Phisingmail von "Netcup"

eben auch erhalten.

same here

Quote from iKameo

Moin Community,

das Phising scheint wohl auch auf andere Art weiterzugehen.

phising.png

Message headers:

Code

Return-Path: <725caff5@polifitness.it>
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on mx2e30.netcup.net
X-Spam-Level:
X-Spam-Status: No, score=0.5 required=7.0 tests=DKIM_SIGNED,DKIM_VALID,
    DKIM_VALID_AU,DKIM_VALID_EF,FROM_STARTS_WITH_NUMS,HTML_MESSAGE,
    SPF_HELO_PASS,SPF_PASS,T_SCC_BODY_TEXT_LINE autolearn=no
    autolearn_force=no version=3.4.2
X-Original-To: mail@MEINEDOMAIN
Delivered-To: mail@MEINEDOMAIN
Received: from polifitness.it (polifitness.it [88.198.12.114])
    by mx2e30.netcup.net (Postfix) with ESMTPS id C4080160578
    for <mail@MEINEDOMAIN>; Wed, 19 Apr 2023 06:44:40 +0200 (CEST)
Authentication-Results: mx2e30;
    dkim=pass header.d=polifitness.it;
    spf=pass (sender IP is 88.198.12.114) smtp.mailfrom=725caff5@polifitness.it smtp.helo=polifitness.it
Received-SPF: pass (mx2e30: domain of polifitness.it designates 88.198.12.114 as permitted sender) client-ip=88.198.12.114; envelope-from=725caff5@polifitness.it; helo=polifitness.it;
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; s=mail1; d=polifitness.it;
    h=Date:To:From:Subject:Message-ID:List-Unsubscribe:MIME-Version:Content-Type:
    Content-Transfer-Encoding;
    bh=9iBVRpFjBJ1Z2U1v0SiaeD7jUm0zo40+YejOrm2IQLM=;
    b=fIR/LDlmt4uum/ty8lt51qWo+p8pt500gL6qz7lBKvYLhg+TGROpS/zma0PIn1eGTiTEMPqY4azG
    yPWMds/ZEBEE4rzHkd2lCEghwgn//ECd3b/3wnEGl9IJF8vLo14uxOCvYxi7a6imFym7Q6JVt02R
    uZ46sHO2BwhSkXgoldg=
Date: Tue, 18 Apr 2023 23:41:54 -0500
To: mail@MEINEDOMAIN
From: Netcup <725caff5@polifitness.it>
Subject: Deine Domain MEINEDOMAIN wurde deaktiviert
Message-ID: <9179df892fba7765faaaae235734ae92@polifitness.it>
List-Unsubscribe: mailto:bounce666-3RpMEF5u0BmbeWv@polifitness.it?subject=list-unsubscribe
X-Campaign-ID: 6696166
X-mailer: Microsoft Mail version 6.7.0
Precedence: Bulk
MIME-Version: 1.0
Content-Type: multipart/alternative;
    boundary="1582899317e251c4803b77b7de6aed304"
Content-Transfer-Encoding: 8bit
X-Rspamd-Queue-Id: C4080160578
X-Spamd-Result: default: False [-3.01 / 15.00];
    BAYES_HAM(-5.50)[99.99%];
    PHISHING(2.00)[netcup.eu->giourosbikes.gr];
    URI_COUNT_ODD(1.00)[5];
    XM_CASE(0.50)[];
    DMARC_POLICY_ALLOW(-0.50)[polifitness.it,reject];
    R_SPF_ALLOW(-0.20)[+a:c];
    R_DKIM_ALLOW(-0.20)[polifitness.it:s=mail1];
    MIME_GOOD(-0.10)[multipart/alternative,text/plain];
    HAS_LIST_UNSUB(-0.01)[];
    MIME_TRACE(0.00)[0:+,1:+,2:~];
    ASN(0.00)[asn:24940, ipnet:88.198.0.0/16, country:DE];
    FROM_EQ_ENVFROM(0.00)[];
    MID_RHS_MATCH_FROM(0.00)[];
    RCVD_COUNT_ZERO(0.00)[0];
    DKIM_TRACE(0.00)[polifitness.it:+];
    RCPT_COUNT_ONE(0.00)[1];
    TO_MATCH_ENVRCPT_ALL(0.00)[];
    FROM_HAS_DN(0.00)[];
    TO_DN_NONE(0.00)[];
    PRECEDENCE_BULK(0.00)[];
    ARC_NA(0.00)[]
X-Rspamd-Server: rspamd-worker-8404
X-MORS-Enabled: yes
X-MORS-DOMAIN: MEINEDOMAIN
X-MORS-HOSTING: hostingXXXXX
X-MORS-USER: hostingXXXXX

Display More

Der admin.netcup.eu link im Body führt natürlich zu einer anderen Domain

Code

725caff5.giourosbikes.gr/?id=MEINEDOMAIN

Moderators gibt es eine Offizielle Stelle bei euch wo man sowas melden kann?

EDIT: Die Mail flattert alle 30 min mit einer anderen alias Mail bei mir ein.

Display More

Für den Netblock würde ich abuse@zenlayer.com und Domain domains@cretaforce.gr anschreiben, DNS wäre auch noch eine Möglichkeit und weggeschickt wird vom Marktbegleiter (reagiert vermutlich am schnellsten, der arme Fahrradhändler weiß wahrscheinlich gar nicht, wie ihm geschieht;)

Abuse contact info: abuse@hetzner.com

inetnum:         88.198.0.0 - 88.198.15.255

Whois IP 156.59.195.150

Updated 1 second ago

% [whois.apnic.net]

% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

% Information related to '156.59.0.0 - 156.59.255.255'

% Abuse contact for '156.59.0.0 - 156.59.255.255' is 'email@zenlayer.com'

temp.jpg

Quote from iKameo

Moderators gibt es eine Offizielle Stelle bei euch wo man sowas melden kann?

EDIT: Die Mail flattert alle 30 min mit einer anderen alias Mail bei mir ein.

Vielen Dank für eure Meldungen!
Ihr könnt uns über die E-Mail informieren, indem ihr uns die E-Mail inkl. Header an abuse@netcup.de weiterleitet. Bitte beachtet, dass wir ohne Header der E-Mail diese nicht verwerten können. Bitte sendet Sie uns die E-Mail ausschließlich inkl. Header. E-Mail-Programme bieten dazu in der Regel eine Option, den „Quelltext“ der Nachricht anzeigen zu lassen. Ihr könnt die E-Mail auch als .eml-Datei speichern und als Anhang mit kurzer Erläuterung an uns schicken. Dies ermöglicht es uns, die Nachricht zu untersuchen und Schutzmaßnahmen für unsere Kunden zu ergreifen.

Quote from [netcup] Claudia H.

Die offizielle Stelle zur Meldung von Phishing: abuse@netcup.de

Vielen Dank für eure Meldungen!

Ich wette, die Mitarbeiter dieser Abteilung haben nicht alle E-Mails der letzten Woche gelesen.

Das rote H hat den Server (von dem die Mails kamen) auch schon gesperrt.

pasted-from-clipboard.png

Die Story geht weiter.

Die Phishingmails gehen nun auch gezielt an vorhandene eMail-Adressen zu netcup-domains.

pasted-from-clipboard.png

Hab nur kurz in den Quelltext gesehen, aber die Sende-IP (bei netcup) passt wohl nicht zur Absenderadresse (H etzner)

Guten Morgen und vielen Dank für die Meldung hier. Ich darf weitergeben, dass uns dieser Fall bekannt ist und bereits an die entsprechenden Stellen gemeldet wurde.

Quote from aRaphael

Die Story geht weiter.

Die Phishingmails gehen nun auch gezielt an vorhandene eMail-Adressen zu netcup-domains.

pasted-from-clipboard.png

Hab nur kurz in den Quelltext gesehen, aber die Sende-IP (bei netcup) passt wohl nicht zur Absenderadresse (H etzner)

Display More

Wie, da versendet jemand Phishing-Mails aus IP-Rage bei netcup?

Nein, sorry. Ist doch eine IP von H etzner.

Ich hatte vorhin nur flüchtig drübergesehen (keine Zeit) und mich verwirren lassen, weil es eine Weiterleitung bei mir war.

Die Spam Versender sollten sich mal ein Netcup Webhosting zulegen, dann könnten Sie auch als mail@netcup.de versenden 😉 mit ip aus dem Netcup Netzwerk

Quote from Geheftet09

dann könnten Sie auch als mail@netcup.de versenden

Wurde das nicht gefixt?

Quote from Bud

Wurde das nicht gefixt?

Meines Wissens nicht.

Ja, versenden könnten sie die Mail vielleicht, aber jeder vernünfig konfigurierte Mailserver würde die Mail abweisen wegen des SPF-Eintrags der Domain netcup.de, um das zu vermeiden, müssten sie auch von einer der dafür authorisierten IPs senden. Und da ist hoffentlich keine IP dabei, auf die Webhostings-Kunden Zugriff haben.

Quote from Geheftet09

Die Spam Versender sollten sich mal ein Netcup Webhosting zulegen, dann könnten Sie auch als mail@netcup.de versenden 😉 mit ip aus dem Netcup Netzwerk

Du wirst kaum eine IP-Adresse aus diesem Bereich haben

"v=spf1 ip4:212.123.34.96/28 ip4:212.123.36.25 ip4:188.65.77.204 ip6:2a03:4000:0:1::e1aa mx ip4:212.123.41.224/28 include:_spf.hostedemail.com  -all"
"v=spf1 ip4:216.40.44.0/24 ip4:216.40.42.17 ip4:216.40.42.19 ip4:216.40.42.27 ip4:216.40.42.28/31 ip4:64.98.42.0/24 ip4:64.98.36.17 ip4:64.98.36.19 ip4:64.98.36.27 ip4:64.98.36.28/31 ip4:64.98.47.0/24 ip4:64.98.36.30 ip4:216.40.34.9 ~all"

Das meiste stammt von EPAG/Ascio/Tucows, dem Domainregistrar im Hintergrund für einige TLDs. Die einzige zu Anexia bzw. netcup gehörenden IP-Adresse ist 188.65.77.204 und durch das "MX" natürlich alles hinter smtp.netcup.net bzw. backupmx-fra1.netcup.net. Und beim Webhosting wird das wohl eher nicht über diese Infrastruktur versendet?

Quote from tab

Ja, versenden könnten sie die Mail vielleicht, aber jeder vernünfig konfigurierte Mailserver würde die Mail abweisen wegen des SPF-Eintrags der Domain netcup.de, um das zu vermeiden, müssten sie auch von einer der dafür authorisierten IPs senden. Und da ist hoffentlich keine IP dabei, auf die Webhostings-Kunden Zugriff haben.

OT aber weil ich heute so eine Antwort vom Marktbegleiter auf meine Frage, warums standardmäßig Neutral bei SPF setzen, erhalten habe

"Das ist einfach unsere eigene Präferenz weil wir nicht wollen das fehlerhafte SPF Einträge den Mailversand der Kunden einschränken."

Quote from aRaphael

Die Story geht weiter.

Die Phishingmails gehen nun auch gezielt an vorhandene eMail-Adressen zu netcup-domains.

pasted-from-clipboard.png

Hab nur kurz in den Quelltext gesehen, aber die Sende-IP (bei netcup) passt wohl nicht zur Absenderadresse (H etzner)

Display More

Die neue IP (5.9.66.182) ist dem roten H jetzt auch gemeldet. Mal sehen, wie lange die noch sendet...

pasted-from-clipboard.png

Quote from tab

Ja, versenden könnten sie die Mail vielleicht, aber jeder vernünfig konfigurierte Mailserver würde die Mail abweisen wegen des SPF-Eintrags der Domain netcup.de, um das zu vermeiden, müssten sie auch von einer der dafür authorisierten IPs senden. Und da ist hoffentlich keine IP dabei, auf die Webhostings-Kunden Zugriff haben.

Hi Zusammen,

so, gerade mal von einem Webhosting Paket probiert. Kam ohne Probleme bei meinem Exchange direkt bei Microsoft an, nicht als SPAM markiert.

Liegt aber auch vielleicht daran, dass Netcup.de keine DMARC Richtlinie veröffentlicht hat, da bringt dir dann weder ein Fail beim SPF noch beim DKIM etwas.

Wenn Bedarf besteht, dann füge ich natürlich auch noch die E-Mail Header nach.

Bildschirmfoto 2023-04-20 um 16.50.26.pngBildschirmfoto 2023-04-20 um 16.55.52.png

Meine Server-IP und Domain wurde gerade von Chrome als schädlich markiert - ich habe nachgeforscht:

Es liegt an dem Blacklisting bei UCEPROTECT-Level3 für komplett Netcup. Mein Server ist nicht daran "Schuld". Bitte schnellstmöglich lösen! Ich habe dem Support auch gerade schon eine Nachricht geschrieben.

pasted-from-clipboard.png