XS4ALL Phishing mail

[regmaster]

Onderstaand Phisingmailtje ontving ik, zogenaamd van [e-mail] (in feite [e-mail])

This message is from xs4all Message Center to all xs4all webmail users.
We are currently upgrading our data base and e-mail center. We are deleting all unused xs4all Webmail Account. You are required to verify and update your email by confirming your email identity. This will prevent your email from been closed during this exercise. In order to confirm you email identity, you are to provide the following data;

CONFIRM YOUR EMAIL IDENTITY BELOW
First Name:____________________
Last Name:____________________
Email Username :____________________
Email Password:____________________

Warning!!! xs4all Webmail User that refuses to verify and subsequently update his or her email within Seven days of receiving this warning will lose his or her email permanently.
Thank you for using xs4all Webmail!
Warning Code:ASDF2G99AAJ

Kind regards,
The xs4all service Team Management.
The xs4all service. ® Registered trade mark of xs4all Internet Service.
ABN 33
All rights reserved.

Trap hier dus niet in!!!!

Geen idee of dit hier mag staan maar anders mag het wel verplaats worden... heren modjes...

[ Voor 4% gewijzigd door regmaster op 29-07-2008 11:52 ]

[Verwijderd]

Denk eerder dat ze jouw emailadres gefished hebben

[oehoe]

*zucht* typsiche phishing-zut. Wel lef (of heel dom) van zo'n prutser om dat in naam van xs4all te doen, dat zullen ze wel waarderen.

[Frostbite]

Ik vermoed dat ze een bcc sturen naar [e-mail] of zoiets.

Benieuwd hoeveel wachtwoorden ze binnenhalen.

[ajhaverkamp]

Meld het even bij Xs4all! Ik heb hem niet op mijn Xs4all e-mailadres gehad.

[regmaster]

Verwijderd schreef op dinsdag 29 juli 2008 @ 11:52:
Denk eerder dat ze jouw emailadres gefished hebben

Hmm, undisclosed-recipients? Zal vast niet de enge zijn. Maar een gewaarchuwd mens telt voor 2 toch?

[regmaster]

ajhaverkamp schreef op dinsdag 29 juli 2008 @ 11:54:
Meld het even bij Xs4all! Ik heb hem niet op mijn Xs4all e-mailadres gehad.

Reeds gebeurd

[Dutch_Celt]

Lijkt me niet dat xs4all zo'n (belabberd) mailtje zou sturen.

Ik zie xs4all dit eerder via een officiele brief sturen, met een langere periode dan 7 dagen.

Typical phishing..

[lier]

Even doorsturen naar XS4ALL lijkt me (zorg wel dat alle header info mee komt).

edit:
Te laat...

[ Voor 14% gewijzigd door lier op 29-07-2008 11:56 ]

[Verwijderd]

Denk dat dit een template is, waar de provider variabel is.

[Motrax]

Sc0rPi0N schreef op dinsdag 29 juli 2008 @ 11:54:
Ik vermoed dat ze een bcc sturen naar [e-mail] of zoiets.

Benieuwd hoeveel wachtwoorden ze binnenhalen.

Denk je dat een extern persoon even naar een groep mag sturen?

[Stoffel]

Sowieso kun je er van uitgaan dat geen enkel serieus bedrijf je ooit om je plaintext wachtwoord zou vragen. Die hebben ze zelf meestal niet eens opgeslagen en ook echt niet nodig om te controleren of jij "je account nog gebruikt".

[SinergyX]

En deze had ik al inmiddels 7x in forward gekregen met zo'n beetje 200 aan: mailadressen erbij.. Zijn mensen nu echt gewoon zo dom?

Orginele bericht trouwens zelf nooit gehad.

Sc0rPi0N schreef op dinsdag 29 juli 2008 @ 11:54:
Ik vermoed dat ze een bcc sturen naar [e-mail] of zoiets.

Benieuwd hoeveel wachtwoorden ze binnenhalen.

Nah, ze hebben bij XS4all zo'n user-webspace overzicht, pak daar gewoon elke username, plak er @xs4all.nl achter en je hebt er een 400-500 emailadressen bij.

[ Voor 67% gewijzigd door SinergyX op 29-07-2008 12:04 ]

[lier]

SinergyX schreef op dinsdag 29 juli 2008 @ 12:03:
En deze had ik al inmiddels 7x in forward gekregen met zo'n beetje 200 aan: mailadressen erbij.. Zijn mensen nu echt gewoon zo dom?

Ja...

[Wobcat]

Ja, en XS4all, een Nederlandse provider zal natuurlijk ook een Engelstalige mail naar zijn cliënten sturen.

[Murcielago]

oehoe schreef op dinsdag 29 juli 2008 @ 11:53:
*zucht* typsiche phishing-zut. Wel lef (of heel dom) van zo'n prutser om dat in naam van xs4all te doen, dat zullen ze wel waarderen.

Wat boeit het nou dat het xs4all is dan? Moet je dan extra voorzichtig zijn? Of moet je bang zijn voor xs4all als je uit hun naam gaat phishen?

[Inflatable]

Murcielago schreef op dinsdag 29 juli 2008 @ 17:34:
[...]

Wat boeit het nou dat het xs4all is dan? Moet je dan extra voorzichtig zijn? Of moet je bang zijn voor xs4all als je uit hun naam gaat phishen?

Omdat XS4ALL nogal op veiligheid is, en daarom dit soort misbruik in hun naam inderdaad misschien harder aanpakt dan menig andere ISP (zover ze dat kunnen, omdat dit soort dingen meestal uit het buitenland komen uit)?

Het is overigens overduidelijk een phishing e-mail, niet op ingaan dus.. Maar ik neem aan dat iedereen die tweakers.net bezoekt dat ook wel snapt (mag ik hopen)..

[ Voor 10% gewijzigd door Inflatable op 29-07-2008 18:00 ]

[Henk007]

Voor zover ik uit de startpost begrijp is het reply adres een live.com account. Een mailtje naar abuse (at) live.com lijkt me ook wel een goed plan.

[smesjz]

Henk007 schreef op dinsdag 29 juli 2008 @ 18:05:
Voor zover ik uit de startpost begrijp is het reply adres een live.com account. Een mailtje naar abuse (at) live.com lijkt me ook wel een goed plan.

Jij bent ook zo'n persoon die mail van de Postbank vertrouwt omdat @postbank.nl in het mailtje staat?

Je moet kijken naar de Received headers en via whois kan je daar de goede abuse adressen vinden, het afzender adres is irrevelant in dit soort gevallen.

Ik zou dit gewoon negeren en val vooral xs4all er niet mee lastig.

[Henk007]

smesjz schreef op dinsdag 29 juli 2008 @ 18:33:
[...]


Jij bent ook zo'n persoon die mail van de Postbank vertrouwt omdat @postbank.nl in het mailtje staat?

Je moet kijken naar de Received headers en via whois kan je daar de goede abuse adressen vinden, het afzender adres is irrevelant in dit soort gevallen.

Ik zou dit gewoon negeren en val vooral xs4all er niet mee lastig.

Nee dus
Als het een phishing attack is verwacht de aanvaller een antwoord per email. Dat is dus het adres dat in de [reply to] header staat. Om zijn resultaten op te halen zal hij dus echt wel op die account moeten inloggen.

[RobIII]

smesjz schreef op dinsdag 29 juli 2008 @ 18:33:
[...]


Jij bent ook zo'n persoon die mail van de Postbank vertrouwt omdat @postbank.nl in het mailtje staat?

Je moet kijken naar de Received headers en via whois kan je daar de goede abuse adressen vinden, het afzender adres is irrevelant in dit soort gevallen.

Toch heeft 'ie gelijk; want zoals ik het lees is het de bedoeling op die mail te replyen en dus als ze die wachtwoorden willen hebben zullen ze op z'n minst die mailbox moeten leeghalen.

edit:

Tjeez, alweer spuit 11

[ Voor 3% gewijzigd door RobIII op 29-07-2008 18:42 ]

[flo_]

Heb ook zoiets gehad op mijn Planet-emailadres. Heb meteen mailtje gestuurd naar Planet's abuse-adres. Kreeg binnen 48 uur bericht terug van KPN dat het inderdaad nep is, het al eerder is gemeld en dat het in onderzoek is.

[ Voor 4% gewijzigd door flo_ op 29-07-2008 21:06 ]

[zomertje]

Ik heb de originele gehad. De eerste keer dat ik zo'n soort mailtje echt zelf krijg

[Joshua]

Vaag dat spamfilters hierop niet reageren..

[ Voor 3% gewijzigd door Joshua op 29-07-2008 22:11 ]

[SinergyX]

Spike1506 schreef op dinsdag 29 juli 2008 @ 22:11:
Vaag dat spamfilters hierop niet reageren..

Hij wordt inmiddels nu bij xs4all zelf al geflilterd.

Heeft de TS de spamfilter op zijn box aan staan?

[Verwijderd]

Ben blij dat ik dit soort mails nog nooit in m'n mailbox heb gezien Maar het is idd altijd verstandig van de TS om dit mailtje bij xs4all te informeren. Niet alleen dat wij (tweakers) dit soort mailtjes al snel kunnen weten dat het plishing-mail is, maar er zullen al helaas maar al te veel mensen zijn die er toch intrappen........

Ik weet dan ook zeker dat xs4all hier het niet alleen bij zullen laten. Want als het om veiligheid gaat, staat xs er dan ook voor!

Wel al fijn om te horen dat deze mails nu wel worden gefilterd door de spambots van XS4all

[weijl]

Vind het toch raar dat iets dergelijks überhaubt door een spamfilter komt... Of ligt dat aan mij?
Dergelijke mails met dergelijke inhoud gaan toch immers al tijden over het internet..

[SinergyX]

weijl schreef op woensdag 30 juli 2008 @ 00:25:
Vind het toch raar dat iets dergelijks überhaubt door een spamfilter komt... Of ligt dat aan mij?
Dergelijke mails met dergelijke inhoud gaan toch immers al tijden over het internet..

daarom vroeg ik al of hij de spamfilter heeft aanstaan (kan je uit laten zegmaar, buiten virus etc).

Ik heb em namelijk ook niet gehad, maar de mensen die hem wel hebben gehad hadden (bij navraag) ook spamfilter uit staan.

[Mr Magic]

Ik heb hem gisteren ook gehad en het Xs4all spam-filter staat gewoon aan bij mij. Ook mijn Exchange 2007 server zag het bericht niet als spam (SCL 2). Ook niet zo heel gek, want er staan niet echt heel veel spam-kenmerken in het bericht. Voor de geinteresseerden hier de headers:

code:

Received: from web.tvn.net (web1.tvn.net [63.238.55.195])   by
 mxdrop203.xs4all.nl (8.13.8/8.13.8) with ESMTP id m6T9LHCI013356;  Tue, 29 Jul
 2008 11:21:19 +0200 (CEST) (envelope-from [e-mail])
Received: from localhost (localhost.tvn.net [127.0.0.1])    by web.tvn.net
 (Postfix) with ESMTP id 34572FE78; Tue, 29 Jul 2008 04:20:49 -0500 (CDT)
Received: from web.tvn.net ([127.0.0.1]) by localhost (web1.tvn.net
 [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id 55776-05; Tue, 29 Jul
 2008 04:20:39 -0500 (CDT)
Received: from webmail.tvn.net (localhost.tvn.net [127.0.0.1])  by web.tvn.net
 (Postfix) with SMTP id BFFFFFE97;  Tue, 29 Jul 2008 04:19:59 -0500 (CDT)
Received: from 83.138.172.72 (proxying for 41.205.167.229)
        (SquirrelMail authenticated user tp6927)        by webmail.tvn.net
 with HTTP;        Tue, 29 Jul 2008 04:20:12 -0500 (CDT)
Message-ID: <[e-mail]>
Date: Tue, 29 Jul 2008 04:20:12 -0500
Subject: RE-ACTIVATE YOUR XS4ALL EMAIL ACCOUNT
From: Xs4all Customer Support Center <[e-mail]>
Reply-To: [e-mail]
User-Agent: SquirrelMail/1.4.2
MIME-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: 8bit
X-Priority: 3
Importance: Normal
To: undisclosed-recipients: ;
X-Virus-Scanned: by XS4ALL Virus Scanner
X-XS4ALL-DNSBL-Checked: mxdrop203.xs4all.nl checked 63.238.55.195 against DNS blacklists
X-CNFS-Analysis: v=1.0 c=1 a=nkBUoONNrpgA:10 a=SIapg4jNq7wA:10
    a=l7EpZvmFm7qGhg7++8NVoA==:17 a=p7QrMkBJWJqm2iV8ckgA:9
    a=sCTCASnLvUMGEoBmsB0A:7 a=6c0nKK_zpiI3WkNOj0dI7OyvYvAA:4
    a=uVawpVqKyvgA:10
X-XS4ALL-Spam-Score: 3.1 (***) SUBJ_ALL_CAPS, XS_USERPASS
X-XS4ALL-Spam: NO
Return-Path: [e-mail]
X-MS-Exchange-Organization-SCL: 1
X-MS-Exchange-Organization-PCL: 2
X-MS-Exchange-Organization-Antispam-Report:
 DV:3.3.5705.600;OrigIP:194.109.24.72

[RemcoDelft]

Mensen die hierop reageren verdienen het natuurlijk gewoon ...

[TrailBlazer]

Goed man 7 dagen responsetijd wel. Zeker in de vakantie periode. Echt te kansloos deze poging.

[IEF]

Ik heb even het gedeelte 'userdatabase gekraakt' uit je titel gehaald.

Er is geen bewijs/reden om dit erin te zetten. Dit is een simpele standaard phishing mail.

[regmaster]

SinergyX schreef op dinsdag 29 juli 2008 @ 22:43:
[...]

Hij wordt inmiddels nu bij xs4all zelf al geflilterd.

Heeft de TS de spamfilter op zijn box aan staan?

Yup die staat gewoon aan.

[regmaster]

IEFtm schreef op donderdag 31 juli 2008 @ 14:47:
Ik heb even het gedeelte 'userdatabase gekraakt' uit je titel gehaald.

Er is geen bewijs/reden om dit erin te zetten. Dit is een simpele standaard phishing mail.

Prima hoor, ik was even kort door de bocht ervan uitgegaan dat meerdere XS4all abonnees dit gehad konden hebben dus mogelijk dat de userdatabase in handen was gevallen. Is dus gewoon een ordinaire Phishing mail.

[Skinkie]

Vandaag weer twee mails gehad, ik vind het diep triest dat SPF nogsteeds niet is geimplementeerd, noch dat er actief wordt gefilterd op deze mails.

[Skinkie]

IEFtm schreef op donderdag 31 juli 2008 @ 14:47:
Ik heb even het gedeelte 'userdatabase gekraakt' uit je titel gehaald.

Er is geen bewijs/reden om dit erin te zetten. Dit is een simpele standaard phishing mail.

Er is genoeg bewijs Je kunt nogsteeds alle users via de SSH shell oplepelen

[Fish]

wat is er dan gekraakt ? ... niet verwarren met, wat staat er dan open ?

[ Voor 50% gewijzigd door Fish op 09-08-2008 18:01 ]

[Skinkie]

fish schreef op zaterdag 09 augustus 2008 @ 18:00:
wat is er dan gekraakt ? ... niet verwarren met, wat staat er dan open ?

Al sinds het begin van XS4ALL zijn alle homedir namen bekend? Door amd momenteel alleen ingelogde gebruikers maar er zijn nog talloze andere manieren om adressen te harvesten

[Fish]

je ja, je kan ervoor kiez2en om hem wel of niet zichtbaar

hier homedir namen -> http://www.xs4all.nl/publiek/homepages/alfabet.php

[Skinkie]

fish schreef op zaterdag 09 augustus 2008 @ 18:17:
je ja, je kan ervoor kiez2en om hem wel of niet zichtbaar

hier homedir namen -> http://www.xs4all.nl/publiek/homepages/alfabet.php

'vroeger' niet, iedereen had een /home/inlognaam bij xs4all. Onder andere ik heb daar eens melding van gemaakt. Nu kun je alleen mensen zien die zijn ingelogd.

[Skinkie]

Kreeg vanavond een automatische mail van McIntyre himself, ik hoop dat hij de moeite neemt om uit te doeken te doen waarom er door de xs4all mailservers @xs4all mail wordt geaccepteerd die niet vanaf het domein komen.

[Fish]

euh ik heb ook xs4all, maar dat wil niet zeggen dat ik altijd xs4all gebruik
om dezelfde redenen kunnen we ook de pop3 benaderem van buitenaf ... toch ?

het zou toch raar zijn als ik alleen naar jou kon mailen als ik bij xs was ingelogd

[Skinkie]

fish schreef op zaterdag 09 augustus 2008 @ 22:22:
euh ik heb ook xs4all, maar dat wil niet zeggen dat ik altijd xs4all gebruik
om dezelfde redenen kunnen we ook de pop3 benaderem van buitenaf ... toch ?

het zou toch raar zijn als ik alleen naar jou kon mailen als ik bij xs was ingelogd

SMTP authenticatie is een groot goed. Het gaat er dus om dat om een FROM: in de mail server te knallen je ook daadwerkelijk die FROM moet zijn.

[ Voor 11% gewijzigd door Skinkie op 09-08-2008 23:19 ]

[leuk_he]

Skinkie schreef op zaterdag 09 augustus 2008 @ 23:17:
[...]

SMTP authenticatie is een groot goed.

(ik hoop dat je secure smtp gebruikt)

Ik gebruik meerdere adressen, maar altijd maar 1 smtp server. Je verstuurd nou eenmaal via de smtp provider die je op dat moment gebruikt. Mijn from:leukhe@gmail adres verstuur ik tenslotte ook vanaf de xs4all smtp server

[Fido]

De phishers proberen wachtwoorden te achterhalen om zodoende via het webmail platform van de betreffende provider nog meer spam te kunnen versturen (419 scam/phishing)