[WARNUNG] Aktuelle Phishing-Welle im Namen der netcup GmbH (Rechnung R.-nr. nС-5702799) + Technische IOCs für @netcup

    Hallo zusammen,

    aktuell läuft eine sehr gut gemachte, mehrstufige Phishing-Kampagne gegen Netcup-Kunden, die über die Netcup-Mailserver (z. B. mxe989.netcup.net) im Posteingang landet, weil sie im SpamAssassin aktuell nur einen Score von 2.1 erreicht (dkim=temperror / spf=softfail).

    Bitte klickt keinesfalls auf den Link in der E-Mail!

    1. Woran ihr die Phishing-Mail erkennt:
    - Angezeigter Absendername: "netcup GmbH" (getarnt mit kyrillischen Homoglyphen und unsichtbaren Left-to-Right-Marks im UTF-8 Base64-String)
    - Echte Absenderadresse (Return-Path): support-norep@neumaier-pb.de (kompromittierte Domain bei 1blu)
    - Betreff: "Ihre Rechnung (R.-nr. nС-5702799)" (ebenfalls durch Unicode-Steuerzeichen verschleiert)
    - Phishing-Link in der Mail: hxxps://soporteclientemanger[.]brueckel-bauelemente[.]de/paMzE4NjQ5NzElnet/?6TY289WEB=GODra2ED

    2. Warum automatische Scanner (wie URLScan) die Seite nicht erkennen:
    Das Phishing-Kit nutzt am Eingang einen Gatekeeper. Bots, Sicherheits-Scanner und Zugriffe aus Rechenzentren werden per HTTP 302 über href.li harmlos auf google.com umgeleitet. Echte Besucher mit deutschem Browser-Profil erhalten ein PHPSESSID-Cookie und werden in dynamisch zur Laufzeit erzeugte 32-stellige MD5-Unterordner weitergeleitet (die sich nach einigen Minuten selbst löschen).

    3. Was das Phishing-Kit ("SiftFR") in 5 Stufen abgreift:
    - Stufe 1: Täuschend echter Nachbau des Customer Control Panels (CCP) -> greift Kundennummer/E-Mail und Passwort ab.
    - Stufe 2 (?cur=newpage): 3-Sekunden-Wartebildschirm (Ladekreis vor unscharfem CCP).
    - Stufe 3 (?cur=ver): Gefälschtes Stripe/Netcup-Zahlungsformular ("Zahlung — Netcup / Service und Verlängerung Web Hosting über 138,96 €", Signatur "SiftFR") -> greift Kreditkartennummer, Ablaufdatum und CVV ab.
    - Stufe 4 (?cur=load) & Stufe 5 (?cur=auth): 3D-Secure- / TAN-Abfrage in Echtzeit, während die Täter im Hintergrund versuchen, die Karte sofort zu belasten.

    ---

    4. WICHTIGE TECHNISCHE DATEN FÜR DIE netcup ADMINISTRATOREN (Sofort-Abwehr):

    A) Globale Sperre auf den Netcup-MX-Gateways (Postfix / Rspamd / SpamAssassin):
    Die E-Mails werden von einem gekaperten Windows-RDP-Server bei I O N O S (IP: 217.154.240.34 / ip217-154-240-34.pbiaas.com) per SMTP über Alibaba Cloud DirectMail Frankfurt (IP: 47.245.194.193 / static194-193.de.dm.aliyun.com) eingeliefert.
    Ihr könnt die gesamte Welle auf euren Mailservern sofort über folgende eindeutige Header blockieren:
    - Feedback-ID: default:support-norep@neumaier-pb.de:alibabak_SmtpTrigger:283789
    - X-EnvId: 27568446999
    - Return-Path: <support-norep@neumaier-pb.de>
    - DKIM-Selector: s=aliyun-eu-central-1 (d=neumaier-pb.de)
    - Base64-From: =?utf-8?b?buKAjuKAjtC1dNGB4oCO4oCOddGAIEfigI7igI7igI7igI7igI5tYtCdIA==?=
    - Base64-Subject: =?utf-8?b?INCGaHLQtSBS4oCO4oCO4oCO0LXRgWhudeKAjuKAjuKAjuKAjuKAjm5nIChSLi3OneKAjnIuIG7RgS014oCONzAyNzk5KSDigI7igI7igI7igI4=?=

    B) Gegenmaßnahme über Hotlinking auf http://www.customercontrolpanel.de:
    Das Phishing-Kit lädt die Flaggen und Icons im HTML-Code der Stufen 1 bis 4 direkt per Hotlink von eurem echten CCP-Server nach:
    - https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
    - https://www.customercontrolpanel.de/images/favicon-32x32.png
    - https://www.customercontrolpanel.de/images/favicon-196x196.png
    - https://www.customercontrolpanel.de/images/flags/de.gif
    - https://www.customercontrolpanel.de/images/flags/gb.gif

    Wenn ihr auf http://www.customercontrolpanel.de für den HTTP-Referer "soporteclientemanger.brueckel-bauelemente.de" (bzw. "*.brueckel-bauelemente.de") anstelle der kleinen de.gif-Flagge eine große rote Warngrafik ("ACHTUNG PHISHING!") ausliefert, enttarnt ihr die Phishing-Seite sofort live im Browser jedes Opfers!

    Vollständige forensische Beweissicherung (inkl. Quellcodes aller Stufen, HTTP-Dumps und CF-RAY-IDs) wurde bereits an das BSI (CERT-Bund), I O N O S, 1blu, Alibaba Cloud, Cloudflare (Report-ID: a67ed3ea8777caaa) sowie an abuse@netcup.de und support@netcup.de übermittelt.8o:evil:

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    Zitat von StefanS

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    Eigentlich solltest du damit im grünen Bereich sein. Evtl würde ich noch schauen, ob z.B. in der API unbekannte Token registriert wurden. Aber das sollte recht unwahrscheinlich sein, wenn MFA aktiv ist.

    Hab so eine Mail auch bekommen. Man wollte mir eine Domain abrechnen.

    - Absenderdomain war falsch (soporte-noreplay@friseur-brueckel.de) bzw. passt offensichtlich nicht zu NC
    - langer Link nach irgendwo (nicht geklickt)
    - reingeschaut habe ich auch noch…

    Received: from 217.154.240.34(mailfrom:soporte-noreplay@friseur-brueckel.de fp:SMTPD_-----NkJnO7 cluster:dm-ay35de-a) by smtp.aliyun-inc.com(11.136.72.99); Fri, 16 Oct 2026 21:52:00 +0800
    Received: from static195-214.de.dm.aliyun.com (static195-214.de.dm.aliyun.com [47.245.195.214])

    Die 217.x gehört zu I0N0S.
    Die 11.x-IP gehört angeblich dem US DOD (wird aber wohl von Firmen genutzt)
    Die 45.x-IP gehört zur Alibaba Cloud.

    aber entscheidend:
    - isch hab gar keine Domains bei NC
    - ich bezahle nicht per Kreditkarte wenn ich Einzugsermächtigung habe

    Kann. das sein, dass die schlicht reverse-DNS auf Netcup-IPs gemacht haben?

    Zitat von darkstar

    ....

    - Absenderdomain war falsch (soporte-noreplay@friseur-brueckel.de) bzw. passt offensichtlich nicht zu NC
    - langer Link nach irgendwo (nicht geklickt)
    - reingeschaut habe ich auch noch…
    ...

    Hättest du den langen Link nach irgendwo? Ich setzte die dann auch auf die Cloudflare-Abuse Liste :) Bei I O N O S läuft am Wochenende offenbar nur die Minimalbesatzung. Windows-RDP-Server mit offenen Ports und aktiven Mail-Skripten ist munter online.

    Zitat von nullf

    Hättest du den langen Link nach irgendwo? Ich setzte die dann auch auf die Cloudflare-Abuse Liste :) Bei I O N O S läuft am Wochenende offenbar nur die Minimalbesatzung. Windows-RDP-Server mit offenen Ports und aktiven Mail-Skripten ist munter online.

    In meinem Fall (ich denke, der Anhang ist irgendwas Kodiertes):
    https://supportclientusariohelo.escuelademodaraquelrevuelta.es/pFTTHUIKLOItt/?6TY289WEB=GODra2ED

    TECHNISCHER BERICHT FÜR netcup / CCP-ADMINISTRATION
    (Proaktiver Schutz & Erkennung in Echtzeit)

    Der HTML- und JS-Quellcode des eingesetzten Phishing-Kits (Stufe 1 & Stufe 2) konnte vor der Cloudflare-Sperrung vollständig gesichert und analysiert werden.

    1. Technische Funktionsweise des Phishing-Kits
    Es handelt sich um ein französischsprachiges Template (Code-Kommentare u. a. "MODIFIE CETTE URL", "FORMULAIRE VISUEL UNIQUEMENT", "LANGUE PAR DEFAUT"). Beim Aufruf generiert das Skript über einen 302-Redirect dynamische 32-Byte-MD5-Verzeichnisse, greift die eingegebenen Zugangsdaten per HTTP-POST serverseitig ab, blendet anschließend ein 3-sekündiges Lade-Overlay (?payer=...&cur=newpage) ein und leitet danach auf die Bezahl- bzw. Verifizierungsstufe (&cur=ver) weiter.

    2. Schwachstelle im Phishing-Kit: Direktes Hotlinking auf http://www.customercontrolpanel.de
    In Stufe 1 weist das Phishing-Kit einen gravierenden Konfigurationsfehler auf. Die Grafiken der Login-Maske liegen nicht auf dem Server der Angreifer, sondern werden bei jedem Seitenaufruf live vom produktiven Netcup-CCP-Server nachgeladen:

    - https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
    - https://www.customercontrolpanel.de/images/flags/de.gif
    - https://www.customercontrolpanel.de/images/flags/gb.gif

    Da im Phishing-Kit keine "Referrer-Policy: no-referrer" gesetzt ist, übermittelt der Browser bei jedem Laden dieser drei Grafiken automatisch die exakte URL der jeweils aktuellen Phishing-Domain im HTTP-Referer-Header direkt an die Webserver-Logs von http://www.customercontrolpanel.de.

    3. Technische Gegenmaßnahmen für die CCP-Administration

    A) Referer-Auswertung auf customercontrolpanel.de aktivieren:
    Durch eine Filterung der Access-Logs von http://www.customercontrolpanel.de auf Zugriffe für /images/flags/de.gif, /images/flags/gb.gif und /images/apple-touch-icon-120x120.png, bei denen der HTTP-Referer weder leer ist noch auf *.customercontrolpanel.de oder *.netcup.de endet, lässt sich jede neu aufgeschaltete Phishing-Domain dieser Kampagne ab dem ersten Aufruf in Echtzeit in den eigenen Server-Logs identifizieren.

    B) Hotlinking per Bild-Rewrite als aktive Warnung nutzen:
    Die Flaggen-Grafiken sind im Phishing-Kit prominent unter den Eingabefeldern eingebunden (.lang img { width: 100%; height: 100%; object-fit: cover; }). Wird seitens des Webservers auf http://www.customercontrolpanel.de bei Zugriffen mit fremdem Referer anstelle der Flagge eine rote Warngrafik ("WARNUNG: GEFÄLSCHTE PHISHING-SEITE!") ausgeliefert (oder der Abruf per Cross-Origin-Resource-Policy: same-origin blockiert), erscheint der Warnhinweis direkt innerhalb der gefälschten Login-Maske.

    C) Sperrung des zentralen Cloudflare-Accounts veranlassen:
    Alle bisher identifizierten Domains der Kampagne (brueckel-bauelemente.de, friseur-brueckel.de, escuelademodaraquelrevuelta.es) wurden bei den jeweiligen Registraren kompromittiert und auf dasselbe Cloudflare-Nameserver-Paar (skip.ns.cloudflare.com & daniella.ns.cloudflare.com) delegiert. Über den direkten Abuse-/Enterprise-Kontakt zu Cloudflare kann anhand dieser Nameserver-Kombination sowie der bestehenden Vorgangsnummern (Cloudflare Report-ID: 1d0ed16fd9f84023 / Ticket #23818947) eine Sperrung des gesamten übergeordneten Cloudflare-Accounts erwirkt werden.

    - Gelöst. :)