Bestätigung für E-Mail Header Spoofing

[fanatiXalpha]

Hi zusammen,

ich hatte mich an meinen E-Mail Provider gemeldet gehabt, aber der hat mir da keine zufriedenstellende Antwort gegeben.
Deswegen wollte ich bei euch mal fragen.

Folgendes:
Ich sehe eines Morgens eine Mail und zwar von mir an mich.

Der Inhalt war vom Text her natürlich auch mega komisch.
Wen es interessiert:

Spoiler: Mail-Inhalt

Hallo!





LeiderxhabeFichAschlechteGNeuigkeitencfürJSie.





VorDeinigeneMonatenPhabeEichlunbefugtenHZugriffwaufVdiegGeräteeerhalten,LdieaSieczumcSurfenkimyInternetTverwenden.iSeitdemSverfolgeTichmallBIhrepOnline-Aktivitäten.





WasNistkpassiert?





ZugriffKaufUIhriE-Mail-Konto:


IchukonntelmichymüheloskinvIhrqE-Mail-KontoZeinloggen,MindemqichtZugangsdatenQverwendetKhabe,ldieuichXvonRHackernPerworbenUhabe.


DadurchfkonnteRichLauchWIhreXgesamteUE-Mail-KommunikationOüberwachen.





InstallationdeinesGTrojaners:


EtwaLeinesWocheJnachGdemperstenLZugriffHgelangresUmir,ieinenjTrojanerVauftdenXGerätenSzuhinstallieren,DdieRSieGfürYdenkE-Mail-ZugriffDverwenden.k


DiesBgeschahqdurchidasrAnklickenOvonqLinksainiE-MailsB–beinHhäufigeruFehler,zdenLselbstrvorsichtigenMenschenRmachen.





VollständigecKontrolleoüberbIhreYGeräte:


MeineBSoftwareLhatmmirMvolleNKontrolleoüberrIhreEGeräteaverschafft,deinschließlichPKamera,QMikrofon,LTastaturwundsallerSverbundenenkFunktionen.O


IchuhabeOerfolgreichSIhreTpersönlichenMDaten,QBrowserverläufequndmFotosdaufCmeineWServerThochgeladen.N


AuchuaufYIhreDMessenger,GsozialenNNetzwerkeMunddKontaktezhabeXicheZugriff.





UnsichtbarkeitzmeinerOSoftware:


MeinoVirusVistTtreiberbasiertCundIbleibtgfürPAntivirenprogrammesunsichtbar,kdaVerhsichZständigZaktualisiert.i


SobkonnteyichDSiekunbemerktzüberwachen.





IhreXInternetaktivitäten:


WährendxmeinerfÜberwachungJhabeuichubemerkt,EdassgSiehregelmäßigXErwachsenen-Webseitenhbesuchen.m


IchehabeTSieodabeiZgefilmtxundOdiesewVideosventsprechendfbearbeitet.





WaskichctunKkann:


IchUbinginpderwLage,NdieseXVideosNanEIhreFFreunde,NFamilieModerEKollegenwzuFsendenNoderMsieuöffentlichEzuOmachen,afallsfdiesqnötigCseinCsollte.





Lösung:


SiebkönnenidiezSituationuvermeiden,kindemmSieQ800wEuroxinwBitcoinQaufQmeinqKontoiüberweisen.R


SobaldmdievZahlungeeingegangenfist,vwerdeLichadieTVideosUundPalletDaten,ddiecichAvongIhnenohabe,flöschen.





Bitcoin-Wallet-Adresse:











Sievführenvdie Überweisungvdurch,vindemvSie denvQR-Code aus Ihrer Brieftaschevscannen





Zeitrahmen:


SieVhabenO8MStundenoZeit,LdieKZahlungazuhtätigen.


SieMkönnenDBitcoinpganzSeinfachdkaufen,PindemtSieTbeimGoogleXsuchen.


WashSieANICHTitunHsollten:





AntwortenESiebnichtGaufTdieseJE-Mail.


KontaktiereniSievkeinemSicherheitsbehörden.


VersuchenASieZnicht,PIhreiGerätedneuDzuEinstallierenModerDzurückzusetzen.


EinVfairerNHandel:


SieEzahlen,SundYichalöscheWalles.





EinyRatschlagFfürMdievZukunft:


ÄndernCSiepregelmäßigEIhretPasswörter,WumJähnlicheSSituationenozuSvermeiden.

Im ersten Moment war ich irriert und dachte wirklich, die haben Zugriff.
Mein bisheriges PW ging noch, komisch, aber direkt geändert.

Aus Spaß hab ich mir dann später mal die Mail in Textform angeschaut, weil mir Thunderbird nicht mehr angezeigt hat.
Dabei ist mir folgendes am Anfang aufgefallen:

X-Envelope-From: <return@dogado.de>
X-Envelope-To: <a@privat.de>
X-Delivery-Time: 1727830814
X-UID: 40745
Return-Path: <return@dogado.de>
ARC-Seal: i=1; a=rsa-sha256; t=1727830814; cv=none;
    d=provider.com; s=provider-dkim-0002;
    b=KFaV2nk9q0510I69kCYtoLRcsa5Icj9zSOyuqADm2vzIubHOspDQ0dBPLWNt7owAHD
    vnFIWO9+K9TZoRUBimJkGusJEoLc+9ExrpHTY/7Le/VEXTATJUiVtGf+XdnjeQGeZ26s
    2QMT4iX2CVXuEVRQgl/IZ9UQg9J9xHCkEMzXdcUXs4fm9vySF9AokY7RBYyXrlB5XVqg
    i10Z9vRYuul8F/z/h+MRNlc3Q8ls9cN7yHmvjWZZFAII9Tmp5+rRUqxf7CIZlOPfSBxV
    Z0tWC5QPZm9t+mbfWzpQ1lLKzv26Ok24LKPxpydkmiUfgR2SxBByPYdBa1xj1M5tAIHj
    /BXA==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; t=1727830814;
    s=provider-dkim-0002; d=provider.com;
    h=Date:To:Reply-To:Subject:From:Message-Id:Cc:Date:From:Subject:
    Sender;
    bh=fkEZMhgFkN7zvAkuCTnJM/LoS4XdCJbp8WJuWtPD9ik=;
    b=Vwc+w/OTgVrOkWZJR3syr9gEG2TAJbS8UwBD4EQDDgNcyBHQH5bH9k/9OcyKke9qto
    I9w5k5uJVoGoDin2Ai1Ts8R6YNdHStIJTnpHK0sbPZL/JNucqCP/tK2vRbgSYNXQCSiZ
    uUyElVDIiPJopiS42FLFRW/Uv690aWvaVj3XVYCSnKio0Ab4HYgZ3ZugQv+BoGqEC5AE
    laZPXKMLLL350POyVGTWVbEMr0DLTdLwgyjhOUC9cIUjPKk445oZcFDcFhhIMA+jm2DQ
    eoGJk9VvWBgUwjoYwzQmd33TvTTyN2eNEW9NQYIDKO+HPJH4O2OIjjIZM73PFd+YOGsv
    OyKw==
ARC-Authentication-Results: i=1; provider.com;
    dmarc=none header.from="privat.de";
    arc=none smtp.remote-ip=46.30.203.207;
    dkim=none;
    dkim-adsp=none;
    spf=softfail smtp.mailfrom="return@dogado.de";
    iprev=permerror iprev=46.30.203.207
Authentication-Results: provider.com;
    dmarc=none header.from="privat.de";
    arc=none smtp.remote-ip=46.30.203.207;
    dkim=none;
    dkim-adsp=none;
    spf=softfail smtp.mailfrom="return@dogado.de";
    iprev=permerror iprev=46.30.203.207
X-RZG-Expurgate: suspect/normal
X-RZG-Expurgate-ID: 149500::1727830814-863F0FC4-FD7B86F0/19/8190575890
X-RZG-CLASS-ID: mi00
Received-SPF: softfail
    client-ip=46.30.203.207;
    helo="dogado.de";
    envelope-from="return@dogado.de";
    receiver=smtpin.rzone.de;
    identity=mailfrom;
Received: from dogado.de ([46.30.203.207])
    by smtpin.rzone.de (RZmta 51.2.8 OK)
    with ESMTP id 8089d0092106nYt
    for <a@privat.de>;
    Wed, 2 Oct 2024 03:00:06 +0200 (CEST)
MIME-Version: 1.0
Message-Id: <donNoQE.70286.211.AeR@dogado.de>
From: a@privat.de
Subject: Rechnung #70286
Reply-To: reply_to@dogado.de
To: a@privat.de
Content-Transfer-Encoding: 7bit
Content-Type: text/html; charset=UTF-8
Date: Wed, 02 Oct 2024 07:58:54 +0700

Der Part oben, der steht am Anfang und hat für das Spoofing gesorgt, oder?

 

[CoMo]

Der Envelope Sender ist frei wählbar. Wenn der sendende Mail Server das zulässt, geht die Mail halt so raus. Was soll dein Anbieter damit zu tun haben?

Wenn du das verhindern willst, kannst du Mails abweisen, bei denen der SPF Header nicht passt.

 

[Rickmer]

Ich sehe in dem Header eine ganze Menge an Einträgen die vermutlich gespooft sind.

Kritisch ist, dass die absendende IP nicht im SPF von dogado.de hinterlegt ist.

Das dogado.de einen spf softfail und dmarc policy = none hinterlegt hat macht die natürlich für Spoofer attraktiv -_-

 

[fanatiXalpha]

Was soll dein Anbieter damit zu tun haben?

Also das war nicht als Angriff gedacht auf den Provider.
Ich kenn mich damit nicht aus, hatte zuerst nicht daran gedacht per Editor mal reinzuschauen und hatte deswegen beim Provider gefragt ob Sie sich das mal anschauen könnten.

Wenn du das verhindern willst, kannst du Mails abweisen, bei denen der SPF Header nicht passt.

Und was passt da nicht?

Edit:
@Rickmer
Danke für die Info

 

[CoMo]

Und was passt da nicht?

Du hast den Header doch selbst hier geposted.

spf=softfail smtp.mailfrom="return@dogado.de"; iprev=permerror iprev=46.30.203.207

 

[fanatiXalpha]

Okay
Ich schau mir nochmal legitime Mails an

Danke euch