E Mails die nicht im Spamordner landen

schumi99

Hi friends

seit geraumer Zeit erhalte ich nonsense Mails die von keinem Spamfilter ekannt werden. Absender ist angeblich ein Postmaster, der sichtbare Text ist nur einige Wörter lang und offensichtlich fake. Wenn ich dann allerdings den Nachricht-Quelltext anschaue, dann sehe ich HTML Code, der scheinbar bewirkt dass ich keinen Text sehe, aber dann frisch fröhlich Zugriffe auf dubiose Websites macht. Diese Mails melde ich jedesmal bei Spamcop, ob das etwas bewirkt weiss ich nicht, aber was soll ich sonst tun?

Aber jetzt die Frage an euch Profis - um zu verhindern dass dieser HTML Code ausgeführt wird, lese ich die Mails als Nur Text (in Thunderbird kann man das). Ist das wirklich so, wenn ich nur Text lese wird mir der HTML Code als Text angezeigt aber nicht ausgeführt?? Ich hoffe das ist so. Was meint ihr?

r00t

Hi schumi99

was mich erstaunt wie man es fertig bringt all diesen Text zu verstecken...

Das ist, weil 90% hier Informationen sind, wie die von extern geladenen Bilder anzuzeigen sind, und wohin die Reise bei einem Klick aufs Bild gehen sollte 😉.

Die restlichen 10% sind E-Mail Header, also Zusatzinformationen zum Weg deiner E-Mail (Vergleichbar mit der Front eines Postcouvert: Absenderadresse, Empfängeradresse, + einige Poststempel.

Wenn dich interessiert, wie HTML genau funktioniert, gibt es diverse Ressourcen (z.B. hier, oder auf Alemannisch 😂)

Da dein Thunderbird das Nachladen des Bildes blockiert, siehste nüscht. Würde dein Thunderbird dies erlauben, würde es so aussehen:

(Ich habe noch den Schriftzug Fake hinzugefügt, damit niemand plötzlich dieses Forum hier als Filehoster für den Fake benutzen kann)

Abgesehen vom Bild und vom Link, kann ich da auf den ersten Blick nichts "böses" erkennen. Aber ja - eindeutig Spam bzw. vermutlich Phishing.

Ist deine Zieladresse eine Bluewin-Adresse?

r00t

Hi @schumi99

Reines HTML ist keine Programmiersprache und kann deshalb auch nicht ausgeführt werden. Das einzige "interaktive" was möglich ist, ist das Nachladen von Ressourcen (z.B. Bilder, Stichwort Trackingpixel, CSS etc.).

Thunderbird blockiert dies standardmässig (gelbe Leiste oben, im Stile von "Das Laden von externen Inhalten wurde blockiert" siehe hier).

Was natürlich sein kann, ist dass Javascript eingebettet ist, was anschliessend ausgeführt werden könnte (was aber vernünftige E-Mail Clients (Thunderbird seit Version 3) unter keinen Umständen tun sollten)

Magst du das Snippet mit uns teilen? Du kannst natürlich persönliche Informationen zensieren.

Kannst du in den Header sehen von wo die E-Mail kommt? Geht es um eine Bluewin-Adresse?

PS: Das oben gesagte gilt nur für E-Mails - Webseiten laden heute leider meistens noch eine halbe Tonne Javascript nach, weshalb HTML Anhänge für die Auslieferung von Viren nach wie vor sehr beliebt sind.

r00t

schumi99

Hallo r00t,

ich kann hier gerne den Quelltext zeigen, ich selbst habe Mühe den HTML Code zu interpretieren, sehe dann allerdings die HTTPS zu lustigen Brüdern...

Return-Path: <bounce+84ec79.37059b-xxx.yyy=xyz@abc.ch>Delivered-To: xyz@abc.chReceived: from director03 ([10.0.121.146])by dovecot14 with LMTP id kDNJEXoCw2RVfwAAtNoa1Qfor <xxx.yyy@"x"#79987.ch>; Fri, 28 Jul 2023 01:49:14 +0200Received: from localhost ([10.0.121.146])by director03 with LMTP id CPr7EHoCw2Q5bgAAUyPkog; Fri, 28 Jul 2023 01:49:14 +0200X-Original-To: xyz@abc.chReceived: from m228-61.mailgun.net (unknown [159.135.228.61])by mxpostfix02.mail.de (Postfix) with ESMTP id 2762F800BCfor xyz@abc.ch; Fri, 28 Jul 2023 01:49:14 +0200 (CEST)Authentication-Results: mxpostfix02.mail.de;dkim=pass (1024-bit key; secure) header.d=mailing.4sight.shop header.i=@mailing.4sight.shop header.b="ZXiua+Ph";dkim-atps=neutralReceived: from [159.135.228.61] (helo=m228-61.mailgun.net)by mx04.mail.de with ESMTPS (eXpurgate 4.46.0)(envelope-from <bounce+84ec79.37059b-xxx.yyy\=xyz@abc.ch>)id 64c30278-074b-0a0078cc0019-9f87e43d4f05-3for xyz@abc.ch; Fri, 28 Jul 2023 01:49:13 +0200DKIM-Signature: a=rsa-sha256; v=1; c=relaxed/relaxed; d=mailing.4sight.shop; q=dns/txt; s=k1; t=1690501752; x=1690508952; h=Message-Id: To: To: From: From: Subject: Subject: Content-Type: Mime-Version: Date: Sender: Sender; bh=pcIYYsVb9gd8LKzF4yNEKmWUYQD/XCcNDd/3u2t/dIU=; b=ZXiua+PhCq73MEUi6myPL4Dxu2T7BuJTEqVSg4W+CUMMhiSBydPwOsnTzcFWBnrQmCE3d2REy9UUqoH2lp8CgHWQoBsLGJLluPdOxJpLpWW71FlpxLZF3blEYoRqPKKQa5TW7Nk7sGZpvXHrZXGOxzihZ/B3OXTXPsLMuTsCH5E=X-Mailgun-Sending-Ip: 159.135.228.61X-Mailgun-Sid: WyJlYTllZSIsInJldG8udGVzdGVyQG1haWwuY2giLCIzNzA1OWIiXQ==Received: from <unknown> (<unknown> []) by 60f660e08702 with HTTP id 64c30278cfb129027d78b4a3; Thu, 27 Jul 2023 23:49:10 GMTX-Mailgun-Batch-Id: 64c30276eb8a643885a1eba5Sender: xyz@abc.chDate: Thu, 27 Jul 2023 23:49:10 +0000Mime-Version: 1.0Content-Type: multipart/alternative; boundary="55c42f542f94eefefe8f2dfc4354488f24e2ed019e7c07519f204d3db8ba"Subject: Warum nicht?From: postmaster xyz@abc.chTo: xyz@abc.chX-Mailgun-Track: falseMessage-Id: xyz@abc.chX-purgate-ID: 153031::1690501754-F9FF9AF7-AF71E1AF/19/7850787552X-purgate-type: cleanX-purgate-size: 7212X-purgate-Ad: Categorized by eleven eXpurgate (R)X-purgate: clean

--55c42f542f94eefefe8f2dfc4354488f24e2ed019e7c07519f204d3db8baContent-Transfer-Encoding: 7bitContent-Type: text/plain; charset=ascii

dsqdqsd sqd sq sqd sqdsqdsq--55c42f542f94eefefe8f2dfc4354488f24e2ed019e7c07519f204d3db8baContent-Type: text/html; charset="utf-8"Content-Transfer-Encoding: quoted-printable

<!DOCTYPE html><html xmlns= xmlns:v=3D"urn:schemas-microso=ft-com:vml" xmlns:o=3D"urn:schemas-microsoft-com:office:office"> <head> <title>Say hello to card</title> <meta http-equiv=3D"X-UA-Compatible" content=3D"IE=3Dedge"> <meta http-equiv=3D"Content-Type" content=3D"text/html; charset=3DUTF-8="> <meta name=3D"viewport" content=3D"width=3Ddevice-width, initial-scale=\=3D1"> <style type=3D"text/css"> #outlook a { padding: 0; } body { margin: 0; padding: 0; -webkit-text-size-adjust: 100%; -ms-text-size-adjust: 100%; } table, td { border-collapse: collapse; mso-table-lspace: 0pt; mso-table-rspace: 0pt; } img { border: 0; height: auto; line-height: 100%; outline: none; text-decoration: none; -ms-interpolation-mode: bicubic; } p { display: block; margin: 13px 0; } </style> <style type=3D"text/css"> @Media only screen and (min-width:480px) {.mj-column-per-100 { width: 100%!important; max-width: 100%; } } </style> <style media=3D"screen and (min-width:480px)">.moz-text-html.mj-column-per-100 { width: 100%!important; max-width: 100%; } </style> <style type=3D"text/css"> @Media only screen and (max-width:479px) { table.mj-full-width-mobile { width: 100%!important; } td.mj-full-width-mobile { width: auto!important; } } </style> <style type=3D"text/css"> </style> </head> <body style=3D"word-spacing:normal;"> <div style=3D""> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> <tr> <td align=3D"center" style=3D"font-size:0px;padding=:10px 25px;word-break:break-word;"> <table border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"border-collapse:collapse;border-spaci=ng:0px;"> <tbody> <tr> <td style=3D"width:550px;"> <a href=3D"ho=me/minusG/mail.ch/3021213a490b515ff0477cd0bca85fbb" target=3D"_blank"> <img src=3D"xxxxxxxxxxx=/banner.png" style=3D"border:0;display:block;outline:none;text-decoration:n=one;height:auto;width:100%;font-size:13px;" width=3D"550" height=3D"auto"> </a> </td> </tr> </tbody> </table> </td> </tr> </tbody> </table> </div> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> </div> </body></html>

--55c42f542f94eefefe8f2dfc4354488f24e2ed019e7c07519f204d3db8ba--

was mich erstaunt wie man es fertig bringt all diesen Text zu verstecken...

kannst Du mit dem was anfangen?

schumi99

sorry r00t beim vorigen post hatte ich die HTTPS Zugriffe bereits ausgefiltert, dehalb hier ein anderes besseres

Return-Path: <bounce+bfd547.72518-xxx.yyy=xyz@abc.ch>Delivered-To: xyz@abc.chReceived: from director02 ([10.0.121.147])by dovecot14 with LMTP id yGKpIf6YxWSpLAAAtNoa1Qfor xyz@abc.ch; Sun, 30 Jul 2023 00:55:58 +0200Received: from localhost ([10.0.121.147])by director02 with LMTP id QEuAIf6YxWQ6SQAAvSMxcg; Sun, 30 Jul 2023 00:55:58 +0200X-Original-To: xyz@abc.chReceived: from so254-48.mailgun.net (unknown [198.61.254.48])by mxpostfix03.mail.de (Postfix) with ESMTP id 6BBB080061for xyz@abc.ch; Sun, 30 Jul 2023 00:55:58 +0200 (CEST)Authentication-Results: mxpostfix03.mail.de;dkim=pass (1024-bit key; secure) header.d=andrewpeng.net header.i=@andrewpeng.net header.b="PuvraQn3";dkim-atps=neutralReceived: from [198.61.254.48] (helo=so254-48.mailgun.net)by mx05.mail.de with ESMTPS (eXpurgate 4.46.0)(envelope-from <bounce+bfd547.72518-xxx.yyy=xyz@abc.ch>)id 64c598cf-0711-0a0078cd0019-c63dfe30fa05-10for xyz@abc.ch; Sun, 30 Jul 2023 00:55:58 +0200DKIM-Signature: a=rsa-sha256; v=1; c=relaxed/relaxed; d=andrewpeng.net; q=dns/txt; s=smtp; t=1690671357; x=1690678557; h=Message-Id: To: To: From: From: Subject: Subject: Content-Type: Mime-Version: Date: Sender: Sender; bh=vqq1BtaNQC2zW5QJXB70A7Q9CRqBQTHlEmFMmDkiAHc=; b=PuvraQn3GmaYrBtGqa+NP6Lgs5jN7IJj7zBAShntaW2hbeMdci77+TErd5Q8vMwdIC6lpwhYd/dGq59XDeNuvmg0h+HLw1PyK/xLt4oV8YXgAdqaCe1W/rW9GMA47TXXrbxyrtX1RRy3FEMJF5LMz4uXpEG8wHHXeJbKAqImwDg=X-Mailgun-Sending-Ip: 198.61.254.48X-Mailgun-Sid: WyI2NzhlNSIsInJldG8udGVzdGVyQG1haWwuY2giLCI3MjUxOCJdReceived: from <unknown> (<unknown> []) by 4ca0b8cd16d6 with HTTP id 64c598fd13929ab6cbe256b6; Sat, 29 Jul 2023 22:55:55 GMTX-Mailgun-Batch-Id: 64c598fb13929ab6cbe24a50Sender: xyz@abc.chDate: Sat, 29 Jul 2023 22:55:55 +0000Mime-Version: 1.0Content-Type: multipart/alternative; boundary="ffe44c051743d3eb2aabbec21f11c4d730b4a79c39cbc75150608b282d32"Subject: =?UTF-8?q?ma=C3=9Fgeschneidert_f=C3=BCr_Sie?=From: noreplay xyz@abc.chTo: xyz@abc.chX-Mailgun-Track: falseMessage-Id: xyz@abc.chX-purgate-ID: 153031::1690671358-9BFFD96D-0C759EB8/2/53845426768X-purgate-type: cleanX-purgate-size: 5927X-purgate-Ad: Categorized by eleven eXpurgate (R) http://www.eleven.deX-purgate: clean

--ffe44c051743d3eb2aabbec21f11c4d730b4a79c39cbc75150608b282d32Content-Transfer-Encoding: quoted-printableContent-Type: text/plain; charset="utf-8"

ma=C3=9Fgeschneidert f=C3=BCr Sie--ffe44c051743d3eb2aabbec21f11c4d730b4a79c39cbc75150608b282d32Content-Type: text/html; charset="utf-8"Content-Transfer-Encoding: quoted-printable

<!DOCTYPE html><html xmlns=3D"http://www.w3.org/1999/xhtml" xmlns:v=3D"urn:schemas-microso=ft-com:vml" xmlns:o=3D"urn:schemas-microsoft-com:office:office"> <head> <title>>New device log in detected</title> <meta http-equiv=3D"X-UA-Compatible" content=3D"IE=3Dedge"> <meta http-equiv=3D"Content-Type" content=3D"text/html; charset=3DUTF-8="> <meta name=3D"viewport" content=3D"width=3Ddevice-width, initial-scale=\=3D1"> <style type=3D"text/css"> #outlook a { padding: 0; } body { margin: 0; padding: 0; -webkit-text-size-adjust: 100%; -ms-text-size-adjust: 100%; } table, td { border-collapse: collapse; mso-table-lspace: 0pt; mso-table-rspace: 0pt; } img { border: 0; height: auto; line-height: 100%; outline: none; text-decoration: none; -ms-interpolation-mode: bicubic; } p { display: block; margin: 13px 0; } </style> <style type=3D"text/css"> @Media only screen and (min-width:480px) {.mj-column-per-100 { width: 100%!important; max-width: 100%; } } </style> <style media=3D"screen and (min-width:480px)">.moz-text-html.mj-column-per-100 { width: 100%!important; max-width: 100%; } </style> <style type=3D"text/css"> @Media only screen and (max-width:479px) { table.mj-full-width-mobile { width: 100%!important; } td.mj-full-width-mobile { width: auto!important; } } </style> <style type=3D"text/css"> </style> </head> <body style=3D"word-spacing:normal;"> <div> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> <tr> <td align=3D"center" style=3D"font-size:0px;padding=:10px 25px;word-break:break-word;"> <table border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"border-collapse:collapse;border-spaci=ng:0px;"> <tbody> <tr> <td style=3D"width:550px;"> <a href=3D"[https://newsletter.geekbite.ne=](https://newsletter.geekbite.ne=)t/products/f4/mail.ch/3021213a490b515ff0477cd0bca85fbb" target=3D"_blank"> <img src=3D"[https://newsletter.geekbite=](https://newsletter.geekbite=)\=2Enet/banner.png" style=3D"border:0;dis=play:block;outline:none;text-decorati=on:none;height:auto;width:100%;font-size:13px;" width=3D"550" height=3D"aut=o"> </a> </td> </tr> </tbody> </table> </td> </tr> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> <div style=3D"margin:0px auto;max-width:600px;"> <table align=3D"center" border=3D"0" cellpadding=3D"0" cellspacing=\=3D"0" role=3D"presentation" style=3D"width:100%;"> <tbody> <tr> <td style=3D"direction:ltr;font-size:0px;padding:0px;text-ali=gn:center;"> <div class=3D"mj-column-per-100 mj-outlook-group-fix" style=\=3D"font-size:0px;text-align:left;direction:ltr;display:inline-block;vertic=al-align:top;width:100%;"> <table border=3D"0" cellpadding=3D"0" cellspacing=3D"0" r=ole=3D"presentation" style=3D"vertical-align:top;" width=3D"100%"> <tbody> </tbody> </table> </div> </td> </tr> </tbody> </table> </div> </div> </body></html>

--ffe44c051743d3eb2aabbec21f11c4d730b4a79c39cbc75150608b282d32--

schumi99

danke r00t, alles klar, mir war nicht mehr bewusst dass Thunderbird das laden von Bildern unterdrückt. Nun gut, früher hatte ich mal gelesen, dass man in Bildern Schadcode verstecken kann.... drum passt mir das eigentlich.

Ich habe einen Account bei mail.ch, meine Mailadresse erscheint nicht auf https://haveibeenpwned.com/ und trotzdem kriege ich in letzter Zeit einige spams. Mein früherer Account bei bluewin.ch war gehackt, drum wechselte ich.

danke für deine Hilfe, soweit ist mir jetzt klar dass mir eigentlich nichts passieren kann. Hoffe ich.

schumi99

übrigens alemannisch - genial

r00t

Hi @schumi99

Ich habe einen Account bei mail.ch, meine Mailadresse erscheint nicht auf https://haveibeenpwned.com/ und trotzdem kriege ich in letzter Zeit einige spams. Mein früherer Account bei bluewin.ch war gehackt, drum wechselte ich.

Denke daran: haveibeenpwned ist keine Garantie, nicht gehackt worden zu sein - aber wenn man gelistet ist, ist es eine Garantie, dass das Passwort (oder der Hash) irgendwo im Internet rumschwirrt 🙂

Ich hoffe, dein neuer Account nutzt ein anderes Passwort 😉. Ansonsten mal über einen Passwortmanager nachdenken..

Spam gibt es schnell mal - das muss nicht immer mit einem Hack zusammenhängen.

soweit ist mir jetzt klar dass mir eigentlich nichts passieren kann. Hoffe ich.

Eine 100%ige Sicherheit gibt es leider nie - aber wenn du Thunderbird nutzt und nicht blind überall "zulassen" und "entfernte Inhalte laden" klickst, hast du schon viel richtig gemacht 😉.

r00t

schumi99

danke r00t, ich nutze Nordpass, und NordVPN. Mit NordVPN habe ich allerdings einige Schwierigkeiten, siehe auch mein Beitrag hier im Forum. Ich merke grad - ich habe noch ein Item offen - auf Swisscom VPN wechseln.