Microsoft, NL Domein Host en acquisitiefraude/spookfacturen

[DJMaze]

Het valt mij op dat steeds vaker outlook.com servers worden gebruikt voor het versturen van spam.

Nu is er dus de afgelopen maanden voor zoveelste keer naar veel bedrijven een spookfactuur gestuurd namens NL Domein Host.

Dit keer wordt deze verstuurd vanuit

code:

From Address: *@afdelingweb.com
Sender Host: *.protection.outlook.com

MX: afdelingweb-com.mail.protection.outlook.com

Ik begrijp dat veel bedrijven blij zijn met Office365, maar voor mailserver beheerders lijkt anti-spam hierdoor wel aan zijn einde.

Nu zou een goede RHSBL uitkomst kunnen bieden, maar die kan ik niet vinden en zelf maken/bijhouden is best veel werk.

Het zou daarom fijn zijn als Microsoft gewoon eens zou reageren over hun idiote beleid.
Ze blokkeren zelf de halve wereld om spam uit je outlook inbox te mijden, maar andersom mag je naar hartelust dus frauderen/spammen/oplichten/etc,

[IPrange.net]

Eens, maar niet alleen Microsoft ook Gmail is aardig vervuild aan het raken. Microsoft spant momenteel wel de kroon met hun beleid.

Een voorbeeld van hun beleid zorgde voor een oproep van meerdere VPS aanbieders:
Tilaa: Microsoft Hotmail/Live.com is blocking my email

[DJMaze]

@IPrange.net Ik zit bij Tilaa, daar heb ik al een topic over: Hotmail/Live/Office365 blokkeert e-mails
Maar dat gaat natuurlijk allemaal over dat wij geen e-mail naar hun kunnen sturen.

In dit ernstige geval verstuurd dus Microsoft de nepfacturen naar "ons".

De italiaanse IBAN nummers die ik tot nu heb gespot voor de scam:
IT 04Y0623005089000063780474
IT 42O0572803201665571481509

[ Voor 18% gewijzigd door DJMaze op 13-03-2018 15:24 ]

[IPrange.net]

@DJMaze Misschien een TIP stuur je mails door naar Microsoft voor analyse.
Via deze link meer info: Submit spam, non-spam, and phishing scam messages to Microsoft for analysis

Gebruik a.u.b. de naam van het bedrijf Microsoft, en geen verbastering

[ Voor 15% gewijzigd door Equator op 14-03-2018 08:02 ]

[DJMaze]

Hahaha, ja dat gaat dus niet werken he (lees hierboven)

Ik heb nu de SpamCop RBL ingeschakeld waar alle e-mails naartoe gaan.

[DJMaze]

En vandaag de volgende weer gerapporteerd: jos.kuypers @ domeinnaamregister.com

Tjonge, jonge, je zou toch denken dat ze ondertussen de nieuwe wet wel kennen

[Slux]

Het kan ook nog iemand zijn die alleen EOP gebruikt, onze servers staan onsite en maken gebruik van EOP, zou me kunnen voorstellen dat het voor spammers een manier is om toch een goede mail rep te hebben voor het verzenden, en het maakt het weer wat moeilijker de herkomst te achterhalen.

[DJMaze]

@Slux zou kunnen. Echter is dit alles uit de EML

code:

Return-path: <[e-mail]>
Received: from mail-he1eur01on0057.outbound.protection.outlook.com ([104.47.0.57]:51680 helo=EUR01-HE1-obe.outbound.protection.outlook.com)
    by domain.nl with esmtps (TLSv1.2:ECDHE-RSA-AES256-SHA384:256)
    (Exim 4.91)
    (envelope-from <[e-mail]>)
    id 1fXPtc-0006NV-8j
    for [e-mail]; Mon, 25 Jun 2018 11:43:01 +0000
Received: from AM0PR03MB4514.eurprd03.prod.outlook.com (20.177.40.31) by
 AM0PR03MB3939.eurprd03.prod.outlook.com (52.135.146.160) with Microsoft SMTP
 Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id
 15.20.884.24; Mon, 25 Jun 2018 11:42:24 +0000
Received: from AM0PR03MB4514.eurprd03.prod.outlook.com
 ([fe80::dd9c:6068:f5c2:bce0]) by AM0PR03MB4514.eurprd03.prod.outlook.com
 ([fe80::dd9c:6068:f5c2:bce0%2]) with mapi id 15.20.0884.024; Mon, 25 Jun 2018
 11:42:24 +0000
From: Jos van Domeinnaam Register <[e-mail]>
Subject: Betreft: uw website
Thread-Topic: Betreft: uw website
Thread-Index: AQHUDHmFOapn993EekadkWmzrFjyjg==
Date: Mon, 25 Jun 2018 11:41:56 +0000
Message-ID: <[e-mail]>
Accept-Language: en-US
Content-Language: en-US
X-MS-Has-Attach: yes
X-MS-TNEF-Correlator:
authentication-results: spf=none (sender IP is )
 smtp.mailfrom=[e-mail]; 
x-originating-ip: [2405:9800:ba11:3ac3:c832:97e9:2960:8090]
x-ms-publictraffictype: Email
x-microsoft-exchange-diagnostics: 1;AM0PR03MB3939;7:kTGnsCCDFinb7f9fkloSouTlSwjyAGoXOBXE+gm2HO8Xmrw8aIPTwtf0d+/TSJSZYwZKuEJv4NH53/g6o5jn5f6nOCZAUg1i77WVT0zTDTwDRWcztv0YUUpa7t/iTWEmpF2TTjN8IAc7I29NYDbxcSjLyRp9Y0ntt9Le6sIjTFYg8l/b2Zvb+IPR8MIBEbvp8CaHTbyyLlFCEEkPOC48GtWPCaI+LE4E1Hl8DyWP2387+s8BYwFnoNVucHhlmpzx
x-ms-office365-filtering-correlation-id: 3220e8be-deaa-44a6-8b40-08d5da90b82e
x-microsoft-antispam: UriScan:;BCL:0;PCL:0;RULEID:(7020095)(4652020)(7021125)(8989117)(4534165)(7022125)(4603075)(4627221)(201702281549075)(8990107)(7048125)(7027125)(7029125)(7031125)(7035125)(7023125)(5600026)(711020)(2017052603328)(7153060)(49563074)(7193020);SRVR:AM0PR03MB3939;
x-ms-traffictypediagnostic: AM0PR03MB3939:
x-microsoft-antispam-prvs: <[e-mail]>
x-exchange-antispam-report-test: UriScan:;
x-ms-exchange-senderadcheck: 1
x-exchange-antispam-report-cfa-test: BCL:0;PCL:0;RULEID:(102415395)(6040522)(2401047)(8121501046)(5005006)(93006095)(93001095)(10201501046)(3002001)(3231254)(944501410)(52105095)(149027)(150027)(6041310)(2016111802025)(20161123558120)(20161123564045)(20161123562045)(6059035)(20161123560045)(6072148)(6043046)(201708071742011)(7699016);SRVR:AM0PR03MB3939;BCL:0;PCL:0;RULEID:;SRVR:AM0PR03MB3939;
x-forefront-prvs: 0714841678
x-forefront-antispam-report: SFV:NSPM;SFS:(10009020)(396003)(39380400002)(39850400004)(346002)(376002)(366004)(448600002)(199004)(189003)(81156014)(81166006)(25786009)(97736004)(1730700003)(99936001)(99286004)(8936002)(8676002)(106356001)(82746002)(6116002)(105586002)(36756003)(68736007)(53936002)(6512007)(6486002)(6916009)(6666003)(5640700003)(6436002)(733005)(54556002)(236005)(54896002)(2900100001)(2906002)(7736002)(102836004)(3280700002)(5660300001)(1250700005)(33656002)(476003)(3660700001)(2351001)(46003)(6506007)(2616005)(86362001)(5250100002)(14454004)(586005)(38610400001)(186003)(486006)(83716003)(2501003)(102460200001);DIR:OUT;SFP:1101;SCL:1;SRVR:AM0PR03MB3939;H:AM0PR03MB4514.eurprd03.prod.outlook.com;FPR:;SPF:None;LANG:nl;PTR:InfoNoRecords;A:1;MX:1;
received-spf: None (protection.outlook.com: domeinnaamregister.com does not
 designate permitted sender hosts)
x-microsoft-antispam-message-info: mRuUX1juWn9xN4Kax+xRvamzN9K39QIRhuO7MQJXDtKNBWYwIapw11b+FKT+2Skgt5ZcnF5bZq+g8lbLfrxFq/ZVrjd8E/sP5MRfnJHvx2so0Gn1NPS2RIBz5N/oZ6CkKndmyew8dskte6OTb+i65XPzD4FSH/2dF4Rm3NHJTWivM1pruvWVL74GokgrFdIf9ahJTSTm6wO2CYJS6s1J8FcfFO7PftKmVPknWWBQulPTSjKcu5aCM4gfRPGX80kq/vPgiSUtXOXLCp8jN9SNfLVWTiCHpGbjzuv5VlUbzJM/vUk1orzVf4HaxfVcdyJfQGA7KkdP9/YXlbVI3eaxq8z0ia3F7dfdpnbWWUROkjU=
spamdiagnosticoutput: 1:99
spamdiagnosticmetadata: NSPM
Content-Type: multipart/related;
    boundary="_004_13D2EC3114A04476A8A6F9BA26127B38domeinnaamregistercom_";
    type="multipart/alternative"
MIME-Version: 1.0
X-OriginatorOrg: domeinnaamregister.com
X-MS-Exchange-CrossTenant-Network-Message-Id: 3220e8be-deaa-44a6-8b40-08d5da90b82e
X-MS-Exchange-CrossTenant-originalarrivaltime: 25 Jun 2018 11:41:56.5963
 (UTC)
X-MS-Exchange-CrossTenant-fromentityheader: Hosted
X-MS-Exchange-CrossTenant-id: 3372bb70-16ce-445d-a18f-14a02d3bbe85
X-MS-Exchange-Transport-CrossTenantHeadersStamped: AM0PR03MB3939

Zoals je ziet zijn alle "Received" regels van outlook.com

[Bulldog]

Microsoft weiger ook fatsoenlijk SPF, DKIM, DMARC te ondersteunen.
Enkele intressant artikelen die hier verband mee houden.
https://answers.microsoft...f7-4e5a-a24b-7026bbd14eb0

https://office365.uservoi...reports-from-o365-domains

Dit artikel geeft uitleg over de plannen welke Microsoft gaat inzetten:
MSDN: Chasing the (very) long tail of unauthenticated domains – Terry Z...

[ Voor 38% gewijzigd door Bulldog op 25-06-2018 18:56 ]