419 Scam der Uni Osnabrück oder doch der Brasilianischen Regierung :)

Ok, heute habe mal was feines an Scam Email für Euch. Involviert sind: Die Uni Osnabrück und die Brasilianische Regierung, ein 96 jähriger Gönner und sehr, sehr viel Geld 😀

419 Scam der Uni Osnabrück oder doch der Brasilianischen Regierung 🙂

Erstmal zum Inhalt der der Scam-Email:

Hallo,

Sie haben eine Spende von fünf Millionen Euro gewonnen

Ich bin LEONARD H. AINSWORTH, ein australischer Geschäftsmann. Ich bin seit vielen Jahren der Gründer mehrerer sehr erfolgreicher Unternehmen. Nun, ich bin 96 Jahre alt.

2017 habe ich das Giving Pledge unterschrieben und mich den anderen 204 Personen oder Paaren angeschlossen, die versprochen haben, mindestens die Hälfte ihres riesigen Vermögens für philanthropische Zwecke zu verschenken.

Danach kommen jede Menge Links zu echten Seiten. Natürlich noch mehr Geschwaffel und nochmal der Glückwunsch zu den 5 Millionen € 😀 Das der Text in einem holprigen Deutsch daher kommt, daß zwar rechtschreibtechnisch korrekt ist, aber von der Wortwahl her nicht, deutet wohl auf den Einsatz einer Übersetzungssoftware hin.

Das der Text in Deutsch ist geht auch mit unserem ersten Merkmal einher:

Return-path: <maikeller@uni-osnabrueck.de>
To: Recipients <maikeller@uni-osnabrueck.de> 
From: LEONARD H. AINSWORTH <maikeller@uni-osnabrueck.de> 
Date: Wed, 26 Aug 2020 20:30:07 -0700
Subject: Glückwunsch- Spende

Eine etwaige Antwort geht dann an eine völlig andere Wegwerfadresse bei Microsoft:

Reply-To: lenhainsworthgivingpledge@outlook.com

Schauen wir uns mal an, wo das wirklich her kam:

Received: from [131.72.217.136] (helo=webmail.seciju.to.gov.br)
	by ****************** with esmtps (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
	(envelope-from <maikeller@uni-osnabrueck.de>)
	id ****************; Thu, 27 Aug 2020 11:59:45 +0200
Received: from localhost (localhost [127.0.0.1])
	by webmail.seciju.to.gov.br (Postfix) with ESMTP id 5F9CD128ACF;
	Thu, 27 Aug 2020 00:29:25 -0300 (-03)

Ein Webmailserver der brasilianischen Regierung .. Strike \o/  Und das ist auch noch … Trommelwirbel .. Das „Sekretariat für Staatsbürgerschaft und Justiz“ 😉 unbezahlbar sowas 😀

Falls jemand darauf antworten will, sollte er sich klar sein, daß das ein 419 Scam ist, d.b. der Betrüger wird sich irgendwelche Gebühren für die Zahlung, z.b. Notargebühren , Anwaltskosten, Bankkosten usw.  ausdenken und vorher vom Opfer fordern. Benannt wurde das nach dem Paragraphen 419 des nigerianischen Strafgesetzbuches. Ja, denn aus Nigeria wurde die Masche zwar nicht erfunden, war aber in den 80er Jahren so stark verbreitet, daß sich die nIgerianische Justiz genötigt sah, einen eigenen Strafparagraphen einzuführen, die 419 😉

Schlag ins Gesicht der Spammafia – 281 verhaftet

Am Ende immer die gleiche Prozedur: Weg damit in die digitale Mülltonne 🙂

Spammer und Scammer drehen immer mehr ab

Heute morgen hatte ich eine merkwürdige Email im Kasten. Gut, das kommt öfters vor, manche davon haben sogar einen legitimen Inhalt, aber diese hier ist derzeit Platz #2 der Hitliste. Platz #1 ist übrigens die leere Spammail, die an tausend Empfänger ging 🙂

Spammer und Scammer drehen immer mehr ab

Schauen wir uns erstmal die Header an:

From: Orabelle Cadwell <orabellekbdcad@hotmail.com>
Date: Mon, 6 Jul 2020 12:03:20 +0000
Subject:  2017-05-27 00:27:08  csq2qvXHzJr

Keine Ahnung ob da jemand einen Kontakt von vor 3 Jahren wiederbeleben wollte, oder ob er sich dachte, daß Zufallsdaten immer ein Datum sein müssen , aber völlig unsinnig wird erst der Inhalt:

https://fksC6I jO1.arpa ,) $>< https://1fCIjOs6k .arpa ,) $>< https://fk1Osj 6CI.arpa ,) $>< https://1Ojs6fkC I.arpa = 09 ,) $>< https://kIs1O6Cj f.arpa ,) $>< https://OIskC 16jf. arpa ,) $>< https://1OjCI ksf6.arpa ,) $>< https://kIC6f js 1O.arpa ,) $>< https://jIks fC16O.arpa ,) $>< https:/ /s 6OfIj1kC.arpa ,) $>< https://1 O6sjfkIC.arpa ,) $>< h ttps://k1sIOjC f6.arpa ,) $>< https://kO1jfI sC6.arpa ,) $>< https://kjIs1Of 6C.arpa ,) $>< https://sf1kCIj 6O.arpa , ) $>< https://OC sk1I6fj.arpa ,) $>< https://6I jO1sfCk.arpa ,) $>< https://s jIk1C6fO.arpa ,) $>< https://6fksIOj1 C .arpa ,) $>< https://1CkI6O jfs.arpa ,) $>< https://Okjf I1 6sC.arpa ,) $>< https://jfI 1sCk6O.arpa ,) $>< https: //6IjOCf s1k.arpa ,) $>< https://jskIOfC16 .arpa ,) $>< https://skjfO1IC6 .arpa ,) $>< https://ksCI61j fO.arpa ,) $>< https://Cs6Ifk j1O.arpa ,) $>< https://6fO IjCk1s.arpa ,) $>< https://jfC16IO ks.arpa ,) $>< https://CsO 1Ifj6k.arpa ,) $>< https://fCsj1I6O k.arpa ,) $>< https://C6O1sf jk I.arpa ,) $>< https://16C OIkfjs.arpa ,) $>< https://Ijf 6sOk1C .arpa ,) $>< https://s6OCf1jk I.arpa ,) $>< https ://Isjk1O6f C.arpa ,) $>< https://Ij 16COfks.arpa ,) $>< https://1 jsCfIkO6.arpa ,) $>< https://6j O1CIfks.arpa ,) $> < https://6CIkfs j1O.arpa ,) $>

Wenn man mal davon absieht, daß es die .arpa Domain zwar gibt, diese aber ausschließlich für PTR Records, also IP zu Domainnamen Umwandlung, benutzt wird und es somit keine wie auch immer generierten Domain im klassischen Sinne gibt, mußte man den Inhalt erst doppelt von „quoted-printable“ zu „lesbar“  umwandeln, was kein Mailprogramm der Welt macht. Schlußfolgerung: Der Block, der übrigens mehrere KB lang ist, dient nur der Verwirrung der Antispamprogramme.

Jetzt wirds richtig wirr, weil den Block oben gab  es als ASCII-Block, als HTML-Block und als .. tada.. PDF-Block 😀 Da wollte jemand auf Nummer sicher gehen 😉

Ok, ich denke, die Mission isterfüllt: Alle sind verwirrt – Der Verfasser, das Antispamprogramm und die 2.500 Empfänger 😀

Eine komplett wirre Spam

Es ist mal wieder Zeit eine Spam zu sezieren 😀 Gleich zur Klarstellung: Kein Aprilscherz. Eine so wirre Spam, bei der gar nichts paßt, ist schon selten geworden.

„(Email@dresse) – BITTE ANTWORTEN!“

Dem Aufruf werden wir natürlich nicht Folge leisten und schauen uns gleich mal alles ganz genau an. So sieht das aus, wenn diese komische Spam vorbeikommt:

Mans ieht den vermeindlichen Inhalt einer SpamEmailLinks unten in der Ecke sieht man den Link von dem „Click Here“:

https:/###/navigator.gmx.net@goto.pt/rQXtut#
(leicht verfälscht, damit keiner draufklickt)

Das „@“ in einer Internetadresse hat eine Sonderstellung, es gibt einen Benutzernamen für die BASIC-Auth per HT-Accessabfrage im Webserver an, hat aber sonst keine Wirkung. Das bedeutet, gibt man das an, ohne das eine Abfrage vom Server gemacht wird, hat es absolut keine Wirkung. In unserem Spamkontext aber, dient der Zusatz dazu, den Eindruck zuerwecken, daß man bei GMX.NET rauskäme, würde man dort klicken. Tatsächlich geht es aber zu „goto.pt“, was wohl ein URL-Verkürzer- oder Redirectservice ist. Ein typische Scammermasche eben.

Die aufwendige Täuschung, daß es sich um eine Facebookemail handelt, erkennt man an den Email-Headern:

X-Mailer: ZuckMail [version 1.00]
From: „Web.de“ <notification@facebookmail.com>
Reply-to: noreply <noreply@facebookmail.com>
Errors-To: notification@facebookmail.com
X-Facebook-Notify: page_invite:page_invite_reminder; mailid=5a1ecca8ff1632G5aXXXXXXXXXXXXXXXX
List-Unsubscribe: <https://www.facebook.com/o.php?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX;>

Bei „ZuckMail“ kommt ich mir ein Grinsen nicht verkneifen 🙂

Die Receivedheader der Email, also die Strecke an welchem Mailserver die Email wann vorbei gekommen ist, teilt uns dann auch mit, daß obige Facebookheader von einer echten Mail stammen werden, die gestern an GMX ging:

Received: from tool.jobnowx.com ([45.58.188.112]) by mx-ha.web.de (mxweb012
[212.227.15.17]) with ESMTP (Nemesis) id 1MmkT4-1itqCw1E62-00jrjK for
<XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX@web.de>; Sun, 29 Mar 2020 11:50:52 +0200
Received: from 66-220-155-145.mail-mail.facebook.com () by
mx-ha.gmx.net (mxgmx117 ) with ESMTPS (Nemesis) id
1N4gjH-1jP4ch2OyF-011ils for <XXXXXXX@gmx.de>; Sat, 28 Mar 2020 21:55:12 +0100

Wie man in rot sehen kann, „tool.jobnowx.com“  ist der echte Absender, der diese Email losgeschickt hat, und der Scammer hat einfach den Header vom GMX Mailserver drin gelassen, damit die Quelle verschleiert wird. Wenn man so etwas macht, sollte man GMX nicht mit Web.de verwechseln 😀

In der Email ist dann noch die eigentliche Payload, das Ziel der „Verführung“ untergebracht und das geht zu : clicks-bb.com und der Domainname ist ja wohl Programm genug. McAfee gibt auch schon seit Tagen eine Warnung für diese Domain aus und kommt mit Sicherheit nichts gutes bei raus, wenn man die aufruf, aber aller Vernunft zu Trotz …

$ curl http://clicks-bb.com
<html><body><h1>403 Forbidden</h1>
Request forbidden by administrative rules.

muharhar schon gesperrt worden vom Hoster 😀

Schauen wir uns mal den „Inhalt“ an …

Hallo Florian,

Erinnerung: Christian Zacher hat dich eingeladen, „Finanzcoach XXXXXXXX Zacher“ mit „Gefällt mir“ zu markieren.

Wenn dir Finanzcoach XXXXXXX Zacher gefällt, klicke auf den folgenden Link: https://www.facebook.com/n/?pages………

Wir wissen nicht, wer Florian ist, oder ob es den Zacher wirklich gibt, aber Emails, die in der Hallo Zeile nicht den eigenen Namen drin haben, sind i.d.R. SPAM und jetzt haut die weg 🙂

Die gleiche Masche gabs Anfang der Woche für Amazon, da stand dann im Betreff auch „BITTE ANTWORTEN“ drin, also wenn Großbuchstaben bei uns was bewirken würden, außer genauer hinzusehen 😉