[WARNUNG] Aktuelle Phishing-Welle im Namen der netcup GmbH (Rechnung R.-nr. nС-5702799) + Technische IOCs für @netcup

    • Neu

    Hallo zusammen,

    aktuell läuft eine sehr gut gemachte, mehrstufige Phishing-Kampagne gegen Netcup-Kunden, die über die Netcup-Mailserver (z. B. mxe989.netcup.net) im Posteingang landet, weil sie im SpamAssassin aktuell nur einen Score von 2.1 erreicht (dkim=temperror / spf=softfail).

    Bitte klickt keinesfalls auf den Link in der E-Mail!

    1. Woran ihr die Phishing-Mail erkennt:
    - Angezeigter Absendername: "netcup GmbH" (getarnt mit kyrillischen Homoglyphen und unsichtbaren Left-to-Right-Marks im UTF-8 Base64-String)
    - Echte Absenderadresse (Return-Path): support-norep@neumaier-pb.de (kompromittierte Domain bei 1blu)
    - Betreff: "Ihre Rechnung (R.-nr. nС-5702799)" (ebenfalls durch Unicode-Steuerzeichen verschleiert)
    - Phishing-Link in der Mail: hxxps://soporteclientemanger[.]brueckel-bauelemente[.]de/paMzE4NjQ5NzElnet/?6TY289WEB=GODra2ED

    2. Warum automatische Scanner (wie URLScan) die Seite nicht erkennen:
    Das Phishing-Kit nutzt am Eingang einen Gatekeeper. Bots, Sicherheits-Scanner und Zugriffe aus Rechenzentren werden per HTTP 302 über href.li harmlos auf google.com umgeleitet. Echte Besucher mit deutschem Browser-Profil erhalten ein PHPSESSID-Cookie und werden in dynamisch zur Laufzeit erzeugte 32-stellige MD5-Unterordner weitergeleitet (die sich nach einigen Minuten selbst löschen).

    3. Was das Phishing-Kit ("SiftFR") in 5 Stufen abgreift:
    - Stufe 1: Täuschend echter Nachbau des Customer Control Panels (CCP) -> greift Kundennummer/E-Mail und Passwort ab.
    - Stufe 2 (?cur=newpage): 3-Sekunden-Wartebildschirm (Ladekreis vor unscharfem CCP).
    - Stufe 3 (?cur=ver): Gefälschtes Stripe/Netcup-Zahlungsformular ("Zahlung — Netcup / Service und Verlängerung Web Hosting über 138,96 €", Signatur "SiftFR") -> greift Kreditkartennummer, Ablaufdatum und CVV ab.
    - Stufe 4 (?cur=load) & Stufe 5 (?cur=auth): 3D-Secure- / TAN-Abfrage in Echtzeit, während die Täter im Hintergrund versuchen, die Karte sofort zu belasten.

    ---

    4. WICHTIGE TECHNISCHE DATEN FÜR DIE netcup ADMINISTRATOREN (Sofort-Abwehr):

    A) Globale Sperre auf den Netcup-MX-Gateways (Postfix / Rspamd / SpamAssassin):
    Die E-Mails werden von einem gekaperten Windows-RDP-Server bei I O N O S (IP: 217.154.240.34 / ip217-154-240-34.pbiaas.com) per SMTP über Alibaba Cloud DirectMail Frankfurt (IP: 47.245.194.193 / static194-193.de.dm.aliyun.com) eingeliefert.
    Ihr könnt die gesamte Welle auf euren Mailservern sofort über folgende eindeutige Header blockieren:
    - Feedback-ID: default:support-norep@neumaier-pb.de:alibabak_SmtpTrigger:283789
    - X-EnvId: 27568446999
    - Return-Path: <support-norep@neumaier-pb.de>
    - DKIM-Selector: s=aliyun-eu-central-1 (d=neumaier-pb.de)
    - Base64-From: =?utf-8?b?buKAjuKAjtC1dNGB4oCO4oCOddGAIEfigI7igI7igI7igI7igI5tYtCdIA==?=
    - Base64-Subject: =?utf-8?b?INCGaHLQtSBS4oCO4oCO4oCO0LXRgWhudeKAjuKAjuKAjuKAjuKAjm5nIChSLi3OneKAjnIuIG7RgS014oCONzAyNzk5KSDigI7igI7igI7igI4=?=

    B) Gegenmaßnahme über Hotlinking auf http://www.customercontrolpanel.de:
    Das Phishing-Kit lädt die Flaggen und Icons im HTML-Code der Stufen 1 bis 4 direkt per Hotlink von eurem echten CCP-Server nach:
    - https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
    - https://www.customercontrolpanel.de/images/favicon-32x32.png
    - https://www.customercontrolpanel.de/images/favicon-196x196.png
    - https://www.customercontrolpanel.de/images/flags/de.gif
    - https://www.customercontrolpanel.de/images/flags/gb.gif

    Wenn ihr auf http://www.customercontrolpanel.de für den HTTP-Referer "soporteclientemanger.brueckel-bauelemente.de" (bzw. "*.brueckel-bauelemente.de") anstelle der kleinen de.gif-Flagge eine große rote Warngrafik ("ACHTUNG PHISHING!") ausliefert, enttarnt ihr die Phishing-Seite sofort live im Browser jedes Opfers!

    Vollständige forensische Beweissicherung (inkl. Quellcodes aller Stufen, HTTP-Dumps und CF-RAY-IDs) wurde bereits an das BSI (CERT-Bund), I O N O S, 1blu, Alibaba Cloud, Cloudflare (Report-ID: a67ed3ea8777caaa) sowie an abuse@netcup.de und support@netcup.de übermittelt.8o:evil:

    • Neu

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    • Neu
    Zitat von StefanS

    Ich bin relativ neu bei netcup und habe solche eine Mail heute erhalten und dummerweise auf den Link geklickt. Dabei habe ich Stufe 1 durchlaufen, also Login-Daten eingegeben. Eine Zahlung habe ich nicht ausgeführt und an dem Betrag gemerkt, dass was faul sein muss. Ich habe anschließend gleich das Passwort im CCP geändert (ist ohnehin mit 2-Faktor geschützt). Reicht das schon aus an Massnahmen oder muss da auch der netcup Support noch mit dazu geholt werden?

    Eigentlich solltest du damit im grünen Bereich sein. Evtl würde ich noch schauen, ob z.B. in der API unbekannte Token registriert wurden. Aber das sollte recht unwahrscheinlich sein, wenn MFA aktiv ist.

    • Neu

    Hab so eine Mail auch bekommen. Man wollte mir eine Domain abrechnen.

    - Absenderdomain war falsch (soporte-noreplay@friseur-brueckel.de) bzw. passt offensichtlich nicht zu NC
    - langer Link nach irgendwo (nicht geklickt)
    - reingeschaut habe ich auch noch…

    Received: from 217.154.240.34(mailfrom:soporte-noreplay@friseur-brueckel.de fp:SMTPD_-----NkJnO7 cluster:dm-ay35de-a) by smtp.aliyun-inc.com(11.136.72.99); Fri, 16 Oct 2026 21:52:00 +0800
    Received: from static195-214.de.dm.aliyun.com (static195-214.de.dm.aliyun.com [47.245.195.214])

    Die 217.x gehört zu I0N0S.
    Die 11.x-IP gehört angeblich dem US DOD (wird aber wohl von Firmen genutzt)
    Die 45.x-IP gehört zur Alibaba Cloud.

    aber entscheidend:
    - isch hab gar keine Domains bei NC
    - ich bezahle nicht per Kreditkarte wenn ich Einzugsermächtigung habe

    Kann. das sein, dass die schlicht reverse-DNS auf Netcup-IPs gemacht haben?

    • Neu
    Zitat von darkstar

    ....

    - Absenderdomain war falsch (soporte-noreplay@friseur-brueckel.de) bzw. passt offensichtlich nicht zu NC
    - langer Link nach irgendwo (nicht geklickt)
    - reingeschaut habe ich auch noch…
    ...

    Hättest du den langen Link nach irgendwo? Ich setzte die dann auch auf die Cloudflare-Abuse Liste :) Bei I O N O S läuft am Wochenende offenbar nur die Minimalbesatzung. Windows-RDP-Server mit offenen Ports und aktiven Mail-Skripten ist munter online.

    • Neu
    Zitat von nullf

    Hättest du den langen Link nach irgendwo? Ich setzte die dann auch auf die Cloudflare-Abuse Liste :) Bei I O N O S läuft am Wochenende offenbar nur die Minimalbesatzung. Windows-RDP-Server mit offenen Ports und aktiven Mail-Skripten ist munter online.

    In meinem Fall (ich denke, der Anhang ist irgendwas Kodiertes):
    https://supportclientusariohelo.escuelademodaraquelrevuelta.es/pFTTHUIKLOItt/?6TY289WEB=GODra2ED

    • Neu

    TECHNISCHER BERICHT FÜR netcup / CCP-ADMINISTRATION
    (Proaktiver Schutz & Erkennung in Echtzeit)

    Der HTML- und JS-Quellcode des eingesetzten Phishing-Kits (Stufe 1 & Stufe 2) konnte vor der Cloudflare-Sperrung vollständig gesichert und analysiert werden.

    1. Technische Funktionsweise des Phishing-Kits
    Es handelt sich um ein französischsprachiges Template (Code-Kommentare u. a. "MODIFIE CETTE URL", "FORMULAIRE VISUEL UNIQUEMENT", "LANGUE PAR DEFAUT"). Beim Aufruf generiert das Skript über einen 302-Redirect dynamische 32-Byte-MD5-Verzeichnisse, greift die eingegebenen Zugangsdaten per HTTP-POST serverseitig ab, blendet anschließend ein 3-sekündiges Lade-Overlay (?payer=...&cur=newpage) ein und leitet danach auf die Bezahl- bzw. Verifizierungsstufe (&cur=ver) weiter.

    2. Schwachstelle im Phishing-Kit: Direktes Hotlinking auf http://www.customercontrolpanel.de
    In Stufe 1 weist das Phishing-Kit einen gravierenden Konfigurationsfehler auf. Die Grafiken der Login-Maske liegen nicht auf dem Server der Angreifer, sondern werden bei jedem Seitenaufruf live vom produktiven Netcup-CCP-Server nachgeladen:

    - https://www.customercontrolpanel.de/images/apple-t…con-120x120.png
    - https://www.customercontrolpanel.de/images/flags/de.gif
    - https://www.customercontrolpanel.de/images/flags/gb.gif

    Da im Phishing-Kit keine "Referrer-Policy: no-referrer" gesetzt ist, übermittelt der Browser bei jedem Laden dieser drei Grafiken automatisch die exakte URL der jeweils aktuellen Phishing-Domain im HTTP-Referer-Header direkt an die Webserver-Logs von http://www.customercontrolpanel.de.

    3. Technische Gegenmaßnahmen für die CCP-Administration

    A) Referer-Auswertung auf customercontrolpanel.de aktivieren:
    Durch eine Filterung der Access-Logs von http://www.customercontrolpanel.de auf Zugriffe für /images/flags/de.gif, /images/flags/gb.gif und /images/apple-touch-icon-120x120.png, bei denen der HTTP-Referer weder leer ist noch auf *.customercontrolpanel.de oder *.netcup.de endet, lässt sich jede neu aufgeschaltete Phishing-Domain dieser Kampagne ab dem ersten Aufruf in Echtzeit in den eigenen Server-Logs identifizieren.

    B) Hotlinking per Bild-Rewrite als aktive Warnung nutzen:
    Die Flaggen-Grafiken sind im Phishing-Kit prominent unter den Eingabefeldern eingebunden (.lang img { width: 100%; height: 100%; object-fit: cover; }). Wird seitens des Webservers auf http://www.customercontrolpanel.de bei Zugriffen mit fremdem Referer anstelle der Flagge eine rote Warngrafik ("WARNUNG: GEFÄLSCHTE PHISHING-SEITE!") ausgeliefert (oder der Abruf per Cross-Origin-Resource-Policy: same-origin blockiert), erscheint der Warnhinweis direkt innerhalb der gefälschten Login-Maske.

    C) Sperrung des zentralen Cloudflare-Accounts veranlassen:
    Alle bisher identifizierten Domains der Kampagne (brueckel-bauelemente.de, friseur-brueckel.de, escuelademodaraquelrevuelta.es) wurden bei den jeweiligen Registraren kompromittiert und auf dasselbe Cloudflare-Nameserver-Paar (skip.ns.cloudflare.com & daniella.ns.cloudflare.com) delegiert. Über den direkten Abuse-/Enterprise-Kontakt zu Cloudflare kann anhand dieser Nameserver-Kombination sowie der bestehenden Vorgangsnummern (Cloudflare Report-ID: 1d0ed16fd9f84023 / Ticket #23818947) eine Sperrung des gesamten übergeordneten Cloudflare-Accounts erwirkt werden.

    - Gelöst. :)

    • Neu
    Zitat von nullf

    eine sehr gut gemachte

    naja

    Zitat von nullf

    Absenderadresse (Return-Path): support-norep@neumaier-pb.de (kompromittierte Domain bei 1blu)
    - Betreff: "Ihre Rechnung (R.-nr. nС-5702799)" (ebenfalls durch Unicode-Steuerzeichen verschleiert)
    - Phishing-Link in der Mail: hxxps://soporteclientemanger[.]brueckel-bauelemente[.]de/paMzE4NjQ5NzElnet/?6TY289WEB=GODra2ED

    SUCHE Mini-Web-/Mailhosting: https://forum.netcup.de/thread/21928

    • Neu

    Habe eine solche Phishing-E-Mail heute morgen gegen 8 Uhr erhalten.

    Betreff: <Name meiner Domain> — Zahlungsbestätigung erforderlich

    From: und Return-Path: contact@fdebiasio.it

    Phishing-Link:

    HTML
                  <a href=3D"hXXps://mnt.mentamusiclab.it/?Music=3DLab" style=
=3D"display:inline-block; background-color:#1E2855; color:#ffffff; font-siz=
e:14px; font-weight:600; text-decoration:none; padding:12px 28px; border-ra=
dius:5px;">Zur Zahlung</a>

    Im Header noch: List-Unsubscribe: mailto:bounce461-xZCsFl87EEkfz0M@fdebiasio.it?subject=list-unsubscribe

    Hier mal ein Screenshot:

    image.png

    Wer irgendwelche weiteren E-Mail-Details für Analysen haben möchte, schreibe mir gern.

    Einmal editiert, zuletzt von bttr (20. Oktober 2026 um 11:41)

    • Neu

    Ich habe heute morgen auch kurz vor 8 neben der vom Vorredner beschrieben Email auch noch eine weitere mit folgender Absender-Adresse erhalten:

    admin@oasicaprolace.it

    Phishing Link war:

    Code
                        <a href=3D"hxxps://masser.masseriasanbasilio.com/?QZMS8=
2NM=3D20MX9MX8" style=3D"display:inline-block; background-color:#066272; co=
lor:#ffffff; font-size:15px; font-weight:700; text-decoration:none; padding=
:14px 36px; border-radius:6px;">
                      Jetzt per Karte bezahlen &amp; Domain wiederherstelle=
n
                    </a>

    Im HTML Source waren deutsche Kommentare enthalten. Und das Netcup Logo wurde direkt als Base64 eingebunden, also kein Nachladen von irgendeinem Server.

    • Neu
    Zitat von aRaphael

    Auf solche Links in einer eMail sollte man auch prinzipiell nie klicken, sondern immer über das Originalportal reingehen.

    Jemanden der mit IT zu tun hat und sowas kennt, ist das natürlich leicht zu sagen.

    Ich hab Leute im Kundenservice die klicken auf alles solange Katzenbilder in der Mail sind.

    Blitzverkauf Webhosting 8000 SE
    Webhosting Special OST25

    VPS 10 G7

    • Neu

    STATUS-UPDATE (20.10.2026): DNS-Bereinigung der Wellen 1 & 2 abgeschlossen / Technische Auswertung der heute im Thread gemeldeten Welle 3 (Italien-Cluster & 13,68-€-Checkout)

    Danke für das Teilen der aktuellen E-Mail-Header und Links hier im Thread! Anhand der von euch geposteten Indikatoren (fdebiasio[.]it, mentamusiclab[.]it, masseriasanbasilio[.]com, leuovadiarianna[.]it) ließ sich die neue Infrastruktur der Tätergruppe vollständig abbilden, der Quellcode des neuen Kits sichern und die nächste Takedown-Runde einleiten.

    1. Abschluss-Status zu Welle 1 (DE / 1blu) und Welle 2 (ES / ProfesionalHosting)
    Die ersten beiden Wellen sind inzwischen nicht nur bei Cloudflare gesperrt, sondern auch auf Registrar-Ebene vollständig bereinigt:
    - brueckel-bauelemente[.]de & friseur-brueckel[.]de: Die unautorisierten Cloudflare-Nameserver (skip / daniella.ns.cloudflare[.]com) wurden zurückgesetzt; beide Domains laufen wieder auf den regulären 1blu-Nameservern (ns01/ns02.1blu.de). Der von den Tätern für das E-Mail-Spoofing via Alibaba Cloud DirectMail hinterlegte SPF-Eintrag auf friseur-brueckel[.]de ist entfernt.
    - escuelademodaraquelrevuelta[.]es: Nach Rückmeldung durch ProfesionalHosting wurden auch hier die gekaperten Cloudflare-Nameserver entfernt und auf die ursprünglichen Nameserver (phdns8.es) zurückgestellt. Die Phishing-Subdomain löst nicht mehr auf (NXDOMAIN).

    2. Infrastruktur der heutigen Welle 3 (Italienisches Domain-Cluster & zweistufiges Redirect-System)
    Weil den Angreifern die bisherige Infrastruktur weggebrochen ist, sind sie auf ein neues Cluster aus vier kompromittierten italienischen Domains (Aruba S.p.A.) und US-VPS-Systeme ausgewichen:
    - Mail-Versand (contact@fdebiasio[.]it): Die heute Morgen versendeten Mails ("<Domain> — Zahlungsbestätigung erforderlich") laufen über ein im SPF von fdebiasio[.]it hinterlegtes Mail-Cluster im Netz von WorldStream B.V. (Niederlande, AS49981, Subnetz 175.110.122.0/24, u. a. 175.110.122.117 / .233–.250).
    - Vorschalt-Domains (Anti-Bot-Gate /3nz0/index.php): Die in den Mails verlinkten Subdomains masser.masseriasanbasilio[.]com/?QZMS82NM=20MX9MX8 und mnt.mentamusiclab[.]it/?Music=Lab dienen als reine Vorschalt-Weichen. Da die Täter bei der Einrichtung vergessen haben, den Cloudflare-Proxy (Orange Cloud) für diese Subdomains zu aktivieren, liegen die echten Backend-IPs offen:
    * 212.192.28.96 (web-infra.staticnode[.]org, AS397032 Sparked Host LLC, USA, PleskLin, PHP/8.4.26)
    * 212.192.29.103 (vm.212.192.29.103.sparked[.]cloud, AS397032 Sparked Host LLC, USA, PleskLin, PHP/8.4.26, Plesk-Zertifikat: confident-golick.212-192-29-103.plesk[.]page)
    - Beide Vorschalt-Seiten blockieren Server-/VPN-IPs ("Access denied. Proxy/Hosting detected.") und leiten echte Endnutzer-IPs über "/3nz0/index.php" nach 0,5 Sekunden automatisch auf den eigentlichen Hauptserver unter "netcup-manager-iduser92472001.leuovadiarianna[.]it/Netcupp/?19AX-SNM=MC93-DZW" weiter. Alle drei gekaperten Phishing-Domains nutzen dasselbe neue Cloudflare-Nameserver-Paar (hugh.ns.cloudflare[.]com / bonnie.ns.cloudflare[.]com).

    3. Funktionsweise der neuen Phishing-Variante (Kein CCP-Login mehr, sondern direkter 13,68-€-Kreditkarten- & mTAN-Abgriff)
    Der gesicherte Quellcode von "/Netcupp/" zeigt, dass die Täter in dieser Welle ganz auf die vorgeschaltete CCP-Login-Maske verzichten und stattdessen ein umgebautes Warenkorb-Template mit Netcup-Logo nutzen:
    - Schritt 1 (Warenkorb-Loader): Blendet für 3 Sekunden "Bitte warten – Wir bereiten deinen Warenkorb vor und übernehmen deine Verlängerungsdetails..." ein und leitet auf "checkout.html" weiter.
    - Schritt 2 (checkout.html): Zeigt eine angebliche 12-monatige Domain-Verlängerung (1,14 €/Monat = 13,68 € Gesamtbetrag inkl. USt.) an. Eine gelbe Warnbox behauptet: "SEPA-Lastschrift fehlgeschlagen – Bitte begleiche den ausstehenden Betrag per Kreditkarte".
    - Schritt 3 (Pay.html -> config/to-us.php): Fordert zur Eingabe von Karteninhaber (Feld s3), 16-stelliger Visa-/Mastercard-Nummer (s4), Ablaufdatum (s5) und CVV (s6) auf. - Schritt 4 (Loadpay.html -> sms.html): Leitet auf eine gefälschte "Visa/Mastercard Identity Check"-Seite (Händler: "Netcup GmbH", Betrag: "EUR 13,68") weiter und verlangt eine 6-stellige SMS-TAN (Feld s7). Damit versuchen die Täter in Echtzeit (Adversary-in-the-Middle), im Hintergrund ausgelöste Zahlungen oder Wallet-Registrierungen (Apple Pay / Google Pay) durch das Opfer freigeben zu lassen.

    4. Aktueller Takedown-Status für Welle 3 Sämtliche neuen Server-IPs, DNS-Zonen und Mail-Cluster wurden mit den entsprechenden Belegen bereits an die zuständigen Stellen gemeldet:
    - Sparked Host LLC (AS397032): Meldung für beide Plesk-Server (212.192.28.96 und 212.192.29.103) ist raus. - WorldStream B.V. (AS49981): Meldung zur Sperrung des versendenden Mail-Clusters (175.110.122.0/24). - Cloudflare Trust & Safety: Nachmeldung für das neue Nameserver-Paar (hugh / bonnie.ns.cloudflare[.]com) und alle drei Domains im bestehenden Abuse-Ticket. - Aruba S.p.A. & CERT-AgID (Italien): Meldung zur Rücksetzung der gekaperten Kundendomains (fdebiasio[.]it, masseriasanbasilio[.]com, mentamusiclab[.]it, leuovadiarianna[.]it). WICHTIGER HINWEIS: Wer auf der neuen Seite ("13,68 € Domain-Verlängerung") Kreditkartendaten oder eine TAN eingegeben hat, sollte die Karte sofort bei seiner Bank sperren lassen.