Hallo zusammen,
aktuell läuft eine sehr gut gemachte, mehrstufige Phishing-Kampagne gegen Netcup-Kunden, die über die Netcup-Mailserver (z. B. mxe989.netcup.net) im Posteingang landet, weil sie im SpamAssassin aktuell nur einen Score von 2.1 erreicht (dkim=temperror / spf=softfail).
Bitte klickt keinesfalls auf den Link in der E-Mail!
1. Woran ihr die Phishing-Mail erkennt:
- Angezeigter Absendername: "netcup GmbH" (getarnt mit kyrillischen Homoglyphen und unsichtbaren Left-to-Right-Marks im UTF-8 Base64-String)
- Echte Absenderadresse (Return-Path): support-norep@neumaier-pb.de (kompromittierte Domain bei 1blu)
- Betreff: "Ihre Rechnung (R.-nr. nС-5702799)" (ebenfalls durch Unicode-Steuerzeichen verschleiert)
- Phishing-Link in der Mail: hxxps://soporteclientemanger[.]brueckel-bauelemente[.]de/paMzE4NjQ5NzElnet/?6TY289WEB=GODra2ED
2. Warum automatische Scanner (wie URLScan) die Seite nicht erkennen:
Das Phishing-Kit nutzt am Eingang einen Gatekeeper. Bots, Sicherheits-Scanner und Zugriffe aus Rechenzentren werden per HTTP 302 über href.li harmlos auf google.com umgeleitet. Echte Besucher mit deutschem Browser-Profil erhalten ein PHPSESSID-Cookie und werden in dynamisch zur Laufzeit erzeugte 32-stellige MD5-Unterordner weitergeleitet (die sich nach einigen Minuten selbst löschen).
3. Was das Phishing-Kit ("SiftFR") in 5 Stufen abgreift:
- Stufe 1: Täuschend echter Nachbau des Customer Control Panels (CCP) -> greift Kundennummer/E-Mail und Passwort ab.
- Stufe 2 (?cur=newpage): 3-Sekunden-Wartebildschirm (Ladekreis vor unscharfem CCP).
- Stufe 3 (?cur=ver): Gefälschtes Stripe/Netcup-Zahlungsformular ("Zahlung — Netcup / Service und Verlängerung Web Hosting über 138,96 €", Signatur "SiftFR") -> greift Kreditkartennummer, Ablaufdatum und CVV ab.
- Stufe 4 (?cur=load) & Stufe 5 (?cur=auth): 3D-Secure- / TAN-Abfrage in Echtzeit, während die Täter im Hintergrund versuchen, die Karte sofort zu belasten.
---
4. WICHTIGE TECHNISCHE DATEN FÜR DIE netcup ADMINISTRATOREN (Sofort-Abwehr):
A) Globale Sperre auf den Netcup-MX-Gateways (Postfix / Rspamd / SpamAssassin):
Die E-Mails werden von einem gekaperten Windows-RDP-Server bei I O N O S (IP: 217.154.240.34 / ip217-154-240-34.pbiaas.com) per SMTP über Alibaba Cloud DirectMail Frankfurt (IP: 47.245.194.193 / static194-193.de.dm.aliyun.com) eingeliefert.
Ihr könnt die gesamte Welle auf euren Mailservern sofort über folgende eindeutige Header blockieren:
- Feedback-ID: default:support-norep@neumaier-pb.de:alibabak_SmtpTrigger:283789
- X-EnvId: 27568446999
- Return-Path: <support-norep@neumaier-pb.de>
- DKIM-Selector: s=aliyun-eu-central-1 (d=neumaier-pb.de)
- Base64-From: =?utf-8?b?buKAjuKAjtC1dNGB4oCO4oCOddGAIEfigI7igI7igI7igI7igI5tYtCdIA==?=
- Base64-Subject: =?utf-8?b?INCGaHLQtSBS4oCO4oCO4oCO0LXRgWhudeKAjuKAjuKAjuKAjuKAjm5nIChSLi3OneKAjnIuIG7RgS014oCONzAyNzk5KSDigI7igI7igI7igI4=?=
B) Gegenmaßnahme über Hotlinking auf http://www.customercontrolpanel.de:
Das Phishing-Kit lädt die Flaggen und Icons im HTML-Code der Stufen 1 bis 4 direkt per Hotlink von eurem echten CCP-Server nach:
- https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
- https://www.customercontrolpanel.de/images/favicon-32x32.png
- https://www.customercontrolpanel.de/images/favicon-196x196.png
- https://www.customercontrolpanel.de/images/flags/de.gif
- https://www.customercontrolpanel.de/images/flags/gb.gif
Wenn ihr auf http://www.customercontrolpanel.de für den HTTP-Referer "soporteclientemanger.brueckel-bauelemente.de" (bzw. "*.brueckel-bauelemente.de") anstelle der kleinen de.gif-Flagge eine große rote Warngrafik ("ACHTUNG PHISHING!") ausliefert, enttarnt ihr die Phishing-Seite sofort live im Browser jedes Opfers!
Vollständige forensische Beweissicherung (inkl. Quellcodes aller Stufen, HTTP-Dumps und CF-RAY-IDs) wurde bereits an das BSI (CERT-Bund), , 1blu, Alibaba Cloud, Cloudflare (Report-ID: a67ed3ea8777caaa) sowie an abuse@netcup.de und support@netcup.de übermittelt.
