Das längste Thema

    Zitat von Paul

    Einfach mal so kann man ja nicht mal eben alle Domains abfragen, die ein Registrar verwaltet

    Das ist m.E. auch garnicht der Fall.

    Die Mails gehen einfach wahllos an eine beliebige Liste von Domainnamen.

    Ich glaube ihr interpretiert da viel zuviel Intelligenz hinein... :)

    Zitat von ASS

    Das ist m.E. auch garnicht der Fall.

    Die Mails gehen einfach wahllos an eine beliebige Liste von Domainnamen.

    Ich glaube ihr interpretiert da viel zuviel Intelligenz hinein... :)

    Ja, das hat vermutlich gar nichts damit zu tun. Zumal halt auch Domains betroffen sind, bei denen Netcup gar nicht der Registar sind. Aber irgendwoher muss diese Liste ja kommen. Die Domains fallen ja nicht vom Himmel. Zumal die ja alle expliziten Zusammenhang mit Netcup haben. Die Domains findet man ja nicht einfach gerade mal so zufällig, nur weil der A Record zufällig auf eine Netcup IP auflöst.

    Es würde mich ja nicht wundern, wenn dafür sogar eine KI im Einsatz war, die als Prompt die Aufgabe bekommen hat, Domains zu suchen, deren Record auf eine Netcup IP auflöst :).

    Doch, soweit würde ich mich schon aus dem Fenster lehnen. Diese Phishing Kampagne richtig sich ganz explizit an Netcup Kunden. Ob da auch vereinzelt Nicht-Netcup-Kunden betroffen sind, kann sicherlich sein. Aber hier hat sich schon jemand Gedanken gemacht, wen er hier anschreiben muss. Das ist nicht die übliche Spamliste von Mailadressen, weil ein Service Provider ein Datenleck hatte. Da wurde schon ganz gezielt nach Domains gesucht.

    Also mein "kleinster gemeinsamer Nenner" meiner betroffenen Domains ist, dass für jede dieser Domains mal ein Zertifikat von einen netcup-Webhosting oder Server erstellt wurde. Daher meine Vermutung Certificate Transparency ... Ich habe bei netcup auch Domains registriert, die (Edit: nie) genutzt wurden. Da habe ich allerdings auch keine Mails erhalten. Naja, Kunststück. Wie soll ich Mails erhalten, wenn niemand einen A oder MX Record finden kann, außer vielleicht die IP des Domainparkers. Der hat mir aber noch nie eine Mail weitergeleitet :D

    Edit: Mist, UCEPROTECT hat meine Tastatur manipuliert, weil ich angeblich wegen Spamverdachts unter Beobachtung stehe :D :D , nachdem ich auf einen Jahrzehnte alten Link geklickt habe.

    2 Mal editiert, zuletzt von tab (17. Juli 2025 um 15:25)

    Vielleicht probieren sie mittlerweile auch Wortlisten und Kombinationen bei den großen TLDs durch. Das würde ich jedenfalls diversen Akteuren, die Domainlisten verkaufen, durchaus zutrauen. Für eine grundlegende Prüfung reicht es ja DNS abzufragen, was vergleichsweise extrem kostengünstig ist und durch die Nutzung von verschiedenen Resolvern sehr gut verschleiert werden kann. :)

    Infiltrierte Browsererweiterungen sind Gerüchten zufolge auch eine nette Möglichkeit, um Domains zu sammeln, die nicht öffentlich auftauchen. Kompromittierte Postfächer bei Kommunikationspartner verraten auch reine E-Mail-Domains. Vielleicht war die Domain auch schon einmal vor mehreren Jahren registriert und aktiv. Es gibt so viele Möglichkeiten, wie Domains bekannt werden.

    Ich bezweifle jedenfalls, dass die Versender von solchen Phishing-Kampagnen die Domainlisten selbst zusammentragen. Die kaufen die grundlegend bestimmt ein und filtern sie maximal anhand der A/AAAA-Records. Wobei es mich nicht wundern würde, wenn man die auch schon fix für ein ASN einkaufen kann. Dann haben die Phishing-Versender nur noch den Aufwand, das Zeug über fremde Server oder Postfächer zu verschicken.

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Einmal editiert, zuletzt von KB19 (17. Juli 2025 um 15:23)

    Andere Theorie für die aktuelle Spamwelle:

    ich nutze netcup nicht als Registrar, für absolut nichts (brauche funktionierendes DNSSEC). Meine Domains sind Registriert bei INYX und Nameserver bei INYX sowie der Wolkenfackel. Ich erhalte den Spam auch, die einzige Gemeinsamkeit aller Domains:

    A/AAAA Record zeigen auf einen netcup Server

    PTR einzeler Server enthalten die Domainnamen bzw. Subdomains.

    Riecht nach einem automatisierten PTR Lookup mit etwas Regex-Magic was den Subdomainteil wegschneidet und voilà: Spam-Liste erstellt. Dann noch RFC Adressen und übliche Verdächtige wie info@, postmaster@ etc. anhängen und ab geht die Lutzi

    My 5 cents...


    was ich bisher mitgelesen habe:

    Vom aktuellen Phishing betroffen sind:
    a) Webhosting Kunden, mit deren Domains
    b) VPS/RS Kunden, mit deren Domains
    c) "Domain-only" Kunden

    (c) sogar, wenn gar keine eigenen DNS Einträge existieren, korrekt? Somit nur der SOA Record


    Zur Gruppe (b) gehöre ich auch. Hier würde ich aus den "üblichen Erfahrungen" mit Port Scans, brute forcing etc. vermuten, dass hier spezifisch netcup Netzsegmente einfach gescriptet per z.B. nslookup <IPv4> "vorbereitend" durchgearbeitet wurden. Jeder VPS/RS Kunde mit PTR offenbart darüber zumindest eine seiner Domains. Und diese Segmente lassen sich über die netcup ASN einfach finden, kein Geheimnis.

    Würde mich, auf die Schnelle finde ich dazu nichts im Wiki oder hier im Forum (nicht sehr sortfältig gesucht evtl. ;)) interessieren, ob dieser Weg auch für Webhosting möglich wäre - funktioniert da FcrDNS genauso?

    Und was mich zusätzlich interessieren würde:

    Ich habe drei Domains, <domain>.DE|AT|EU. Da nur eine statische IPv4, zeigt der PTR auf <domain>.DE. Damit nun aber <postfach>@<domain>.AT|EU senden können, existiert (u.a.) für beide Domains ein "Host" <domain>.AT|EU._report._dmarc TXT record in den DNS Records für <domain>.DE

    Aus Sicht der Domain <domain>.DE, also der einzigen der drei mit auf sie zeigendem PTR, ist das der einzige "Link" zu den beiden anderen Domains, welche via reverse DNS zu ihnen führen würde....

    Hat diese Konstellation noch jemand?

    Hat jemand eine aktuelle Phishing Mail zu einer Domain bekommen, auf die KEIN PTR zeigt?

    (c) würde über diesen Weg nicht funktionieren. Gibt es hier tatsächlich Einschläge?? Ich selbst habe zwar aus der letzten Aktion eine Domain geparkt, für diese kann aber nichts ankommen, da weder echte noch catch-all Postfächer bis jetzt :)

    Zitat von sla

    Andere Theorie für die aktuelle Spamwelle:

    ich nutze netcup nicht als Registrar, für absolut nichts (brauche funktionierendes DNSSEC). Meine Domains sind Registriert bei INYX und Nameserver bei INYX sowie der Wolkenfackel. Ich erhalte den Spam auch, die einzige Gemeinsamkeit aller Domains:

    A/AAAA Record zeigen auf einen netcup Server

    PTR einzeler Server enthalten die Domainnamen bzw. Subdomains.

    Riecht nach einem automatisierten PTR Lookup mit etwas Regex-Magic was den Subdomainteil wegschneidet und voilà: Spam-Liste erstellt. Dann noch RFC Adressen und übliche Verdächtige wie info@, postmaster@ etc. anhängen und ab geht die Lutzi

    Du warst acht Minuten schneller ;)

    Zitat von MichaelOF

    Hat jemand eine aktuelle Phishing Mail zu einer Domain bekommen, auf die KEIN PTR zeigt?

    Ja, bei allen bisherigen und aktuellen Wellen.

    Ich verwende nur drei Domains im PTR, aber die Mails kommen auch für ein knappes Dutzend anderer Domains. SSL-Zertifikate haben die aber definitiv alle, auch wenn es teilweise nur Weiterleitungen auf andere Domains sind. ;)

    Im Endeffekt wird es ein Mix aus mehreren Quellen sein.

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    3 Mal editiert, zuletzt von KB19 (17. Juli 2025 um 16:41)

    Ich habe mir gestern Abend mal den Spaß gemacht, im privaten Firefox Fenster (unter Linux) mit den WebDevTools die Ziele des Phishings etwas genauer anzusehen.

    Sieht nach den üblichen - angeblich via Darknet erwerbaren - "Wir basteln uns eine Phishing Site" Baukasten aus - sehr viel sehr ähnliches - unabhängig von netcup - im Umlauf aktuell.

    Die Links aller "netcup" Phishing Emails selbst gingen über diverse rein client-seitige Redirects (keine HTTP 301 o.ä. extern trackbar) zu einer Subdomain von artida.com (wo eine Wordpress Under Consctruction Site grüßt)

    Ziel also sowas wie http://01234567.artida.com/?id=example.com

    Ja, funktionierte tatsächlich mit example.com - der Query Parameter wird ohne Prüfung in die Maske "eingebaut".

    Diese ist eine mit mäßiger Mühe auf netcup "gebrandete" Seite, welche für die "Domainverlängerung" - Überraschung - Kreditkartendetails abfragt. Minimale Validierung, die ersten x Ziffern der Kartennummer scheinen gültig sein zu müssen - AFAIK definieren diese, ob VISA|MASTER|AMEX|... "1234..." werden also nicht akzeptiert. Gültig bis 07/99 auch nicht :)

    Ein Versuch mit Phantasiedaten und "Donald Duck" als Karteninhaber tat dann minutenlang nichts, außer in einer Schleife eine "Eieruhr" am laufen zu halten. Und teilte mir dann irgendwann mit, ich hätte jetzt eine 3D-Secure oder sowas Meldung auf meiner App bekommen. Welche ich doch bitte bestätigen soll. Danach geht die Maske irgendwann wieder in den Ausgangszustand zurück. Alles ohne weitere Interaktion.

    Also langweilig. So dass ich vermute, plattes Phishen von evtl. gültigen Kreditkartendaten. Sofern die Maske nicht doch bei "echter" Domain und "echten" Kartendaten was anderes tut ;)

    Ich hatte vermutet, dass es um was anderes gehen könnte. Da die Aktion ja doch - bei allen Ungenauigkeiten - recht präzise auf netcup Kunden zugeschnitten ist, habe ich vermutet, dass sie CCP Credentials abfangen wollen.... um Server etc. zu kapern.

    (Sarkasmus an) Davon hätten sie beim aktuellen Spammer's Heaven Netcup langfristig sicher mehr "Umsatz" gemacht. (Sarkasmus aus)