Im Hinterkopf jetzt natürlich doch bissl Bammel, dass ich mir nun durch den Linkbesuch irgendwas eingefangen habe. Hat da irgendjemand welche Erfahrungen was da wirklich passiert wenn man mal draufgeklickt hat?
Ich würde mir eher darüber Sorgen machen, dass die Spammer jetzt wissen, dass jemand mit der E-Mail-Adresse die E-Mails auch bekommt und liest (im Link ist bei allen E-Mails eine vermutlich einzigartige ID gewesen). Das heißt: Auf mehr Spam einstellen und aufpassen 
Bei mir waren es 4x netcup, 2x ING Diba, 1x Postbank, 1x DKB, 1x DHL Express, 1x rotes H Cloud. Hat am 31. März angefangen.
Netcup konnte wahrscheinlich über die Domain ermittelt werden.
Beim roten H habe ich tatsächlich auch einen Server, aber dort ist die einzige Verknüpfung der E-Mail-Adresse zum Server die gleiche Domain bei der E-Mail-Adresse wie bei den Nameservern einer Domain, die auf den Server verweist (zu 99% bin ich mir sicher, dass das nicht überprüft wurde).
Bei den anderen bin ich nicht Kunde, also "wilder guess".
Mail ist an eine info@-Adresse gegangen (diesmal andere Domain als die bisherigen Spam-Mails).
Die E-Mail-Adresse existiert jedoch nicht und ging nur wegen dem Catch-All in meinen Posteingang.
Absender-IP war 5.9.137.222 und ist jetzt auch beim roten H gemeldet.
Auch hier hat das rote H jetzt nach der Abuse-Meldung die IP gesperrt.
Die neue IP (5.9.66.182) ist dem roten H jetzt auch gemeldet. Mal sehen, wie lange die noch sendet...
Diese IP wurde jetzt vom roten H gesperrt.
Die neue IP (5.9.66.182) ist dem roten H jetzt auch gemeldet. Mal sehen, wie lange die noch sendet...
Diese IP wurde vom roten H anscheinend noch nicht gesperrt und spammt weiter.
Screenshot_2023-04-22-00-23-21-39_69738a090b59888d6f9e64a3ebfe2c88.jpg
Frage nur woher haben die die Domain Namen mit den Email Adressen? Gab es da ein Lag bei Netcup?
Die Domain-Namen sind öffentlich (z.B. Certificate Transparency Log, Suchmaschinen, etc.) und die E-Mail-Adressen sind in diesem Fall immer info@DOMAIN.de. Wahrscheinlich wurde vorher geprüft, ob die jeweilige Domain einen A-Record zu einer netcup-IP hat. In meinem Fall ist die Domain NICHT bei netcup registriert, aber der Server ist von netcup (A/AAAA-Record der Domain verweist auf diesen). Denn die E-Mail-Adresse hat in meinem Fall nicht einmal existiert (Mail kam nur wegen Catch-All).
Mail ist an eine info@-Adresse gegangen (diesmal andere Domain als die bisherigen Spam-Mails).
Die E-Mail-Adresse existiert jedoch nicht und ging nur wegen dem Catch-All in meinen Posteingang.
Absender-IP war 5.9.137.222 und ist jetzt auch beim roten H gemeldet.
~all
-all wäre eventuell besser
Ich finde es vollkommen in Ordnung, freie Inhalte zu kopieren (gerade das erlaubt die MIT License auch).
Mich stört nur sehr, dass die Lizenz (sollte es sich hier wirklich um eine Kopie bzw. um Inhalt auf Basis von den [rotes H] Guidelines handeln) anscheinend nicht vollständig beachtet wurde. Die MIT License befindet sich zwar auch im Repository (der Teil der MIT License wurde beachtet), aber der Copyright Hinweis vom roten H wurde entfernt. Das erzwingt die MIT License meines Wissens nach jedoch.
[...]Copyright (c) 2019 [rotes H]
[...]The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.[...]
Die Story geht weiter.
Die Phishingmails gehen nun auch gezielt an vorhandene eMail-Adressen zu netcup-domains.
Hab nur kurz in den Quelltext gesehen, aber die Sende-IP (bei netcup) passt wohl nicht zur Absenderadresse (H etzner)
Die neue IP (5.9.66.182) ist dem roten H jetzt auch gemeldet. Mal sehen, wie lange die noch sendet...
Das rote H hat den Server (von dem die Mails kamen) auch schon gesperrt.
Es geht hier jedoch um die Extension, die zusätzlich accounturi und validationmethods erlaubt.
z.B. so:
(erlaubt nur die Erstellung von Zertifikaten bei Let's Encrypt und nur für einen bestimmten ACME-Account)
Das scheint wohl bei netcup nicht zu funktionieren (Screenshot ist nicht im netcup-DNS)
Hab Mailcow beim H laufen mit 2GB RAM, habe solr und clam deaktiviert. Läuft top. Kommt natürlich drauf an wie viel Nutzer du hast...
Kann ich nur bestätigen
Eventuell kannst du noch das Ergebnis von https://www.mail-tester.com/ hier veröffentlichen.
Dann kann man dir wahrscheinlich noch genauer bei dem Problem helfen
Könnte möglicherweise viel einfacher ohne Live-CD funktionieren: https://unix.stackexchange.com/a/436069/552401
growpart /dev/sda 3
resize2fs /dev/sda3
Je nach Partitionierung die Befehle anpassen und vorher unbedingt ein Backup machen.
Also 6, 12, 13 löschen und 7 auf 10 stellen?
Genau.
13: Kannst du löschen, wenn du Roundcube nicht brauchst
8: Wie der Name sagt zur automatischen Konfiguration von Mail-Clients (Mail-Client fragt dort die Einstellungen ab: z.B. für SMTP/IMAP Host, Port, Verschlüsselung, etc.)
10+11: für DKIM (https://de.wikipedia.org/wiki/DomainKeys), solltest du unbedingt lassen
12: Kannst du entfernen, wenn du auch 6 entfernst. Ist sogar von Vorteil, weil bei mail nur die IPv4 eingetragen ist, während die Domain von netcup auch eine IPv6-Adresse hat. Stell dann die Priority vom MX-Record auf 10 (statt aktuell 50).
Optional: Wenn du nicht willst, dass der Server deines Freundes Mails für deine Domain verschicken kann, solltest du das "a" (für @ A-Record) im SPF-Eintrag entfernen.
Mir hat https://unix.stackexchange.com/a/436069/552401 geholfen:
sudo growpart /dev/sda 3
sudo resize2fs /dev/sda3
Geht viel schneller und einfacher als die Alternativen
Trotzdem vorher ein Backup/Snapshot im SCP erstellen, falls die Partition zerstört werden sollte (durchaus möglich!)
Bei der DENIC kann man mit https://nast.denic.de/ auf eventuell falsch konfigurierte Nameserver prüfen (sollte der Fehler noch einmal auftreten)
