[WARNUNG] Aktuelle Phishing-Welle im Namen der netcup GmbH (Rechnung R.-nr. nС-5702799) + Technische IOCs für @netcup

    • Neu

    Hallo zusammen,

    aktuell läuft eine sehr gut gemachte, mehrstufige Phishing-Kampagne gegen Netcup-Kunden, die über die Netcup-Mailserver (z. B. mxe989.netcup.net) im Posteingang landet, weil sie im SpamAssassin aktuell nur einen Score von 2.1 erreicht (dkim=temperror / spf=softfail).

    Bitte klickt keinesfalls auf den Link in der E-Mail!

    1. Woran ihr die Phishing-Mail erkennt:
    - Angezeigter Absendername: "netcup GmbH" (getarnt mit kyrillischen Homoglyphen und unsichtbaren Left-to-Right-Marks im UTF-8 Base64-String)
    - Echte Absenderadresse (Return-Path): support-norep@neumaier-pb.de (kompromittierte Domain bei 1blu)
    - Betreff: "Ihre Rechnung (R.-nr. nС-5702799)" (ebenfalls durch Unicode-Steuerzeichen verschleiert)
    - Phishing-Link in der Mail: hxxps://soporteclientemanger[.]brueckel-bauelemente[.]de/paMzE4NjQ5NzElnet/?6TY289WEB=GODra2ED

    2. Warum automatische Scanner (wie URLScan) die Seite nicht erkennen:
    Das Phishing-Kit nutzt am Eingang einen Gatekeeper. Bots, Sicherheits-Scanner und Zugriffe aus Rechenzentren werden per HTTP 302 über href.li harmlos auf google.com umgeleitet. Echte Besucher mit deutschem Browser-Profil erhalten ein PHPSESSID-Cookie und werden in dynamisch zur Laufzeit erzeugte 32-stellige MD5-Unterordner weitergeleitet (die sich nach einigen Minuten selbst löschen).

    3. Was das Phishing-Kit ("SiftFR") in 5 Stufen abgreift:
    - Stufe 1: Täuschend echter Nachbau des Customer Control Panels (CCP) -> greift Kundennummer/E-Mail und Passwort ab.
    - Stufe 2 (?cur=newpage): 3-Sekunden-Wartebildschirm (Ladekreis vor unscharfem CCP).
    - Stufe 3 (?cur=ver): Gefälschtes Stripe/Netcup-Zahlungsformular ("Zahlung — Netcup / Service und Verlängerung Web Hosting über 138,96 €", Signatur "SiftFR") -> greift Kreditkartennummer, Ablaufdatum und CVV ab.
    - Stufe 4 (?cur=load) & Stufe 5 (?cur=auth): 3D-Secure- / TAN-Abfrage in Echtzeit, während die Täter im Hintergrund versuchen, die Karte sofort zu belasten.

    ---

    4. WICHTIGE TECHNISCHE DATEN FÜR DIE netcup ADMINISTRATOREN (Sofort-Abwehr):

    A) Globale Sperre auf den Netcup-MX-Gateways (Postfix / Rspamd / SpamAssassin):
    Die E-Mails werden von einem gekaperten Windows-RDP-Server bei I O N O S (IP: 217.154.240.34 / ip217-154-240-34.pbiaas.com) per SMTP über Alibaba Cloud DirectMail Frankfurt (IP: 47.245.194.193 / static194-193.de.dm.aliyun.com) eingeliefert.
    Ihr könnt die gesamte Welle auf euren Mailservern sofort über folgende eindeutige Header blockieren:
    - Feedback-ID: default:support-norep@neumaier-pb.de:alibabak_SmtpTrigger:283789
    - X-EnvId: 27568446999
    - Return-Path: <support-norep@neumaier-pb.de>
    - DKIM-Selector: s=aliyun-eu-central-1 (d=neumaier-pb.de)
    - Base64-From: =?utf-8?b?buKAjuKAjtC1dNGB4oCO4oCOddGAIEfigI7igI7igI7igI7igI5tYtCdIA==?=
    - Base64-Subject: =?utf-8?b?INCGaHLQtSBS4oCO4oCO4oCO0LXRgWhudeKAjuKAjuKAjuKAjuKAjm5nIChSLi3OneKAjnIuIG7RgS014oCONzAyNzk5KSDigI7igI7igI7igI4=?=

    B) Gegenmaßnahme über Hotlinking auf http://www.customercontrolpanel.de:
    Das Phishing-Kit lädt die Flaggen und Icons im HTML-Code der Stufen 1 bis 4 direkt per Hotlink von eurem echten CCP-Server nach:
    - https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
    - https://www.customercontrolpanel.de/images/favicon-32x32.png
    - https://www.customercontrolpanel.de/images/favicon-196x196.png
    - https://www.customercontrolpanel.de/images/flags/de.gif
    - https://www.customercontrolpanel.de/images/flags/gb.gif

    Wenn ihr auf http://www.customercontrolpanel.de für den HTTP-Referer "soporteclientemanger.brueckel-bauelemente.de" (bzw. "*.brueckel-bauelemente.de") anstelle der kleinen de.gif-Flagge eine große rote Warngrafik ("ACHTUNG PHISHING!") ausliefert, enttarnt ihr die Phishing-Seite sofort live im Browser jedes Opfers!

    Vollständige forensische Beweissicherung (inkl. Quellcodes aller Stufen, HTTP-Dumps und CF-RAY-IDs) wurde bereits an das BSI (CERT-Bund), I O N O S, 1blu, Alibaba Cloud, Cloudflare (Report-ID: a67ed3ea8777caaa) sowie an abuse@netcup.de und support@netcup.de übermittelt.8o:evil:

    • Neu

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    • Neu
    Zitat von StefanS

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    Eigentlich solltest du damit im grünen Bereich sein. Evtl würde ich noch schauen, ob z.B. in der API unbekannte Token registriert wurden. Aber das sollte recht unwahrscheinlich sein, wenn MFA aktiv ist.