Die Schweizer Formel dürfte in die selbe Richtung gehen:


header:
01: Return-Path: <bluhm-xxx=xxx-xxx=xxx [at] spotter.host>
02: Received: from x16.pushdoms.com ([194.182.173.44]) by mx-ha.web.de (mxweb110
03: 	[212.227.17.8]) with ESMTP (Nemesis) ID: [ID filtered]
04: DKIM-Signature: x
05: To: xxx [at] xxx
06: Subject:
07: 	=?UTF-8?B?4ZCFIEVyZm9sZ3JlaWNoIHdlcmRlbjogV2VzaGFsYiA5NSUga2VpbmVuIEVyZm9sZyBoYWJlbuKcjO+4jw==
08: 	=
09: Message-ID: [ID filtered]
10: Date: Mon, 18 Mar 2019 xx:xx:xx +0000
11: From: "D. B." <bluhm [at] spotter.host>
12: Reply-To: bluhm [at] spotter.host
13: MIME-Version: 1.0
14: Content-Type: text/html; charset="UTF-8"
15: Content-Transfer-Encoding: 7bit
16: Envelope-To: <xxx [at] xxx>
17: X-Spam-Flag: YES

Ziel: whois: [Link nur für registrierte Mitglieder sichtbar. ]

Langer Weg:

whois:
https://deutschformel.com/index.php?xparam=schweizerformel.co/index.php&campaign=29954&offer_id=10891&aff_id=10008&creative=1147&aff_sub4=&aff_sub5=&aff_sub2=&aff_sub3=&goal_id=1008&country_code=None&customer_id=1147&aff_sub=&transaction_id=xd&trk_sys_id=1&test=0
.
.
.
whois: [Link nur für registrierte Mitglieder sichtbar. ]
.
.
.
whois: [Link nur für registrierte Mitglieder sichtbar. ]
.
.
.
whois: [Link nur für registrierte Mitglieder sichtbar. ]
.
.
.
whois: [Link nur für registrierte Mitglieder sichtbar. ]

Und JA, auch hier handelt es sich wieder um ein betrüberisches Fake