SPAM Warnung: "Unbezahlte Rechnung - Gefahr der Domain-Deaktivierung"

    Absender ist newsletter@zapef.com und es ging an die info Adresse einer meiner Domains.. Nach dem Einloggen im CCP konnte ich keine offene Rechnung finden, da bin ich stutzig geworden.. Den Link klickt ihr bitte nicht, der führt zu.

    Sehr geehrter Kunde xyz,

    Dies ist eine dringende Mitteilung bezüglich Ihrer unbezahlten Rechnung Nr. vz54213672 die seit dem 01/07/2025 überfällig ist. Diese Zahlung ist kritisch für die Erneuerung Ihrer Domain xyz.de

    Um eine Unterbrechung oder mögliche Deaktivierung Ihrer Domain zu verhindern, bitten wir Sie, die Rechnung umgehend per Kreditkarte zu begleichen. Bitte nutzen Sie dafür den folgenden Link.

    Bezahlen Sie Ihre Rechnung :

    WICHTIG: Bei Nichtzahlung innerhalb von 5 Tagen kann Ihre Domain ENDGÜLTIG gelöscht werden.



    Mit freundlichen Grüßen,

    Netcup GmbH

    Einmal editiert, zuletzt von [netcup] Sarah G. (17. Juli 2025 um 09:03) aus folgendem Grund: Entfernung bzw. Bearbeitung des Links, sodass niemand aus Versehen draufklicken kann.

    Ja, die Mail habe ich auch bekommen. Diesmal von einer anderen IP und der o.g. Absenderadresse. Und nicht so sauber konfiguriert wie die vorherige, wird von meinem Mailserver abgewiesen, bisher 25 26 Versuche :thumbdown: .

    Code
    450 4.7.25 Client host rejected: cannot find your hostname, [89.144.5.220]; from=<newsletter@zapef.com> to=<info@meinedomain.de> proto=ESMTP helo=<zapef.com>

    Beim netcup Webhosting ist sie aber durchgekommen :rolleyes: .

    Einmal editiert, zuletzt von tab (16. Juli 2025 um 19:34)

    So, jetzt glaube ich nicht mehr an Zufall. Ich habe jetzt innerhalb von 1 Stunde 3 Mails gezielt an alle meine Domains hier bei netcup bekommen. Gestern kam eine einzelne.

    Alle an postmaster@* und daher erstmal durchgekommen. Auch wenn das frei zu findende Informationen sind (whois/dig) ist das schon merkwürdig. Woher sollte diese Information in dieser Ansammlung so kommen? Von der DENIC?

    Hello,

    same problem with phishing of fake Netcup communications.
    All messages are coming from different ip's, belonging to GHOSTNET GmbH:

    inetnum: 89.144.5.0 - 89.144.5.255

    netname: GHOSTNET-FRA

    descr: GHOSTNET GmbH

    country: DE


    blocking that CDIR segment is a good solution:

    89.144.5.0/24

    Ich hab die Mail auch bekommen, für eine Domain, die bei United Domains liegt. :D

    Der Header könnte interessant sein. Meine Mailadresse hab ich entfernt.

    Zitat

    Hier das Gleiche:

    Code
    Jul 16 18:45:11 postfix/smtpd[158903]: NOQUEUE: reject: RCPT from unknown[89.144.5.242]: 550 5.1.1 <kontakt@DOMAIN.COM>: Recipient address rejected: User unknown in virtual mailbox table; from=<newsletter@zapef.com> to=<kontakt@DOMAIN.COM> proto=ESMTP helo=<zapef.com>
Jul 16 19:12:20 postfix/smtpd[159095]: NOQUEUE: reject: RCPT from unknown[89.144.5.225]: 550 5.1.1 <webmaster@DOMAIN.COM>: Recipient address rejected: User unknown in virtual mailbox table; from=<newsletter@zapef.com> to=<webmaster@DOMAIN.COM> proto=ESMTP helo=<zapef.com>
Jul 16 19:45:34 postfix/smtpd[159341]: NOQUEUE: reject: RCPT from unknown[89.144.5.2]: 550 5.1.1 <support@DOMAIN.COM>: Recipient address rejected: User unknown in virtual mailbox table; from=<newsletter@zapef.com> to=<support@DOMAIN.COM> proto=ESMTP helo=<zapef.com>
Jul 16 21:05:06 postfix/smtpd[159896]: NOQUEUE: reject: RCPT from unknown[89.144.5.4]: 550 5.1.1 <postmaster@DOMAIN.COM>: Recipient address rejected: User unknown in virtual mailbox table; from=<newsletter@zapef.com> to=<postmaster@DOMAIN.COM> proto=ESMTP helo=<zapef.com>
    Zitat von lvdd

    So, jetzt glaube ich nicht mehr an Zufall. Ich habe jetzt innerhalb von 1 Stunde 3 Mails gezielt an alle meine Domains hier bei netcup bekommen. Gestern kam eine einzelne.

    Alle an postmaster@* und daher erstmal durchgekommen. Auch wenn das frei zu findende Informationen sind (whois/dig) ist das schon merkwürdig. Woher sollte diese Information in dieser Ansammlung so kommen? Von der DENIC?

    Wahrscheinlich aus den Certificate Transparency Logs. Oder alternativ (kostenpflichtige) dubiose Domainlisten, die es durchaus gibt. Sobald eine Domain registriert wurde und irgendwie verwendet wird (z.B. für HTTP oder als E-Mail-Domain), ist es nur eine Frage der Zeit, bis sie allgemein bekannt ist und in diversen Listen auftaucht. ;)

    Und danach werden sie halt gefiltert nach den Providern. Im aktuellen Fall wohl einfach anhand der A/AAAA-Records im DNS, ob diese auf Subnetze von netcup zeigen. Alles öffentliche Informationen, die keinen speziellen Zugriff erfordern. Die E-Mail-Adressen selbst sind sowieso einfach erraten, was bei Postmaster jetzt nicht so schwer ist. :)

    Aber eigentlich gibt es dafür bereits einen Thread, in dem das schon mehrfach diskutiert wurde: https://forum.netcup.de/informationen/…g-e-mail-welle/

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    2 Mal editiert, zuletzt von KB19 (16. Juli 2025 um 22:59)

    Only thing that irks me is, the spoofing. For newbies, it maybe a rot. I am so used to it now, for I add 4-5 spammers daily, and at times via reverse ip checks, if I find any.

    I use Reverse IP Search & Bulk IP Lookup for domains and associated IPs (A/AAAA) as well to ban these.

    ReneW your header is really interesting. Just confirm, which ones are the spam ones (other than the zapef one), I will add them to my ban list as well.

    Okay a bit more details here: Originating domain also seems to beudag.de along with ghost gmbh.

    Associated IPs also include:

    Code
    89.144.5.227
89.144.5.197
89.31.137.101
62.146.106.0/24

    Die zapef.com-IP-Adressen sind alle von GHOSTNET gehostet. Eine Website wird dort nicht angezeigt, obwohl der DNS für zapef.com fast das gesamte /24-er Netz auflöst.

    Momentan nimmt der Phishing-Kram Überhand, vielleicht meldet Ihr das per Telefon oder an die abuse-Adresse:

    Hallo,

    ich habe gestern folgende Mail von reminder@ascio.com bekommen:

    Wollte mal nachfragen, ob dies offiziell oder doch Spam ist?

    Ich habe auch letzte Woche die Mail aus dem ersten Post bekommen.

    Die genannte Domain habe ich diesen Monat bezahlt und sollte defintiv nicht deaktiviert werden.

    Schönen Tag,

    Rob

    Hey Leute... Ich hab draufgedrückt. Allerdings kam einmal "Kein https" Chrome Warnung und einmal hat die Seite geladen und geladen. Ne offensichtliche Installation irgendwelcher Dateien hab ich nicht gesehen... Leider kein VPN an, das heißt die haben meine IP oder? :/ Was sollte ich jetzt machen? Keine PWs etc. angegeben.

    dth1982 Wenn Du keine Daten angegeben hast und Dein Betriebssystem sowie Browser alle Updates aufgespielt hat, dürfte das Risiko für negative Effekte eher gegen Null tendieren.

    Deine IP-Adresse ist bei einem typischen Endkundenanschluss nicht viel wert, die ist der Welt sowieso bekannt und i.d.R. hast Du da nach einiger Zeit sowieso bald eine neue.

    Das einzige was realistisch betrachtet passieren könnte, dass Du jetzt von solchen Phishing-Versendern bevorzugt angeschrieben wirst, weil Du bestätigt hast, dass die E-Mails gelesen werden und jemand darauf reagiert. Das kannst Du jetzt aber sowieso nicht mehr ändern.

    In diesem Sinne: Entspannen, Füße hochlegen und ein Kalt-/Heißgetränk Deiner Wahl genießen. :)

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Einmal editiert, zuletzt von KB19 (18. Juli 2025 um 13:27)