-Class: 01bb95c1-4bf8-414a-932a-4f6e2808ef9c
12: Received: from [192.168.157.1] ([2.247.243.31]) by mail.gmx.com
13: 	(mrgmx005
14:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
15:  <x>; Sat, 25 Jan 2020 xx:xx:xx +0100

^whois:

header:

01: Received: from godsms.net (ec2-52-199-200-26.ap-northeast-1.compute.amazonaws.com
02: 	[52.199.200.26])
03: 	by x (Postfix) with ESMTP ID: [ID filtered]
04: 	for <x>; Fri, 14 Feb 2020 xx:xx:xx +0100 (CET)
05: Received: from [79.141.170.16] (unknown [79.141.170.16])
06: 	by godsms.net (Postfix) with ESMTPA ID: [ID filtered]
07: 	Fri, 14 Feb 2020 xx:xx:xx +0000 (UTC)

Der E-Mail-Phish lauert hier: ^whois:/themes/zoladoc.php

18.02.2020, 17:12
kjz1
Wieder mal Dumm-Phishing über Weebly nach Mugu-Art:

header:
```
01: Received: from mx2.johanniter.de (mx2.johanniter.de [87.190.39.211])
02: 	by xxxxx (Postfix) with ESMTPS;
03: 	Mon, 17 Feb 2020 xx:xx:xx +0100 (CET)
04: Received: from unknown (HELO srv-bv-progov01.johanniter.local)
05: ([10.10.63.10])
06:   by mx2.johanniter.de with ESMTP/TLS/DHE-RSA-AES256-GCM-SHA384; 17 Feb
07: 2020 xx:xx:xx +0100
08: Received: from srv-bv-progov01.johanniter.local (localhost [127.0.0.1])
09: 	by srv-bv-progov01.johanniter.local (Postfix) with ESMTPS ID: [ID filtered]
10: 	Mon, 17 Feb 2020 xx:xx:xx +0100 (CET)
11: Received: from webmail.johanniter.de (unknown [10.121.40.12])
12: 	by srv-bv-progov01.johanniter.local (Postfix) with ESMTPS ID: [ID filtered]
13: 	Mon, 17 Feb 2020 xx:xx:xx +0100 (CET)
14: Received: from srv-bv-mail162.johanniter.local (10.10.26.52) by
15:  srv-bv-mail162.johanniter.local (10.10.26.52) with Microsoft SMTP Server
16:  (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) id
17:  15.1.1847.3; Mon, 17 Feb 2020 xx:xx:xx +0100
18: Received: from SRV-BV-MAIL04.johanniter.local (10.10.26.14) by
19:  srv-bv-mail162.johanniter.local (10.10.26.52) with Microsoft SMTP Server
20:  (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256) ID: [ID filtered]
21:  via Frontend Transport; Mon, 17 Feb 2020 xx:xx:xx +0100
22: Received: from SRV-BV-MAIL05.johanniter.local
23: ([fe80::b825:4218:df44:27bc]) by
24:  SRV-BV-MAIL04.johanniter.local ([fe80::c0bf:1984:841:f878%18]) with mapi ID: [ID
25: 	filtered]
```
gecrackt:

Zitat:

Sehr geehrter Mitarbeiter, Mitarbeiter.

Wir migrieren alle Mitarbeiter-E-Mail-Konten in Outlook
2020-Office-E-Mails für Mitarbeiter. Daher müssen alle aktiven
Mitarbeiter und Mitarbeiter überprüfen und sich anmelden, damit dieses
Upgrade und die Migration wirksam werden.
Dies geschieht, um die Sicherheit und Effizienz aufgrund der zuletzt
eingegangenen Spam-Mails zu verbessern.

Bitte alle Mitarbeiter und Mitarbeiter hier klicken Wechseln Sie zu
Outlook Webmail 2020 für Mitarbeiter

^whois:

Beachten Sie, dass dieses Einschalten von Outlook für alle
E-Mail-Benutzer dieses Dienstes gilt.
Innerhalb der nächsten 24 Stunden werden nicht bestätigte und inaktive
E-Mail-Konten unverzüglich deaktiviert und gelöscht.
BITTE NACH OBEN ANGABEN.

Grüße,
Externer E-Mail-Administrator,
Outlook Service für Mitarbeiter und Internet Service
Copyright2020.

header:
```
01: Received: from mail.azherentals.be (d54c720fa.static.telenet.be
02: [84.199.32.250])
03: 	by xxxxx (Postfix) with ESMTPS;
04: 	Mon, 17 Feb 2020 xx:xx:xx +0100 (CET)
05: Received: from ntmbx1.ad.azherentals.be (10.128.8.229) by
06:  ntmbx1.ad.azherentals.be (10.128.8.229) with Microsoft SMTP Server
07:  (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) ID: [ID filtered]
08:  Mon, 17 Feb 2020 xx:xx:xx +0100
09: Received: from ntmbx1.ad.azherentals.be ([10.128.8.229]) by
10:  ntmbx1.ad.azherentals.be ([10.128.8.229]) with mapi ID: [ID filtered]
11:  17 Feb 2020 xx:xx:xx +0100
```
x-originating-ip: [185.104.184.152] -> M247, Romania

gecrackt:

Zitat:

Sehr geehrter Mitarbeiter, Mitarbeiter.

Wir migrieren alle Mitarbeiter-E-Mail-Konten in Outlook
2020-Office-E-Mails für Mitarbeiter. Daher müssen alle aktiven
Mitarbeiter und Mitarbeiter überprüfen und sich anmelden, damit dieses
Upgrade und die Migration wirksam werden.
Dies geschieht, um die Sicherheit und Effizienz aufgrund der zuletzt
eingegangenen Spam-Mails zu verbessern.

Bitte alle Mitarbeiter und Mitarbeiter hier klicken Wechseln Sie zu
Outlook Webmail 2020 für Mitarbeiter

^whois:

Beachten Sie, dass dieses Einschalten von Outlook für alle
E-Mail-Benutzer dieses Dienstes gilt.
Innerhalb der nächsten 24 Stunden werden nicht bestätigte und inaktive
E-Mail-Konten unverzüglich deaktiviert und gelöscht.
BITTE NACH OBEN ANGABEN.

Grüße,
Externer E-Mail-Administrator,
Outlook Service für Mitarbeiter und Internet Service
Copyright2020.

header:
```
01: Received: from andromeda.inami.gob.mx (andrea.inami.gob.mx [187.141.12.139])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Tue, 18 Feb 2020 xx:xx:xx +0100 (CET)
04: X-AuditID: [ID filtered]
05: Received: from HOMSFHTCAS1.inm.gob.mx (Unknown_Domain [172.16.16.234])
06: 	by andromeda.inami.gob.mx (Symantec Mail Security) with SMTP ID: [ID filtered]
07: Received: from HOMSFEXCMB5.inm.gob.mx ([fe80::d95a:be18:b657:819a]) by
08:  HOMSFHTCAS1.inm.gob.mx ([172.16.16.234]) with mapi ID: [ID filtered]
09: Tue, 18  Feb 2020 xx:xx:xx -0600
```
gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer,

Wir migrieren alle E-Mail-Konten auf die neue Outlook Web App 2020.
Daher müssen alle aktiven Kontoinhaber überprüfen und sich anmelden,
damit das Upgrade und die Migration jetzt automatisch wirksam werden.
Dies geschieht, um die Sicherheit und Effizienz aufgrund der neuesten
Spam-Nachrichten zu verbessern.

Um Dienstunterbrechungen zu vermeiden, klicken Sie bitte auf den
folgenden Link, um Ihre Beiträge zu aktualisieren
Outlook Web App 2020

^whois:

und melden Sie sich
an, um mehrere Spam-Mails zu migrieren und zu blockieren.

Wenn Sie Ihr Konto nicht innerhalb von 24 Stunden übertragen, wird Ihr
Konto vorübergehend gesperrt, sodass Sie keine E-Mails mehr empfangen /
senden können.

IKT-Helpdesk
Informationstechnologie
27.02.2020, 21:35
kjz1
Und wieder mal Dumm-Phishing nach Mugu-Art. Und wieder gecrackte Accounts von Unis, die ihr Email-Management Mickysoft anvertrauen.

header:
```
01: Received: from EUR04-HE1-obe.outbound.protection.outlook.com
02: (mail-he1eur04hn2077.outbound.protection.outlook.com [52.101.137.77])
03: 	by xxxxx (Postfix) with ESMTPS;
04: 	Thu, 27 Feb 2020 xx:xx:xx +0100 (CET)
```
x-originating-ip: [132.203.86.236] -> Universite Laval, CA

gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer

Ihr Webmail-Kontingent hat das Kontingent von 20 GB überschritten und
Sie verwenden derzeit 22,9 GB.

Klicken Sie auf den folgenden Link, um Ihr Webmail-Kontingent zu
reaktivieren und zu erhöhen.

^whois:

Wenn Sie dies nicht tun, wird Ihre Webmail möglicherweise beendet

Danke und Entschuldigung für die Störung

Universitäts Wartung

IP: 54.173.217.38 -> ec2-54-173-217-38.compute-1.amazonaws.com

header:
```
01: Received: from NAM10-DM6-obe.outbound.protection.outlook.com
02: (mail-dm6nam10on2111.outbound.protection.outlook.com [40.107.93.111])
03: 	by xxxxx (Postfix) with ESMTPS;
04: 	Thu, 27 Feb 2020 xx:xx:xx +0100 (CET)
```
x-originating-ip: [132.203.86.236] -> Universite Laval, CA

gecrackt:

Zitat:

E-MAlL Wartung
Verwenden Sie den folgenden Link, um die Wartung abzuschließen

^whois:
15.05.2020, 08:57
schara56
header:
```
01: Received: from mail0.105.gizmodo.casa (mail0.105.gizmodo.casa [64.227.119.180])
02: 	by x (Postfix) with ESMTP ID: [ID filtered]
03: 	for <x>; Fri, 15 May 2020 xx:xx:xx +0200 (CEST)
```
Zitat:

Zitat von Scammer

*schnapp*

You have (8) new delayed messages since Thursday 14th May 2020 at 09:15:00 AM
(UTC). *

Click here to read message x!
^whois:/don/serv/serv/netw/fin/?email=*schnapp*>

*Your action is required*
*
*
*Thank you

Email Administrator.*

header:

01: Received: from esa3.hc2675-7.iphmx.com (esa3.hc2675-7.iphmx.com
02: [68.232.135.42])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Wed,  3 Jun 2020 xx:xx:xx +0200 (CEST)
05: Received: from unknown (HELO mail.sac.edu) ([204.75.250.128])
06:   by esa3.hc2675-7.iphmx.com with ESMTP/TLS/ECDHE-RSA-AES128-SHA256; 03
07: Jun 2020 xx:xx:xx -0700
08: Received: from SACEXCHMB01.rsccd.org (10.32.51.71) by SACEXCHMB02.rsccd.org
09:  (10.32.51.72) with Microsoft SMTP Server (TLS) ID: [ID filtered]
10:  2020 xx:xx:xx -0700
11: Received: from SACEXCHMB01.rsccd.org ([fe80::1570:8061:e6d9:529]) by
12:  SACEXCHMB01.rsccd.org ([fe80::1570:8061:e6d9:529%15]) with mapi ID: [ID filtered]

Die Mail enthielt dann einen HTML-Anhang, wo Phishki fündig werden wollte:

^whois:

Bildchen wurden von einem russischen Server geladen:

^whois:

29.08.2020, 18:52
kjz1
Und noch ein Mail Account Phishki nach Mugu-Art:

header:
```
01: Received: from mx1.nsmu.ru (mx1.nsmu.ru [91.122.224.36])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Sat, 29 Aug 2020 xx:xx:xx +0200 (CEST)
04: Received: from [103.133.105.222] (103.133.105.222) by mx1.nsmu.ru
05:  (91.122.224.36) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06: 29 Aug 2020 xx:xx:xx +0300
```
gecrackt:

Zitat:

Sehr geehrter E-Mail-Abonnent

Wir möchten Sie darüber informieren, dass wir derzeit eine geplante
Wartung und Aktualisierung unseres Kontodienstes durchführen. Daher
müssen Ihre Konten aktualisiert werden.

Wir entschuldigen uns für etwaige Unannehmlichkeiten.

Wir empfehlen Ihnen, Ihr E-Mail-Konto mit unserem Bestätigungslink zu
authentifizieren. KLICKEN SIE HIER.

Alle Rechte vorbehalten.
Freundliche Grüße,
Administrator ISERV WebMail!
Fallnummer: 894162
Webadministrator Copyright © 2020-

^whois:
IP: 54.232.220.3 -> Amazon Data Services Brazil
03.09.2020, 11:07
Aliena2020

....und wer ist das?
mx5.messagelabs.com id wy5o9ric0w04 ?
Gruß
Aliena
03.09.2020, 12:02
kjz1
Da hat der Mugu wohl bei der Russenmafia eingekauft...

header:
```
01: Received: from mail2.cesis.lv (mail2.cesis.lv [62.63.146.10])
02: 	by xxxxx (Postfix) with ESMTPS;
03: 	Thu,  3 Sep 2020 xx:xx:xx +0200 (CEST)
04: Received: from Raunis.cesis.lv ([::1]) by Raunis.cesis.lv ([::1]) with
05: mapi ID: [ID filtered]
06: x-originating-ip: [196.170.3.44]
```
IP: 196.170.3.44 -> AS24691 TogoTelecom, Togo

gecrackt:

Zitat:

Web Update-Benachrichtigung

Hiermit werden Sie zum letzten Mal darüber informiert, dass wir die
Verarbeitung eingehender E-Mails in Ihrem Konto eingestellt haben
Da Sie sich geweigert haben, Ihr Konto zu aktualisieren, müssen wir es
möglicherweise sperren, wenn Sie die Nachricht ignorieren.

KLICKEN SIE HIER, UM JETZT ZU AKTUALISIEREN
Danke dir

Microsoft-Überprüfungsteam.
Microsoft Copyright © 2020

^whois:
IP: 35.242.251.130 -> AS15169 Google LLC
14.09.2020, 10:05
kjz1
Und wieder einmal dummdreist Phishing nach Mugu-Art:

header:
```
01: Received: from correo.mag.gob.ec (correo.mag.gob.ec [200.125.208.66])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon, 14 Sep 2020 xx:xx:xx +0200 (CEST)
04: Received: from SRVMAGUIOEX1302.AGRO.GOB.EC (192.168.1.203) by
05:  SRVMAGUIOEX1301.AGRO.GOB.EC (192.168.1.202) with Microsoft SMTP Server
06: (TLS)
07:  ID: [ID filtered]
08: Received: from SRVMAGUIOEX1302.AGRO.GOB.EC ([fe80::54:5074:44d4:f75d]) by
09:  SRVMAGUIOEX1302.AGRO.GOB.EC ([fe80::54:5074:44d4:f75d%11]) with mapi ID: [ID filtered]
```
x-originating-ip: [129.205.124.63] -> Globacom-Limited, Nigeria

gecrackt:

Zitat:

Willkommen in der neuen Outlook-Web-App für Mitarbeiter

Migrieren zu Die neue Outlook-Webanwendung für Mitarbeiter für 2020 ist
das neue Zuhause für Online-Self-Service und -Informationen.

Klicken Sie auf GATEWAY und melden Sie sich an bei:

· Greifen Sie auf das neue Personalverzeichnis zu

· Greifen Sie auf Ihre Gehaltsabrechnungen und P60 zu

· Aktualisieren Sie Ihr ID-Foto

· Flexibilität bei E-Mail und Kalender

· Verbinden Sie die Handynummer mit der E-Mail für Voicemail

Jedem wird empfohlen, sofort zu migrieren.

Helpdesk-Support-Team

^whois:
14.10.2020, 11:30
kjz1
Wieder mal dummdreist:

header:
```
01: Received: from mail.du.lv (mail.du.lv [159.148.144.7])
02: 	by xxxxx (Postfix) with ESMTPS;
03: 	Wed, 14 Oct 2020 xx:xx:xx +0200 (CEST)
04: Received: from localhost ([127.0.0.1])
05: 	by mail.du.lv with ESMTP (Exim)
06: 	(envelope-from <baiba.felce [at] du.lv>)
07: 	ID: [ID filtered]
08: X-Virus-Scanned: amavisd-new at mail.du.lv
09: Received: from mail.du.lv ([IPv6:::1])
10: 	by localhost (mail.du.lv [IPv6:::1]) (amavisd-new, port 10024)
11: 	with ESMTP ID: [ID filtered]
12: Received: from [10.10.16.16] (helo=pasts.du.lv)
13: 	by mail.du.lv with ESMTP (Exim)
14: 	(envelope-from <baiba.felce [at] du.lv>)
15: 	ID: [ID filtered]
```
gecrackt:

Zitat:

LIEBE MICROSOFT-BENUTZER,

Der Administrator hat mitgeteilt, dass Ihr Konto sofort überprüft werden
muss, um eine Beendigung des Dienstes zu vermeiden.
Dies ist das letzte Upgrade für Octorbers Monat.
Befolgen Sie die nachstehenden Anweisungen und geben Sie Ihre
vollständigen Daten ein, um Ihr Microsoft-Konto zu überprüfen.

KLICKE HIER

Damit Sie mit der Bestätigung fortfahren können
Wir entschuldigen uns für die Unannehmlichkeiten und bedanken uns für
Ihr Verständnis.
Grüße ,
Exchange-Zentraladministrator.
Microsoft Outlook Inc. © 2020.

^whois:
IP: 104.18.3.169 -> Cloudflare
14.10.2020, 14:19
nlnn

Delivery Status Notification
Was der Benutzer sieht:

Zitat:

Betreff: Delivery Status Notification (Failure)

Address not found
Your messages wasn't delivered to because the address couldn't be found,
or is unable to receive mail. Your mailbox account is not active;

The response from the remote server was:

550 5.1.2 < >: Recipient address rejected: Invalid mailbox domain

Was sendet z.B. sowas:

header:
```
01: Received: from mail2.dlhas.com (bizcloud-send.dlhas.com [157.245.99.46])
02: From: example.de Mail Delivery Subsystem <support [at] sericare.com>
```
Wohin der Link/URL geht:

Zitat:

^whois:

EXAMPLE.DE ist hier die betroffene Domain, das ist bei jedem Benutzer individuell auf ihn/sie zugeschnitten.
Um die Angst zu schüren wird ein Text etwa in der Art "Address not found" groß angezeigt und angeboten wird etwas, was wie "Fix problem here" lautet.
Die, im Link mitgelieferten Mail Adresse, wird verwendet um ein OWA anzuzeigen, dass vorgibt von der Domain (der Mail Adresse) zu stammen. Es handelt sich bei diesen Mails ausnahmslos um einen Phishing Vorgang, hier sollen natürlich das Kennwort zur Mail Adresse abgegriffen werden. Das ist wiederum auf Eingangs Relay Servern durch den Versuch eines Login (scheinbar) des Users sichtbar. Da die Kennworte aber dort nicht vorliegen (sollten), wird der ungültige Versuch gelogged (soweit eine "gute" Nachricht).
Jenen, die bereist darauf hereingefallen sind, wird geraten das Kennwort umgehend zu ändern und denen, die die Eigenschaft haben ein Kennwort überall zu verwenden wird geraten das Kennwort überall zu ändern bzw. am besten eine anderes Kennwort bei anderen Seiten zu verwenden, welches keinen Rückschluss ermöglicht. Aber das wissen in diesem Kreis ja ohnehin alle ;)

Und wieder mal dummdreist nach Mugu-Art:

header:
01: eceived: from mail.herouville.net (mail.herouville.net [109.205.66.53])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Mon, 26 Oct 2020 xx:xx:xx +0100 (CET)
04: Received: from mail.herouville.net (localhost.localdomain [127.0.0.1])
05: 	by localhost (Email Security Appliance) with SMTP ID: [ID filtered]
06: 	Mon, 26 Oct 2020 xx:xx:xx +0000 (GMT)
07: Received: from MEL003.herouville.net (MEL003.herouville.net [192.168.2.180])
08: 	by mail.herouville.net (Sophos Email Appliance) with ESMTP ID: [ID filtered]
09: 	Mon, 26 Oct 2020 xx:xx:xx +0000 (GMT)
10: Received: from MEL003.herouville.net (192.168.2.180) by
11: MEL003.herouville.net
12:  (192.168.2.180) with Microsoft SMTP Server (version=TLS1_2,
13:  cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) ID: [ID filtered]
14:  2020 xx:xx:xx +0100
15: Received: from MEL003.herouville.net ([fe80::cca4:3054:1164:de4a]) by
16:  MEL003.herouville.net ([fe80::cca4:3054:1164:de4a%4]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer,

Wir migrieren alle E-Mail-Konten auf das neueste Upgrade von Outlook Web
App 2020. Daher müssen alle aktiven Kontoinhaber überprüfen und sich
anmelden, damit das Upgrade und die Migration jetzt automatisch wirksam
werden. Dies geschieht, um die Sicherheit und Effizienz aufgrund der
neuesten Spam-Nachrichten zu verbessern.

Um Dienstunterbrechungen zu vermeiden, klicken Sie bitte auf den
folgenden Link, um Ihre Beiträge zu aktualisieren

Outlook Web App 2020 und melden Sie sich an, um mehrere Spam-Mails zu
migrieren und zu blockieren.

Wenn Sie Ihr Konto nicht innerhalb von 24 Stunden übertragen, wird Ihr
Konto vorübergehend gesperrt, sodass Sie keine E-Mails empfangen /
senden können.

IKT-Helpdesk

Informationstechnologie

^whois:

Wieder dummdreist nach Mugu-Art:

header:
01: Received: from anproxymail.aduana.gob.bo (correoan.aduana.gob.bo
02: [190.129.75.241])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Thu,  5 Nov 2020 xx:xx:xx +0100 (CET)
05: Received: from anproxymail.aduana.gob.bo (localhost.localdomain [127.0.0.1])
06: 	by anproxymail.aduana.gob.bo (Proxmox) with ESMTP ID: [ID filtered]
07: 	Thu,  5 Nov 2020 xx:xx:xx -0400 (-04)
08: Received: from ANEXTR01.aduana.gob.bo (unknown [172.16.1.130])
09: 	by anproxymail.aduana.gob.bo (Proxmox) with ESMTPS ID: [ID filtered]
10: 	Thu,  5 Nov 2020 xx:xx:xx -0400 (-04)
11: Received: from anexbd02.aduana.gob.bo ([fe80::31ba:e3ba:d634:a9ef]) by
12:  ANEXTR01.aduana.gob.bo ([::1]) with mapi ID: [ID filtered]
13:  xx:xx:xx -0400
x-originating-ip: [196.170.6.112] -> Togo Telecom

gecrackt:

Zitat:

Sehr geehrter Benutzer des Microsoft-Kontos,

Ihr E-Mail-Konto wird bald vom Microsoft-Überprüfungsteam gesperrt.
Weil Ihr E-Mail-Konto nicht auf unsere neueste Version von Microsoft
aktualisiert wird.
KLICKEN Sie jetzt HIER

^whois:

um ein Upgrade durchzuführen und Ihr Konto sicher zu halten.

Vielen Dank!

Microsoft Outlook-Upgrade-Team
Copyright © 2020 Webmail .Inc. Alle Rechte vorbehalten.

13.11.2020, 11:51
kjz1
neuer Fall nach Mugu-Art:

header:
```
01: Received: from mail-gateway.hmt-rostock.de (mail-gateway.hmt-rostock.de
02: [193.174.157.250])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 13 Nov 2020 xx:xx:xx +0100 (CET)
```
gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer,

Wir migrieren alle E-Mail-Konten auf das neueste Update von Outlook Web
App 2020. Daher müssen alle aktiven Kontoinhaber überprüfen und sich
anmelden, damit das Upgrade und die Migration jetzt automatisch wirksam
werden. Dies geschieht, um die Sicherheit und Effizienz aufgrund der
neuesten Spam-Nachrichten zu verbessern.

Um Dienstunterbrechungen zu vermeiden, klicken Sie bitte auf den
folgenden Link, um Ihre Beiträge zu aktualisieren
Outlook Web App 2020 und melden Sie sich an, um mehrere Spam-Mails zu
migrieren und zu blockieren.

Wenn Sie Ihr Konto nicht innerhalb von 24 Stunden übertragen, wird Ihr
Konto vorübergehend gesperrt, sodass Sie keine E-Mails empfangen /
senden können.

IKT-Helpdesk
Informationstechnologie

^whois:
01.12.2020, 12:47
kjz1
header:
```
01: Received: from sirio.notelseit.com ([144.76.110.49]) by mx-ha.gmx.net
02:  (mxgmx117 [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  for <x>; Mon, 30 Nov 2020 xx:xx:xx +0100
04: Received: by sirio.notelseit.com (Postfix, from userID: [ID filtered]
05: 	ID: [ID filtered]
```
Zitat:

Dear Customer ,

Your Account has been Locked due to several unsuccessful login attempts.

Date: 08/11/2018
Activity: 3 failed login attempts.

Verify Now

If you have questions about your account you will find additional
helpful information under 1&1 Help & Contact.

Best regards,
1&1 Support Team

You received this email to let you know about important changes to your
Google Account and services.
© 2018 1&1 Internet.,1600 Amphitheatre Parkway, Mountain View, CA 94043, USA

^whois:

also:

^whois:
IP: 5.188.213.88 -> AS199524 G-Core Labs S.A., LU
08.12.2020, 19:07
kjz1
So etwas hatte ich auch noch nicht, aber es müffelt stark nach Phishing (evil Google sei Dank)...

header:
```
01: Received: from kirmani.pair.com (kirmani.pair.com [209.68.5.161])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Tue,  8 Dec 2020 xx:xx:xx +0100 (CET)
04: Received: by kirmani.pair.com (Postfix, from userID: [ID filtered]
05: 	ID: [ID filtered]
```
Zitat:

<mein Provider> Spam Quarantine Summary
Total inbound quarantined emails for <meine Emailadresse> : 8 message

The emails listed below are ones that have been placed in your
quarantine digest since the last quarantine summary was sent.

Your quarantine is protected and authentication is required to manage
your messages.
You can review these here and choose what happens to them. You can
review your <mein Provider> email settings here View Emails

Quarantine Usage: 17% of 45000kb Messages older than 5 days will be removed
Email Quarantined Since Last Notification (No previous notification): 6
message

Sender Subject Manage Messages
Online Banking Security Update Approve Delete
Finance/Accounting Staff for xxxxx Approve Delete
Complimentary Pass to the Sales & Marketing Expo Approve Delete
FW: Recruitment for xxxxx Approve Delete
Amazon Password Assistance Approve Delete
x, Your Payroll Information Has Been Changed! Approve Delete
Reduce Your Costs with LED Lighting Approve Delete
Re: Pro-forma Approve Delete

^whois:...
07.01.2021, 16:09
kjz1
siehe #185, #183:

header:
```
01: Received: from mail.quito.gob.ec (mail.quito.gob.ec [190.152.144.4])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Thu,  7 Jan 2021 xx:xx:xx +0100 (CET)
```
gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer,

Wir migrieren alle E-Mail-Konten auf das neueste Update von Outlook Web
App 2021. Daher müssen alle aktiven Kontoinhaber überprüfen und sich
anmelden, damit das Upgrade und die Migration jetzt automatisch wirksam
werden. Dies geschieht, um die Sicherheit und Effizienz aufgrund der
neuesten Spam-Nachrichten zu verbessern.

Um Dienstunterbrechungen zu vermeiden, klicken Sie bitte auf den
folgenden Link, um Ihre Beiträge zu aktualisieren
Outlook Web App 2021 und melden Sie sich an, um mehrere Spam-Mails zu
migrieren und zu blockieren.

Wenn Sie Ihr Konto nicht innerhalb von 24 Stunden übertragen, wird Ihr
Konto vorübergehend gesperrt, sodass Sie keine E-Mails empfangen /
senden können.

IKT-Helpdesk
Informationstechnologie

^whois:

Liest sich für mich wie: NL Frauds 34 Russia... Hat da etwa ein Mugu aus den Niederlanden ein Template von der Russenmafia 'erworben'?

Wieder mal dummphishing nach Mugu-Art:

header:
01: Received: from eu-smtp-delivery-146.mimecast.com
02: (eu-smtp-delivery-146.mimecast.com [207.82.80.146])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Thu, 14 Jan 2021 xx:xx:xx +0100 (CET)
05: Received: from exchange.intern.wehkamp.nl (194.53.30.6 [194.53.30.6]) (Using
06:  TLS) by relay.mimecast.com with ESMTP ID: [ID filtered]
07: X-MC-Unique: rDBa9NaNNx-LpPs6d2fLyw-10
08: Received: from WELPWEXC001.intern.wehkamp.nl (10.100.71.51) by
09:  WELPWEXC001.intern.wehkamp.nl (10.100.71.51) with Microsoft SMTP Server
10:  (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) ID: [ID filtered]
11: Received: from WELPWEXC001.intern.wehkamp.nl
12: ([fe80::b8f4:214c:2504:9aa4]) by
13:  WELPWEXC001.intern.wehkamp.nl ([fe80::b8f4:214c:2504:9aa4%4]) with mapi ID: [ID
14: 	filtered]
gecrackt:

Zitat:

Ihre Mailbox ist voll und Sie müssen sie jetzt aktualisieren, indem Sie
auf diesen Link klicken:

^whois:

Hinweis: Wenn Sie nicht auf den obigen Link klicken können, empfehlen
wir, ihn zu kopieren und in einen neuen Browser einzufügen, um das
aktualisierte E-Mail-Kontingent zu erhöhen.
Wenn Sie die erforderlichen Überprüfungsdetails für das Upgrade nicht
angeben, wird Ihr Postfach automatisch deaktiviert.

Büro für Verwaltungsdienste.
© 2021 Mail Inc.

20.01.2021, 12:16
Aliena2020

..und das landete heute im Spam-Ordner:

NN ist in einem neuen Datenleck aufgetaucht

Firefox Monitor warnt dich vor Datenlecks, die deine persönlichen Daten betreffen. Wir haben soeben Informationen über ein Datenleck bei einem anderen Unternehmen erhalten.

Nitro

Datenleck hinzugefügt:

19. Januar 2021

Kompromittierte Daten:
Passwörter, E-Mail-Adressen

Dieses Datenleck als erledigt markieren

Weitere Informationen zu Firefox Monitor

und das spuckte mir Whois Lookup aus als Absender:
IP Information for 54.240.59.70
Quick Stats
IP Location United States Of America United States Of America Los Angeles Amazon Web Services Inc.
ASN United States Of America AS16509 AMAZON-02, US (registered May 04, 2000)
Resolve Host a59-70.smtp-out.us-west-2.amazonses.com
Whois Server whois.arin.net
IP Address 54.240.59.70

Ist das nu Spam oder nicht?
20.01.2021, 13:11
kjz1
Dazu müsste man den zumindestens den gesamten Header sehen. Mugu-Phishing von heute sieht so aus:

header:
```
01: Received: from rbksmtp4.rbk.de (rbksmtp4.rbk.de [195.167.217.119])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Wed, 20 Jan 2021 xx:xx:xx +0100 (CET)
04: Received: from RBKEX2K16-2.rbk.intra (10.100.140.86) by
05: RBKEX2K16-2.rbk.intra
06:  (10.100.140.86) with Microsoft SMTP Server (version=TLS1_2,
07:  cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) ID: [ID filtered]
08: Received: from RBKEX2K16-2.rbk.intra ([10.100.140.86]) by
09:  RBKEX2K16-2.rbk.intra ([10.100.140.86]) with mapi ID: [ID filtered]
```
gecrackt:

Zitat:

An alle Mitarbeiter \ Mitarbeiter

Beachten Sie dieses wichtige Update, dass unsere neue Webmail durch ein
neues Messaging-System von Owa / Outlook verbessert wurde, das auch
Covid-Updates, eine schnellere Verwendung per E-Mail, einen
freigegebenen Kalender, Webdokumente und die neue Super-Spam-Version
2021 enthält.

Bitte verwenden Sie den unten stehenden Link, um Ihr Update für unsere
neue verbesserte Webmail für Owa / Outlook abzuschließen.
KLICKEN Sie zum Aktualisieren auf

^whois:

Grüße,
IT Service Desk-Support
20.01.2021, 22:23
Aliena2020

da isser, leider weiß ich nicht, wie man den umwandelt, wie bei euren postings - wenn es mir mal wer erklären würde? das wäre super!

Return-Path: <>
Received: from a59-70.smtp-out.us-west-2.amazonses.com ([54.240.59.70]) by
mx.kundenserver.de (mxeue112 [217.72.192.67]) with ESMTPS (Nemesis) id
1MHpIm-1lDXuh3PKI-00Er7j for <NN>; Tue, 19 Jan 2021
22:52:18 +0100
DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/simple;
; d=mozilla.com; t=1611093135;
h=Content-Type:From:To:Subject:Message-ID:Content-Transfer-Encoding:Date:MIME-Version;
bh=7Kqr10Za6Ixb4gKoiRp8ycnvfkRKiQopperCBxqhxVo=;
b=Q6CYJq6NSYkx6m76V25Rbf+JdHZFbZPvWWtvcn5bsr/68ggHT5onL9gQ0/i9R5rk
RaSaxt/00KTcyxUB0sBG9vytKXgswu43WVOXfZZSltlTQ3/an7etZzlfPR+3PALYy01
p3sDgUAGDF0LOJNGKSWH1yQrG7j3FnudZHJhKIvc=

geht nur "zu Fuß" > [header] [/.header] Punkt weglassen

header:

01: Return-Path:
02: 	<010101771ca2511d-3aaed404-bd6c-4998-ac72-d12c997b7ad1-000000 [at] us-west-2.amazonses.com>
03: Received: from a59-70.smtp-out.us-west-2.amazonses.com ([54.240.59.70]) by
04:  mx.kundenserver.de (mxeue112 [217.72.192.67]) with ESMTPS (Nemesis) id
05:  1MHpIm-1lDXuh3PKI-00Er7j for <NN>; Tue, 19 Jan 2021
06:  xx:xx:xx +0100
07: DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/simple;
08:     ; d=mozilla.com; t=1611093135;
09:     h=Content-Type:From:To:Subject:Message-ID:Content-Transfer-Encoding:Date:MIME-Version;
10:     bh=7Kqr10Za6Ixb4gKoiRp8ycnvfkRKiQopperCBxqhxVo=;
11:     b=Q6CYJq6NSYkx6m76V25Rbf+JdHZFbZPvWWtvcn5bsr/68ggHT5onL9gQ0/i9R5rk
12:     RaSaxt/00KTcyxUB0sBG9vytKXgswu43WVOXfZZSltlTQ3/an7etZzlfPR+3PALYy01
13:     p3sDgUAGDF0LOJNGKSWH1yQrG7j3FnudZHJhKIvc=

21.01.2021, 00:59
hoppala

Der Header sieht nicht unplausibel aus. kundenserver.de müsste eigentlich die DKIM-Signatur von mozilla.com prüfen und meckern, wenn sie gefälscht ist.
Und dass solche Mails von großen Organisationen über Amazon SES geschickt werden, passt auch.

hoppala
17.02.2021, 12:04
kjz1
Wieder mal nach Mugu-Art:

header:
```
01: Received: from smtp2.cg34.fr (smtp2.cg34.fr [212.51.190.226])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Wed, 17 Feb 2021 xx:xx:xx +0100 (CET)
```
gecrackt:

Zitat:

Hallo,
Sie wurden von der IT-Serviceabteilung kontaktiert, um unsere
E-Mail-Daten zu schützen, die Sie ignoriert haben. Wir haben eine
schwerwiegende unerwünschte Nachricht erhalten, die in großen Mengen an
alle unsere Outlook-Benutzer gesendet wurde. Bitte sichern Sie Ihre
E-Mail JETZT mit unserem neuen Anti-Spam-Mailinblack. Damit Ihre Mail
zugestellt werden kann, schützen Sie Ihre E-Mail jetzt, indem Sie unser
Anti-Spam-Mailinblack-Portal unter

^whois:

und installieren Sie die Anti-Spam-Mailinblack-Software.

Grüße,

Loirat Davis

IT Service Desk-Support

IT-Support-Analyst

Informationstechnologiedienstleistungen DEPT.
18.02.2021, 18:25
nlnn

Besonders spaßig ist es wenn man die Mail Adresse einfach ändert, z.B. auf #
Ist keine Textarea aber meist kann man mehrere Mitteilungen hinterlassen bevor man zu schotter.dort weitergeleitet wird.
Das Passwort dient in dem Fall als Mitteilung an den Phisher, wenn man mag :cool:. Eintüten kann man das sehr wirksam über
25.02.2021, 13:11
kjz1
Dummdreist nach Mugu-Art:

header:
```
01: Received: from mail.cornwallhospital.ca (mail.cornwallhospital.ca
02: [76.75.144.81])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Thu, 25 Feb 2021 xx:xx:xx +0100 (CET)
05: Received: from mail.cornwallhospital.ca (unknown [127.0.0.1])
06: 	by IMSVA (Postfix) with ESMTP ID: [ID filtered]
07: 	Thu, 25 Feb 2021 xx:xx:xx -0500 (EST)
08: Received: from mail.cornwallhospital.ca (unknown [127.0.0.1])
09: 	by IMSVA (Postfix) with ESMTP ID: [ID filtered]
10: 	Thu, 25 Feb 2021 xx:xx:xx -0500 (EST)
11: Received: from orion.cgh-lan.local (unknown [192.168.0.164])
12: 	by mail.cornwallhospital.ca (Postfix) with ESMTPS;
13: 	Thu, 25 Feb 2021 xx:xx:xx -0500 (EST)
14: Received: from ORION.cgh-lan.local ([192.168.0.164]) by orion.cgh-lan.local
15:  ([192.168.0.164]) with mapi ID: [ID filtered]
```
x-originating-ip: [105.112.108.238] -> AS36873 Airtel Networks Limited, Nigeria

gecrackt:

Zitat:

From: Barretto, Dawn
Sent: Thursday, February 25, 2021 5:01 AM
Subject: Bestätigen Sie Ihre Einschätzung !!!

Mitarbeiterbeurteilung für SIE.
Eine Mitarbeiterbewertung wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser zu unserem gesicherten

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre E-Mail-Adresse
und Ihr Passwort ein
3. Weitere Informationen werden an Ihren Posteingang gesendet, um das
aktuellste Datum aus dem Dropdown-Listenfeld auszuwählen
4. Suchen Sie den Abschnitt "Mitarbeiterbestätigung"
5. Bitte bestätigen Sie die Beurteilung, indem Sie eine der drei (3)
Optionen im Abschnitt Mitarbeiterbestätigung auswählen
6. Klicken Sie auf die Schaltfläche "Speichern".

Mal wieder den Dienst einer Marketingklitsche missbraucht, aber warum wundert mich das nicht...
26.02.2021, 10:22
nlnn
Zum Spielen bevor es geblockt wird (privaten Modus nicht vergessen)

header:
```
01: Received: from e7.valueserver.jp (e7.valueserver.jp [157.7.184.30])
02: 	(using TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits))
03: 	(Client dID: [ID filtered]
04: 	by victims-host (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <victim [at] receiver>; Fri, 26 Feb 2021 xx:xx:xx +0100 (CET)
06: Received: (qmail 23831 invoked by UID: [UID filtered]
```
Zitat:

*Witheld Incoming Mails*

Dear victim

You have 6(six) incoming mails associated with victim@receiver on hold,

Follow below portal to prompt delivery to avoid being barred from receiving mails.

PROMPT DELIVERY NOW
<https://archive.org/download/02-25-2021-11-18-outlook-web-app-02-25-2021-11-18-outlook-web-app_202102/02_25_2021_11_18_outlook-web-app02_25_2021_11_18_outlook-web-app.html#>

Best Regard,
Outlook Mail Service.

If you no longer wish to receive derag.de newsletter _Unsubscribe Now_
<https://archive.org/download/02-25-2021-11-18-outlook-web-app-02-25-2021-11-18-outlook-web-app_202102/02_25_2021_11_18_outlook-web-app02_25_2021_11_18_outlook-web-app.html#victim@receiver>
Please do not reply this message. Replies cannot be received.

Jetzt kommen die ollen Kamelle... Wie gesagt, dass Passwort Feld ist für Mitteilungen an den Empfänger gedacht und keine Textarea man muss also geduldig nach jedem Satz Enter drücken bevor man weitermachen kann:cool:
12.03.2021, 09:38
kjz1
siehe #188, #185, #183, wieder nach Dumm-Mugu-Art:

header:
```
01: Received: from mail.quito.gob.ec (mail.quito.gob.ec [190.152.144.4])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Fri, 12 Mar 2021 xx:xx:xx +0100 (CET)
```
Anscheinend gab es in Ecuador besonders viele Gutgläubige,

gecrackt:

Zitat:

Mitarbeiter, Mitarbeiter.

Heute, am 12. März 2021, migrieren wir das gesamte E-Mail-Konto von
Mitarbeitern und Mitarbeitern auf Outlook 2021 Office Webmail. Daher
müssen alle Mitarbeiter und aktiven Mitarbeiter eine dringende
Aktualisierung und Migration überprüfen und sich anmelden, um die
Sicherheit und Effizienz aktueller Spam-E-Mails zu verbessern.

Alle Mitarbeiter und Mitarbeiter müssen HIER KLICKEN, um für
Mitarbeiter und Mitarbeiter zu Outlook Webmail 2021 zu wechseln.

Beachten Sie, dass diese Migration zu Outlook 2021 für alle E-Mails
dieses Dienstes gilt. Wir werden alle nicht aktivierten und inaktiven
E-Mail-Konten deaktivieren, die in den nächsten 24 Stunden nicht ohne
vorherige Ankündigung migriert wurden.

Komplimente,

Externer E-Mail-Administrator
Outlook-Dienst für Mitarbeiter und Internetdienst
Copyright 2021.

^whois:
IP: 217.16.182.226 -> AS43541 VSHosting s.r.o., CZ
14.04.2021, 15:44
kjz1
Wieder Dumm-Phishing nach Mugu-Art:

header:
```
01: Received: from relay2.magticom.ge (relay2.magticom.ge [81.95.160.44])
02: 	by xxxxx (Postfix) with ESMTP;
03: 	Wed, 14 Apr 2021 xx:xx:xx +0200 (CEST)
04: Received: from CAS-HUB01.magticom.ge (cas-hub01.magticom.ge
05: [192.168.19.103])
06: 	by relay2.magticom.ge (8.15.2/8.15.2) with ESMTP ID: [ID filtered]
07: 	Wed, 14 Apr 2021 xx:xx:xx +0400 (GET)
08: Received: from MAILBOX02.magticom.ge ([fe80::f19f:ff33:38d2:2ee4]) by
09:  CAS-HUB01.magticom.ge ([::1]) with mapi ID: [ID filtered]
10:  xx:xx:xx +0400
```
gecrackt:

Zitat:

Wir haben kürzlich den Versuch blockiert, sich von einem unbekannten Ort
aus in Ihr Box-E-Mail-Konto einzuloggen. Jemand hat Ihre E-Mail-Adresse
verwendet. Es wurden rechtswidrige und geeignete Maßnahmen ergriffen, um
Ihren Web-Login-Zugriff bis auf weiteres zu sperren.

Wenn Sie mit dieser Aktion nicht vertraut sind, schließen Sie den
Aktualisierungsvorgang ab, um sicherzustellen, dass Ihre E-Mail aktiv
bleibt. Andernfalls wird Ihr E-Mail-Konto aus unserer Datenbank
deaktiviert. Bitte seien Sie informiert und antworten Sie schnell auf
diese Benachrichtigung, indem Sie auf den unten stehenden Link klicken,
um das Update zur Überprüfung zu erhalten.

Klicken Sie auf ===> ^whois:

Wenn Sie oben nicht auf den obigen Bestätigungslink klicken können, wird
empfohlen, ihn zu kopieren und in einen neuen Browser einzufügen.

E-MAIL-Service-Support.

© 2021 Mail Administrator Inc.

'Rechtwidrige Maßnahmen, um das Konto zu sperren' jaja, wie blöd kann man sein...

40 Beiträge dieses Themas auf einer Seite anzeigen