Aparte phisingmail binnengekregen

[SomerenV]

Hallo!

Mijn bijnaam in darknet is bank98.
Ik heb deze mailbox meer dan zes maanden geleden gehackt,
heb ik je besturingssysteem geïnfecteerd met een virus (trojan) dat door mij is gemaakt en heb ik je lange tijd gevolgd.

Overtuig uzelf (ik stuurde u dit bericht vanuit uw account).

Zelfs als je het wachtwoord daarna hebt gewijzigd - het maakt niet uit, mijn virus heeft alle cachegegevens op je computer onderschept
en automatisch opgeslagen toegang voor mij.

Ik heb toegang tot al uw accounts, sociale netwerken, e-mail, browsegeschiedenis.
Dienovereenkomstig heb ik de gegevens van al uw contacten, bestanden van uw computer, foto's en video's.

Ik was het meest getroffen door de intieme inhoudssites die je af en toe bezoekt.
Je hebt een heel wilde fantasie, ik zeg het je!

Tijdens je tijdverdrijf en entertainment daar, nam ik een screenshot via de camera van je apparaat, synchroniserend met wat je aan het kijken was.
O mijn God! Je bent zo grappig en opgewonden!

Ik denk dat je niet wilt dat al je contacten deze bestanden krijgen, toch?
Als je van dezelfde mening bent, dan denk ik dat 354 EURO een vrij redelijke prijs is om het vuil dat ik heb gemaakt te vernietigen.

Stuur het bovenstaande bedrag op mijn BTC-portemonnee (bitcoin): 1PRUG1TrBWKLpvMJYfYXhZVSDagSySqXuz
Zodra het bovenstaande bedrag is ontvangen, garandeer ik dat de gegevens worden verwijderd, ik heb het niet nodig.

Anders krijgen deze bestanden en geschiedenis van het bezoeken van sites al uw contacten van uw apparaat.
Ook zal ik iedereen uw contact toegang tot uw e-mail en toegangslogs sturen, ik heb het zorgvuldig bewaard!

Sinds het lezen van deze brief heb je 48 uur!
Nadat je dit bericht hebt gelezen, ontvang ik automatisch bericht dat je de brief hebt gezien.

Ik hoop dat ik je een goede les heb geleerd.
Wees niet zo nonchalant, bezoek alleen aan bewezen bronnen en voer je wachtwoorden nergens in!
Succes!

Die kreeg ik zojuist binnen. Is gestuurd vanuit m'n eigen mailadres maar da's volgens mij redelijk eenvoudig te spoofen. Het is sowieso nep en dat weet ik door dit: "Tijdens je tijdverdrijf en entertainment daar, nam ik een screenshot via de camera van je apparaat, synchroniserend met wat je aan het kijken was." Ik heb namelijk geen webcam D'r staan verder ook geen persoonlijke gegevens in.

Iemand enig idee hoe dit werkt? Is het puur op de hoop dat mensen uit angst geld over gaan maken? Er staan namelijk geen linkjes of bijlages in.

Edit: ik kan via Google trouwens geen Nederlandse resultaten vinden over deze mail. Wel over een Engelse variant en die is 1 op 1 gelijk aan de Nederlandse variant.

[ Voor 3% gewijzigd door SomerenV op 14-12-2018 00:08 ]

[zetje01]

Dit is geen aparte phishingmail.

zie:
https://www.google.com/se...&sourceid=chrome&ie=UTF-8

[Ursamajor]

Ook gehad en smakelijk gelachen om de wijze van vertalen en op delete geklikt.
Heb namelijk ook geen webcam en ik kijk natuurlijk geen "tijdverdrijf en entertainment" :-)

Zulke mails proberen mensen bang te maken en zo geld afhandig te maken.

[SomerenV]

Ursamajor schreef op vrijdag 14 december 2018 @ 00:15:
Ook gehad en smakelijk gelachen om de wijze van vertalen en op delete geklikt.
Heb namelijk ook geen webcam en ik kijk natuurlijk geen "tijdverdrijf en entertainment" :-)

Zulke mails proberen mensen bang te maken en zo geld afhandig te maken.

Ja, dat idee had ik al inderdaad. Uiteraard genoeg mensen die wel een webcam hebben en zich rot schrikken. Ben wel benieuwd of de échte header van een mail te achterhalen is. De nu gebruikte header is namelijk gewoon fake.

zetje01 schreef op vrijdag 14 december 2018 @ 00:12:
Dit is geen aparte phishingmail.

zie:
https://www.google.com/se...&sourceid=chrome&ie=UTF-8

Ja, de varianten ken ik, meer deze specifieke versie niet (dus verstuurd vanuit je eigen mail).

[zetje01]

@SomerenV
Kijk dan even langer:

nieuws: 'Nederlanders betaalden zeven bitcoin aan criminelen achter webcambee...

Stond gewoon tussen de links...

[NotSoSteady]

Die heb ik ook gekregen.

[Anoniem: 1154431]

Zo een heb ik vanavond ook ontvangen.
Ik heb het bestand C:\Windows\System32\drivers\etc\hosts geopend met kladblok. Bij een daadwerkelijke besmetting met bank98 zou dit onbekende IP-adressen bevatten. Dat was bij mij niet het geval.
Hierna mijn pc gescand met Malwarebites.
Gevonden malware: 'reimage' (een jaar geleden geïnstalleerd). Deze in quarantaine gezet.
Het gehackte email account heb ik opgeheven en de overige accounts een ander wachtwoord gegeven.
Welke actie heb jij ondernomen?

[zetje01]

Anoniem: 1154431 schreef op vrijdag 14 december 2018 @ 01:19:
Zo een heb ik vanavond ook ontvangen.
Ik heb het bestand C:\Windows\System32\drivers\etc\hosts geopend met kladblok. Bij een daadwerkelijke besmetting met bank98 zou dit onbekende IP-adressen bevatten. Dat was bij mij niet het geval.
Hierna mijn pc gescand met Malwarebites.
Gevonden malware: 'reimage' (een jaar geleden geïnstalleerd).
Het gehackte email account heb ik opgeheven en de overige accounts een ander wachtwoord gegeven.
Welke actie heb jij ondernomen?

Deze mail is geen indicatie of je email-account gehackt is.
Natuurlijk staat dat er wel in, maar dat is bullshit.

(let op, ik zeg niet dat je account niet gehackt is. ik zeg alleen dat het ontvangen van deze mail daar niks over zegt)

[NotSoSteady]

Anoniem: 1154431 schreef op vrijdag 14 december 2018 @ 01:19:
Zo een heb ik vanavond ook ontvangen.
Ik heb het bestand C:\Windows\System32\drivers\etc\hosts geopend met kladblok. Bij een daadwerkelijke besmetting met bank98 zou dit onbekende IP-adressen bevatten. Dat was bij mij niet het geval.
Hierna mijn pc gescand met Malwarebites.
Gevonden malware: 'reimage' (een jaar geleden geïnstalleerd). Deze in quarantaine gezet.
Het gehackte email account heb ik opgeheven en de overige accounts een ander wachtwoord gegeven.
Welke actie heb jij ondernomen?

Niks, dit is gewoon fake.

[iCore]

Standaard mailtje van ~5 jaar geleden

[ Voor 3% gewijzigd door iCore op 14-12-2018 02:03 ]

[BazenKruistocht]

een kennis heeft hetzelfde ontvangen vandaag,

het spoofen van het mail adres is natuurlijk wel schadelijk

[ Voor 59% gewijzigd door BazenKruistocht op 14-12-2018 02:35 ]

[Nakebod]

Was er nu maar eens een techniek waar domein eigenaren konden aangeven welke mailserver(s) namens een bepaald domein mogen mailen, en mail vanaf alle andere mailservers per definitie spam zijn...
_{Een SPF record is zo slecht nog niet, als iedereen die zou hebben. Scheelt een hele hoop spoofing.}

[Jeroen O]

Ik heb deze mail ook ontvangen. In eerste instantie schik je natuurlijk wel een beetje, maar als je goed leest en nadenkt dan weet je dat het alleen maar nep kan zijn.

Het begint er al mee dat je niet persoonlijk wordt aangesproken. Verder ontbreekt enig bewijs. Als ik hacker zou zijn zou ik op zijn minst wat bewijsstukken meesturen als bijlagen zoals de webcamscreenshot die gemaakt zou zijn alsmelde enkele contacten waar het naar gestuurd zou worden.

De mail zelf overigens lijkt van mijn account afkomstig te zijn maar dat is inderdaad makkelijk te spoofen. Als je de bron bekijkt blijkt deze verzonden te zijn vanaf een server ergens in Afrika in plaats vanaf een server van mijn provider.

Verder heeft de hacker er bij mij ook nog eens dubbel werk aan gehad. Omdat het bewuste mail account en mijn computer en andere devices niet aan elkaar gekopppeld zijn (mail wordt geforward naar een ander adres), zou hij deze beide moeten hacken om waar te maken wat hij beweert.

Dat de hacker een bericht krijgt wanneer de mail geopend is, lijkt mij overigens ook niet mogelijk.

Het is dus puur bedoelt om mensen bang te maken en ook al zijn er maar een paar mensen die betalen dan is er al winst gemaakt.

Oh ja, uiteraard kijk ik geen “intieme inhoudssites” op mijn laptop, dus ik ben benieuwd naar de screenshot die genomen zou zijn. Gelukkig krijgen mijn contacten over 48 uur een kopie dus het wordt een vermakelijk weekend

Overigens zit ik ook al jaren te wachten totdat die € 1000 eens van mijn creditcard afgeschreven wordt omdat ik geen actie heb ondernomen op de “betalingsherinnering” die mij toen is gestuurd

[Jimster]

_{Oeps dubbel}

[ Voor 93% gewijzigd door Jimster op 14-12-2018 07:51 ]

[Jimster]

Dergelijke mails krijg ik wekelijks. Meestal in het Engels.
https://opgelicht.avrotro...en-over-porno-afpersmail/

Anoniem: 1154431 schreef op vrijdag 14 december 2018 @ 01:19:
Zo een heb ik vanavond ook ontvangen.
Ik heb het bestand C:\Windows\System32\drivers\etc\hosts geopend met kladblok. Bij een daadwerkelijke besmetting met bank98 zou dit onbekende IP-adressen bevatten. Dat was bij mij niet het geval.

Hoe kom je er bij dat bij een besmetting je hostfile aangepast zou worden?

[ Voor 8% gewijzigd door Jimster op 14-12-2018 07:52 ]

[Blokker_1999]

SomerenV schreef op vrijdag 14 december 2018 @ 00:17:
[...]

Ben wel benieuwd of de échte header van een mail te achterhalen is. De nu gebruikte header is namelijk gewoon fake.

Er is niet zoiets als een echte en een fake header. De header bevat incorrecte informatie maar het is de enige header die er is. Email systemen vertrouwen er gewoon op dat de afzender eerlijk is in het weergeven van die informatie.

[CurtPoindexter]

-

[ Voor 100% gewijzigd door CurtPoindexter op 19-10-2019 16:06 . Reden: Leeg ivm privacy ]

[Kayr]

Zelfde mail hier binnengekregen. Werd door de spamfilter wel eerst tegengehouden.

[Nakebod]

CurtPoindexter schreef op vrijdag 14 december 2018 @ 07:54:
[...]

Bedoel je DMARC?

An sich niet, hoewel dat wel een stapje verder/beter is. Maar gezien de brakke acceptatie van SPF (Vrijwel altijd geheel afwezig, of wel aanwezig maar versturen ze toch vanaf andere servers) zie ik DMARC niet snel gebeuren.

[Anoniem: 1154441]

Spamfilter wil het ook niet echt tegenhouden...

[ Voor 65% gewijzigd door Anoniem: 1154441 op 14-12-2018 08:19 . Reden: x ]

[Jimster]

Anoniem: 1154441 schreef op vrijdag 14 december 2018 @ 08:11:
Spamfilter wil het ook niet echt tegenhouden...

Dan zoek je niet goed. Hier is echt al zoveel over te vinden.
https://www.fraudehelpdes...de-afpersmails-in-omloop/

[JohanKupers]

Nakebod schreef op vrijdag 14 december 2018 @ 08:04:
[...]

An sich niet, hoewel dat wel een stapje verder/beter is. Maar gezien de brakke acceptatie van SPF (Vrijwel altijd geheel afwezig, of wel aanwezig maar versturen ze toch vanaf andere servers) zie ik DMARC niet snel gebeuren.

En bij SPF stellen ze ook vaak voor de zekerheid ~all in, waardoor je SPF effectief ook weer om zeep helpt. Doe je dat niet, dan krijg je weer vaak problemen met doorsturen van de mail naar andere domeinen (want ja dan is de afzender ineens niet meer opgenomen in het SPF record. ).

Werktechnisch ben ik ook betrokken bij grote zakelijke mailingen, waarbij je tegenwoordig ook DKIM en DMARC moet gebruiken om überhaupt nog goed in Outlook en GMail mailboxen te belanden.

[DistantFury]

Ik heb deze mail een maand of 2 geleden ook ontvangen. Echter vond ik het wel apart dat het onderwerp van de mail een wachtwoord was dat ik een jaar of 5 geleden had.

Oja, en het bedrag was bij mij 7000EUR in BTC

[matsmen]

Goedemorgen,

Bij mij op de helpdesk stromen de mails ook binnen. Voor zover wij kunnen zien zit er geen virus in dit bestand. Verder staan er inderdaad geen rare links en zijn er geen rare bestanden bijgevoegd.

What to do: Mail verwijderen en voor de zekerheid je computer opschonen met een antivirus en malware bytes.

Gr, M

[Aganim]

JohanKupers schreef op vrijdag 14 december 2018 @ 08:21:
[...]


En bij SPF stellen ze ook vaak voor de zekerheid ~all in, waardoor je SPF effectief ook weer om zeep helpt. Doe je dat niet, dan krijg je weer vaak problemen met doorsturen van de mail naar andere domeinen (want ja dan is de afzender ineens niet meer opgenomen in het SPF record. ).

Wat eigenlijk niet nodig zou moeten zijn, aangezien je met DMARC aan kan geven in monitor modus (p=none) te willen draaien icm aggregate reports. Vooral bij shared hosting klanten zie je helaas dat de kennis en interesse simpelweg ontbreekt om dit soort zaken goed te regelen.

Eigenlijk off-topic, maar ik kan het niet vaak genoeg zeggen (ik hoor het fabeltje dat zowel SPF als DKIM moeten slagen nog steeds te veel): slechts 1 mechanism hoeft te slagen voor een DMARC pass.

https://tools.ietf.org/html/rfc7489#section-4.2:
[quote]
A message satisfies the DMARC checks if at least one of the supported
authentication mechanisms:

1. produces a "pass" result, and

2. produces that result based on an identifier that is in alignment,
as defined in Section 3.
[/quote]

[ShellGhost]

https://www.blockchain.co...WKLpvMJYfYXhZVSDagSySqXuz

Helaas zijn er toch inderdaad mensen die betalen. Daardoor blijven dit soort emails nog wel even bestaan.

[F_J_K]

Zie de andere posts. Dit is reguliere spam die ook al lang rond gaat. Niets anders dan de Nigeriaanse prins-spam waar ook mensen zijn ingetrapt. De oplossing: de gebruikers opleiden, begeleiden, bewust maken. Secundair is een beter spamfilter.

Mensen die nu pas gaan denken over beveiliging zijn 35 jaar te laat, internet is hier al sinds 1982

[ Voor 4% gewijzigd door F_J_K op 14-12-2018 08:43 ]

[ElectricHead]

Heb deze van de week ook 2 keer binnen gekregen op dezelfde dag. Smakelijk om moeten lachen. Heb de headers bekeken en er zit wel een reply to adres in verwerkt (die zie je niet zo snel terug in de mail).

Heb even op dat mailadres gezocht omdat je toch even denkt, het zal toch niet? Maar dan bedenk ik me dat ik een webcam heb waarvan het lenskapje altijd dicht zit dus ach....

Het is schijnbaar een veel voorkomende spam mail die met scare tactics geld van je wil aftroggelen. Leuk bedacht en in diverse varianten aanwezig. Ik vind het goed met ze. Krijg ze ook met enige regelmaat in de mailboxen van het werk. Knap, daar hebben we niet eens webcams (woohoo).

[jffr86]

Ik heb hem gisteren ook gehad
Exact dezelfde. Meerdere keren zelfs en ook naar een mailbox op een andere provider met een ander wachtwoord wat alleen maar forward en waar ik nergens op ben ingelogd of handmatig op inlog.

Daarnaast heb ik geen cams en op mijn laptops heb ik de cams afgeplakt. daarnaast doe ik de zaken niet die in de mail aangegeven worden.

kortom, het missem van een aanhef, het bevatten van kansloze info duidt er op dat dit gewoon echt onzin is. Ik ga zo eens lekker de headers e.d. uitvogelen, waar deze mail vandaan komt en vervolg onderzoek doen. Ik kan me voorstellen dat er genoeg onschuldige mensen zijn die hier van in de stres raken.

[Pendora]

Op een catchall adres 6x ontvangen. Alles overigens in de spam box.

[Anoniem: 591403]

Ik heb gisteren exact dezelfde afpersingsmail ontvangen. Een soortgelijk voorbeeld met een ander Bitcoin betalingnummer is te lezen op Fraudehelpdesk.
Overige opmerking: ik heb de oorspronkelijke tekst van de afpersingsemail door proberen te sturen naar [e-mail] en naar [e-mail] en naar [e-mail], en alles is NIET AFGELEVERD. Dat was schrikken en balen.
Daarna heb ik een test mail naar een willekeurig bestaand emailadres gestuurd om te zien of deze ook al niet afgeleverd zou worden. Maar verzending en ontvangst van de testmail bleken nu wel te zijn gelukt.

[Mr.Whitewolf88]

Hier inmiddels een stuk of vijf collega's bij me gehad die de mail ook hebben ontvangen.
Is iemand druk geweest zo te zien.

Hier allen de mail in het Engels btw.

[ Voor 14% gewijzigd door Mr.Whitewolf88 op 14-12-2018 09:09 ]

[peer]

Hier gisteravond ook ontvangen, ze moeten alleen beter hun huiswerk doen, het is verstuurd naar een info@ adres wat niet meer is dan een forwarder bij de hoster 😁

[redfoxert]

Gmail heeft de mail voor mij al gefilterd Na het zien van deze post eens in de Spam folder gaan kijken en ja hoor, daar staat ie.

[Eli98]

Ik heb deze email gisteren ook in mijn spambox gekregen, heb ik gewoon weg gegooit

[Darky03]

Ook hier op het werk gisteren binnen gekregen. Even bekeken, gelachen en weggegooid.

[MrMarcie]

Het is wel een groot probleem. Ik krijg deze mails, maar mijn klanten ook. Ik lig er niet wakker van maar merk dat ze erg schrikken dat de mail via hun eigen account is verstuurd. Dat is niet zo, maar dat lijkt er voor een leek wel op, en dat wordt ook gemeld in de mail.

Merk dat ze erg ongerust zijn, en dat snap ik ook als je van deze materie geen kaas hebt gegeten.. Dus ben er maar druk mee om ze gerust te stellen. Vervelend.

[MAD_Sofia]

Hoi Someren V,

Ik heb dezelfde e-mail gekregen gisteren om 21:27. Bij het googelen op te text kwam ik in deze threat uit.

Iemand anders?

[BoAC]

ElectricHead schreef op vrijdag 14 december 2018 @ 08:47:
Heb deze van de week ook 2 keer binnen gekregen op dezelfde dag. Smakelijk om moeten lachen. Heb de headers bekeken en er zit wel een reply to adres in verwerkt (die zie je niet zo snel terug in de mail).

Heb even op dat mailadres gezocht omdat je toch even denkt, het zal toch niet? Maar dan bedenk ik me dat ik een webcam heb waarvan het lenskapje altijd dicht zit dus ach....

Het is schijnbaar een veel voorkomende spam mail die met scare tactics geld van je wil aftroggelen. Leuk bedacht en in diverse varianten aanwezig. Ik vind het goed met ze. Krijg ze ook met enige regelmaat in de mailboxen van het werk. Knap, daar hebben we niet eens webcams (woohoo).

Dat je twijfelt blijkbaar zouden de beelden dus wel amazing moeten zijn..
Ik krijg deze ook al een tijd maar dan altijd in 2voud en dan ook de engelse variant. Email adres spoofen kan ik ook wel

matsmen schreef op vrijdag 14 december 2018 @ 08:38:
Goedemorgen,

Bij mij op de helpdesk stromen de mails ook binnen. Voor zover wij kunnen zien zit er geen virus in dit bestand. Verder staan er inderdaad geen rare links en zijn er geen rare bestanden bijgevoegd.

What to do: Mail verwijderen en voor de zekerheid je computer opschonen met een antivirus en malware bytes.

Gr, M

Je hoeft niets te doen. Blijkbaar is je mailadres een keer 'gelekt' bij iemand die je mailadres ook heeft. Hier kun je niets tegen doen dan alleen je eigen emailadres wijzigen wil je hem op geen enkele manier meer binnen krijgen. Een goede spamfilter is de enige werkbare oplossing in deze

[celshof]

Er zijn in ieder geval al mensen ingetrapt: https://www.blockchain.co...WKLpvMJYfYXhZVSDagSySqXuz

[Argonar]

Ah, ik heb ook een email ontvangen, de opmaak is iets anders maar het komt wel op hetzelfde neer; "we hebben een filmpje van je en willen dat je 900 euro aan BTC over maakt naar dit adres anders versturen we het naar je vrienden, collega's en familie!"

De persoon had zelfs een wachtwoord van 10+ jaar geleden! exact dezelfde als in de lijsten die recentelijk waren gepubliceerd, die overigens al jaren niet meer gebruikt worden.

Kon er wel om lachen, alsof ik het wel zou betalen als het echt zo was.

[MAD_Sofia]

Ik ben heel even in de headers gedoken door mijzelf een e-mail te sturen. Wat afwijkt zijn de volgende gegevens in de darknet mail. Kan iemand hier iets mee?

Received: from HE1PR0101CA0007.eurprd01.prod.exchangelabs.com
Received: from DB5EUR01FT013.eop-EUR01.prod.protection.outlook.com

Received: from [192.162.208.34] (192.162.208.34) by
DB5EUR01FT013.mail.protection.outlook.com (10.152.4.239) with Microsoft SMTP
Server id 15.20.1425.16 via Frontend Transport; Thu, 13 Dec 2018 18:03:58
+0000

[Laurensius88]

ItsTheDEMON1997 schreef op vrijdag 14 december 2018 @ 08:35:
Ik heb deze mail een maand of 2 geleden ook ontvangen. Echter vond ik het wel apart dat het onderwerp van de mail een wachtwoord was dat ik een jaar of 5 geleden had.

Oja, en het bedrag was bij mij 7000EUR in BTC

Mja.. jouw beelden waren dan ook extra "grappig en opgewonden"

[Erik070]

ItsTheDEMON1997 schreef op vrijdag 14 december 2018 @ 08:35:
Ik heb deze mail een maand of 2 geleden ook ontvangen. Echter vond ik het wel apart dat het onderwerp van de mail een wachtwoord was dat ik een jaar of 5 geleden had.

Oja, en het bedrag was bij mij 7000EUR in BTC

Ik heb deze ook gehad met wachtwoord in onderwerp. Wachtwoord is waarschijnlijk buit gemaakt met 1 van de lekken van de afgelopen jaren. Zou zeggen check https://haveibeenpwned.com/ of je accounts daar in staan en wijzig die wachtwoorden als je dat al niet gedaan hebt.

[CurtPoindexter]

-

[ Voor 99% gewijzigd door CurtPoindexter op 19-10-2019 16:07 . Reden: Leeg ivm privacy ]

[synoniem]

MrMarcie schreef op vrijdag 14 december 2018 @ 10:44:
Het is wel een groot probleem. Ik krijg deze mails, maar mijn klanten ook. Ik lig er niet wakker van maar merk dat ze erg schrikken dat de mail via hun eigen account is verstuurd. Dat is niet zo, maar dat lijkt er voor een leek wel op, en dat wordt ook gemeld in de mail.

Merk dat ze erg ongerust zijn, en dat snap ik ook als je van deze materie geen kaas hebt gegeten.. Dus ben er maar druk mee om ze gerust te stellen. Vervelend.

Ik kreeg deze mail al een paar weken eerder maar aangezien ik mijn eigen mailserver beheer heb ik sindsdien postfix zo ingesteld dat mail met een afzender met mijn eigen domeinnaam alleen accepteer met inlognaam en wachtwoord en SSL of STARTSSL. Nu kan ik honderden geblokkeerde pogingen in mijn logfiles zien waarbij vanaf elk ipadres het vier keer geprobeerd wordt.

[Blokker_1999]

MAD_Sofia schreef op vrijdag 14 december 2018 @ 11:15:
Ik ben heel even in de headers gedoken door mijzelf een e-mail te sturen. Wat afwijkt zijn de volgende gegevens in de darknet mail. Kan iemand hier iets mee?

Received: from HE1PR0101CA0007.eurprd01.prod.exchangelabs.com
Received: from DB5EUR01FT013.eop-EUR01.prod.protection.outlook.com

Received: from [192.162.208.34] (192.162.208.34) by
DB5EUR01FT013.mail.protection.outlook.com (10.152.4.239) with Microsoft SMTP
Server id 15.20.1425.16 via Frontend Transport; Thu, 13 Dec 2018 18:03:58
+0000

Natuurlijk wijken die gegevens in de header af. De bovenste is een mail met domeinen en IPs van Microsoft, de onderste geeft aan dat de mailserver van oorsprong te zoeken is in Oekraïne en toont op welke server deze bij MS is binnengekomen en hoe laat.

synoniem schreef op vrijdag 14 december 2018 @ 12:54:
[...]

Ik kreeg deze mail al een paar weken eerder maar aangezien ik mijn eigen mailserver beheer heb ik sindsdien postfix zo ingesteld dat mail met een afzender met mijn eigen domeinnaam alleen accepteer met inlognaam en wachtwoord en SSL of STARTSSL. Nu kan ik honderden geblokkeerde pogingen in mijn logfiles zien waarbij vanaf elk ipadres het vier keer geprobeerd wordt.

Zou ik ook eens moeten doen op mijn eigen server. En direct de spamfilter eens vervangen want de huidige maakt er een zootje van.

[BlackMonkey]

Ook ontvangen. Even gekeken naar de afzender en deze bleek via een "gehackte" server te zijn verzonden. Was een firewall/vpn oplossing welke met het standaard wachtwoord aan het internet hangt. Heb in de users lijst maar even de eigenaar opgezocht en gezegd dat ie het wachtwoord moet wijizgen

[AW_Bos]

Die kreeg ik ook al binnen een mailadresje van een domein die ik bijna niet meer gebruik. Dus meteen al opvallend dat het niet persoonlijk was, toen ik de titel las. Na de eerste twee regels had ik al het idee dat dit weer zo'n trieste afpersingsmail is.

**DELETE**

Oh ja, ik wou gisteren even wat meer informatie te zoeken over deze mail door op wat teksten te ervan te Googlen, en meteen gingen er bij diverse sites wat alarmbellen af. Ik heb geen onderzoek gedaan vanaf welke server die kwam, maar ik vermoed als ik hier zo lees ook een gehackte mailserver.

Gewoon hard lachen en direct verwijderen.

Overigens kijk ik bijna geen pr0n en heb ik niet eens een webcam meer
Wel weer sneu dat er al in totaal ruim 500 euro al betaald is door anderen

[ Voor 21% gewijzigd door AW_Bos op 14-12-2018 14:27 ]

[jvanhambelgium]

Ja die krijg ik ook bij de vleet ;-)
Zogezegd ben ik gehacked door een Cisco exploit CVE-XXXXX maar wacht effe ... ik draai hier Mikrotik als firewall ;-) en heb ook geen Webcam dus ik vraag me af hoe ze me filmen zoals ze claimen ;-)

Denkelijk hebben ze een oud password gevonden met de hack van LinkedIn of PLEX en uiteraard ook m'n email-adres ...

Geeeuw...

[jvanhambelgium]

Jeroen O schreef op vrijdag 14 december 2018 @ 07:31:
Dat de hacker een bericht krijgt wanneer de mail geopend is, lijkt mij overigens ook niet mogelijk.

In theorie kan hij in HTML mail wel een 1-pixel prentje zetten dat je nog niet eens gaat opvallen en als je mailclient gewoon braafjes staat ingesteld om "prentjes van internet te halen" kan deze persoon wel een melding krijgen als de mail open gegaan is omdat hij een HTTP request naar een server staan en dan hebben ze gelijk je publieke IP enz.

Bij mij staat het standaard *af* om Internet content "zomaar" op te halen en zal ik dat zelf telkens goedkeuren...

[CurlyMo]

Ik heb onlangs een iets andere gehad, maar net zo grappig

Return-path: <[e-mail]>
Envelope-to: [e-mail]
Delivery-date: Fri, 07 Dec 2018 14:39:22 +0100
Received: from xxxx.xxxx.xx ([xxx.xxx.xxx.xx])
	by s14.servitnow.nl with esmtps (TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256)
	(Exim 4.91)
	(envelope-from <[e-mail]>)
	id xxxx
	for [e-mail]; Fri, 07 Dec 2018 14:39:22 +0100
X-Spam-Status: BITCOIN_EXTORT_01=1 OBFU_BITCOIN=2.999 T_FUZZY_BITCOIN=0.01
X-RPD-Score: 50
X-Spam-Score: 4
X-Spam-ID: xxxx
Received: from mx.nxmurw.hacker123.ml (unknown [51.75.169.207])
	by xxx.xxx.xxx (Halon) with ESMTPS
	id xxxx;
	Fri, 07 Dec 2018 14:39:35 +0100 (CET)
Received: from [127.0.0.1] (mx.nxmurw.hacker123.ml [127.0.0.1])
	by mx.nxmurw.hacker123.ml (Postfix) with ESMTP id xxxx
	for <[e-mail]>; Fri,  7 Dec 2018 13:32:22 +0000 (UTC)
Date: Fri, 7 Dec 2018 13:32:22 +0000
From: "Suzi Thomsen" <[e-mail]>
To: [e-mail]
Subject: =?UTF-8?Q?Hi,=20my=20victim.=20I=20rec?==?UTF-8?Q?orded=20y?= =?UTF-8?Q?ou=20masturbating!=20I=20ha?==?UTF-8?Q?ve=20captu?= =?UTF-8?Q?red=206r4atkdw.mpg?=
List-Unsubscribe: <http://nxmurw.hacker123.ml/unsubscribe/MUMzWEszV3hhdGNFSTJEcEd1SXdFZ0xpZkZIVWFBeUgxTWpHTUNhOUFrTjFUN0l6a3BjZjZpM1VOTURFT1RraExNT0JsWFBPVjNLandhMFpSYi9XSmVsNzEwSDJyK1Zna2c3dEF0SUZvSms9>
Reply-To: <[e-mail]>
User-Agent: Postfix
X-Sender: [e-mail]
X-Mailer: Postfix
X-Priority: 3 (Normal)
Message-ID: <[e-mail]>
Mime-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Hi, my viсtim.
I write to yÐ&#190;u beсаuse I put a mаlwаre on the web раge with Ñ€orn
whiсh you hаvе visited.
My virus grаbbеd аll yÐ&#190;ur Ñ€ersÐ&#190;nal info аnd turned on your cаmerа
whiсh caÑ€tured thе Ñ€rÐ&#190;сess of your masturbation. I must admit you are
very pervert...
Just aftеr thаt the software copied your сÐ&#190;ntaсt lists.
I will delеtе the сomÑ€rÐ&#190;mising videÐ&#190; аnd infÐ&#190; if yÐ&#190;u pаy me 800
EURO in bitсoin.

This is аddress for pаyment : 3EmmvcRkUkPaz5iiohk6CSLy2BUMAVqdei

If you do not send the payment within 48 hours I will send this video to all
your friends and associates.
I know you live in Netherlands.

I givе yÐ&#190;u 48 hÐ&#190;urs аfter you oреn my mеssagе for mаking thе
trаnsасtion.
As sÐ&#190;on аs you reаd thе mеssаge I'll seе it right аwаy.
It is nÐ&#190;t nесessаry to tell mе that yÐ&#190;u hаvе sent monеy tÐ&#190; me.
This address is cÐ&#190;nneсted tÐ&#190; you, my system will delеte еverything
аutÐ&#190;mаtically after transfer confirmаtion.

Send 800 EURO to this address immediately:
3EmmvcRkUkPaz5iiohk6CSLy2BUMAVqdei

1 BTC = 2.964 EUR, so send 0.273175 BTC to the address above.

If you do not know how to send bitcoin, google it.

You саn visit the Ñ€Ð&#190;licе stаtion but nobÐ&#190;dy саn hеlp you.
If you try to deсеivе mе , I'll sеe it right аwаy !
I dont livе in your cÐ&#190;untry. SÐ&#190; thеy сan nÐ&#190;t trасk my loсatiÐ&#190;n
even for 9 months.
GoÐ&#190;dbyе. Dont forgеt abÐ&#190;ut the shаme and if you ignore this, yÐ&#190;ur life
саn bе ruinеd.

Wat er staat:

Hi, my viсtim.
I write to yоu beсаuse I put a mаlwаre on the web раge with рorn
whiсh you hаvе visited.
My virus grаbbеd аll yоur рersоnal info аnd turned on your cаmerа
whiсh caрtured thе рrосess of your masturbation. I must admit you are
very pervert...
Just aftеr thаt the software copied your соntaсt lists.
I will delеtе the сomрrоmising videо аnd infо if yоu pаy me 800
EURO in bitсoin.

This is аddress for pаyment : 3EmmvcRkUkPaz5iiohk6CSLy2BUMAVqdei

If you do not send the payment within 48 hours I will send this video to all
your friends and associates.
I know you live in Netherlands.

I givе yоu 48 hоurs аfter you oреn my mеssagе for mаking thе
trаnsасtion.
As sоon аs you reаd thе mеssаge I'll seе it right аwаy.
It is nоt nесessаry to tell mе that yоu hаvе sent monеy tо me.
This address is cоnneсted tо you, my system will delеte еverything
аutоmаtically after transfer confirmаtion.

Send 800 EURO to this address immediately:
3EmmvcRkUkPaz5iiohk6CSLy2BUMAVqdei

1 BTC = 2.964 EUR, so send 0.273175 BTC to the address above.

If you do not know how to send bitcoin, google it.

You саn visit the роlicе stаtion but nobоdy саn hеlp you.
If you try to deсеivе mе , I'll sеe it right аwаy !
I dont livе in your cоuntry. Sо thеy сan nоt trасk my loсatiоn
even for 9 months.
Goоdbyе. Dont forgеt abоut the shаme and if you ignore this, yоur life
саn bе ruinеd.

[ Voor 45% gewijzigd door CurlyMo op 14-12-2018 16:04 ]

[Drardollan]

Jeroen O schreef op vrijdag 14 december 2018 @ 07:31:
Dat de hacker een bericht krijgt wanneer de mail geopend is, lijkt mij overigens ook niet mogelijk.

Dat is prima mogelijk, er wordt bijvoorbeeld een witte pixel onder de mail geplakt met een unieke naam. Kwestie van op de webserver afvangen of de betreffende "naam.jpg" geopend is.

Dit wordt trouwens door veel mailclients tegenwoordig voorkomen, maar ook nog vaak genoeg gewoon toegestaan. Een leverancier van mij gebruikte deze truuk om te kijken of nieuwsbrieven geopend werden.

Edit: oh, @jvanhambelgium was me voor Credits voor hem!

[ Voor 4% gewijzigd door Drardollan op 14-12-2018 15:54 ]

[JoghoJogho]

Heb mail gisteren ook 2x gehad met paar uur ertussen. Ene mail was via IP adres te herleiden naar Smolensk/Rusland en andere naar Cairo/Egypte, ongetwijfeld via een proxy. Even gecheckt en bleek adres te zijn van een hack bij Adobe in 2013, oude meuk dus.

Als ik eerdere versies van mail bekijk en de bedragen die toen gevraagd werden bevreemd het mij dat er nu slechts €35 wordt gevraagd. Kennelijk hopen ze dat er veel mensen schrikken en met dat bedrag het zekere voor het onzekere nemen.

Beetje sneue types als je het mij vraagt. Zijn dit soort gastjes nou niet door forenschische speurders te achterhalen en te stoppen? Ik bedoel, via de gevolgde werkwijze moet e.a.a. uiteindelijk toch te herleiden zijn?

[ElectricHead]

BoAC schreef op vrijdag 14 december 2018 @ 10:55:
[...]

Dat je twijfelt blijkbaar zouden de beelden dus wel amazing moeten zijn..
Ik krijg deze ook al een tijd maar dan altijd in 2voud en dan ook de engelse variant. Email adres spoofen kan ik ook wel

Hahaha, ik twijfel meer omdat ik het altijd grappig vind hoe ze dit weten te brengen.
Spoofen kan ik ook dus dat is voor mij ook geen probleem.

[Rannasha]

CurlyMo schreef op vrijdag 14 december 2018 @ 15:31:
Ik heb onlangs een iets andere gehad, maar net zo grappig

[...]


Check ook de letterlijke bron van mijn bericht. De oorspronkelijke mail zit vol met unicode karakters om normale Arabische letters te maken

Bijv.

Hi, my viсtim.

om

Hi, my victim.

te schrijven.

Dat is waarschijnlijk een methode om spamfilters te omzeilen. Veel spamfilters reageren op bepaalde woorden of combinaties van woorden. Door willekeurige letters te vervangen door de bijbehorende karakter-code, wordt dit detectiemechanisme tegengewerkt.

JoghoJogho schreef op vrijdag 14 december 2018 @ 15:55:
Beetje sneue types als je het mij vraagt. Zijn dit soort gastjes nou niet door forenschische speurders te achterhalen en te stoppen? Ik bedoel, via de gevolgde werkwijze moet e.a.a. uiteindelijk toch te herleiden zijn?

Het probleem is dat deze acties vaak behoorlijk internationaal zijn. Draai de server in een land met beperkte opsporingsmogelijkheden, doe er een laagje TOR tussen en je bent behoorlijk moeilijk op te sporen als je geen domme fouten maakt.

[ Voor 30% gewijzigd door Rannasha op 14-12-2018 16:05 ]

[CurlyMo]

Rannasha schreef op vrijdag 14 december 2018 @ 16:03:
[...]

Dat is waarschijnlijk een methode om spamfilters te omzeilen. Veel spamfilters reageren op bepaalde woorden of combinaties van woorden. Door willekeurige letters te vervangen door de bijbehorende karakter-code, wordt dit detectiemechanisme tegengewerkt.

Goeie. Ik heb even mijn post aangepast zodat je de volledige bron van de mail ziet. Het is in ieder geval een heldere fishing.

[coop]

Jimster schreef op vrijdag 14 december 2018 @ 07:50:
Dergelijke mails krijg ik wekelijks. Meestal in het Engels.
https://opgelicht.avrotro...en-over-porno-afpersmail/


[...]

Hoe kom je er bij dat bij een besmetting je hostfile aangepast zou worden?

Vis3 is net nieuw op Tweakers. Ik denk dat dit een poging is van een van de 'hackers' om dit soort berichten authentieker te laten lijken voor mensen die uit paniek googlen.

[hackerhater]

Die troep heb ik ook een paar keer binnen gekregen en kan aan de logs van de mail-server zien dat ze ook geprobeerd hebben vanuit mijn eigen naam te mailen
Echter daar staat een SPF-record op met hard-fail, dus gereject door de servers.

Wachtwoord wat er genoemd werd was het oude Linkedin wachtwoord.

[zetje01]

Trouwens, dit is toch geen phishing?
En aan de hoeveelheid reacties te zien, zeker geen 'aparte'.

[ Voor 47% gewijzigd door zetje01 op 15-12-2018 02:38 ]

[Jeroen O]

jvanhambelgium schreef op vrijdag 14 december 2018 @ 15:26:
[...]
Duidelijke uitleg...

Drardollan schreef op vrijdag 14 december 2018 @ 15:50:
[...]
Ook een duidelijke uitleg...

Daar had ik nog niet over nagedacht. Weer wat geleerd.

In dit specifieke geval maakt het overigens toch niks uit, aangezien er naar alle waarschijnlijkheid niks gehacked is en sommige mensen (helaas) toch wel betalen.

[Compizfox]

jvanhambelgium schreef op vrijdag 14 december 2018 @ 15:26:
[...]
In theorie kan hij in HTML mail wel een 1-pixel prentje zetten dat je nog niet eens gaat opvallen en als je mailclient gewoon braafjes staat ingesteld om "prentjes van internet te halen" kan deze persoon wel een melding krijgen als de mail open gegaan is omdat hij een HTTP request naar een server staan en dan hebben ze gelijk je publieke IP enz.

Bij mij staat het standaard *af* om Internet content "zomaar" op te halen en zal ik dat zelf telkens goedkeuren...

Ik ken geen enkele fatsoenlijke mailclient die externe images downloadt in mails van onbekende afzenders.

---

Ik krijg overigens meerdere van dit soort spam per week, soms in het Engels, soms in het Nederlands, als ik even in mijn spamfolder kijk.

[ Voor 9% gewijzigd door Compizfox op 14-12-2018 19:53 ]

[Crossfire1987]

Heb hem ook gehad gelijk gedelete.
wel gecontroleerd of het mailadres niet bij hack ooit is buitgemaakt
mailadres wordt voornamelijk zakelijk gebruikt

[NiGeLaToR]

Iemand dat filmpje wat ze beloven te gaan delen ooit al gehad? Ik bedoel, das toch best grappig om te hebben?

[AW_Bos]

NiGeLaToR schreef op vrijdag 14 december 2018 @ 20:09:
Iemand dat filmpje wat ze beloven te gaan delen ooit al gehad? Ik bedoel, das toch best grappig om te hebben?

Ja, iemand met de lippen strak op elkaar en glunderende ogen .... Wauw

[NiGeLaToR]

AW_Bos schreef op zaterdag 15 december 2018 @ 00:51:
[...]

Ja, iemand met de lippen strak op elkaar en glunderende ogen .... Wauw

Owh, had er iets meer van verwacht

[dec0de]

jvanhambelgium schreef op vrijdag 14 december 2018 @ 15:22:
Ja die krijg ik ook bij de vleet ;-)
Zogezegd ben ik gehacked door een Cisco exploit CVE-XXXXX maar wacht effe ... ik draai hier Mikrotik als firewall ;-) en heb ook geen Webcam dus ik vraag me af hoe ze me filmen zoals ze claimen ;-)

Denkelijk hebben ze een oud password gevonden met de hack van LinkedIn of PLEX en uiteraard ook m'n email-adres ...

Geeeuw...

of het is via smtp verzonden, dan kun je de "vertuurd door" of "van" header aanpassen, dan is het 100% mogelijk om random email adressen maken via een namenlijst, en een simpel python scriptje...

ik weet niet of het zo door de spamfilters heen komt. maar als dat lukt laat ik dat weten

[CurtPoindexter]

-

[ Voor 99% gewijzigd door CurtPoindexter op 19-10-2019 16:07 . Reden: Leeg ivm privacy ]

[dec0de]

CurtPoindexter schreef op donderdag 27 december 2018 @ 11:08:
[...]

In veel gevallen niet (meer), dankzij diverse technieken zoals DMARC, SPF en DKIM. Wordt op Wikipedia aardig netjes uitgelegd.

Volgens mij is SMTP het enige email-verzendprotocol, maar dat terzijde.

klopt, ik bedoel via een extere client, zoals bijv. een python script met smtp lib, waar je zelf de headers neer zet, in plaats van via outlook.live.com of mail.google.com, zoals veruit de meeste mensen mails versturen.

[DistantFury]

Erik070 schreef op vrijdag 14 december 2018 @ 12:14:
[...]

Ik heb deze ook gehad met wachtwoord in onderwerp. Wachtwoord is waarschijnlijk buit gemaakt met 1 van de lekken van de afgelopen jaren. Zou zeggen check https://haveibeenpwned.com/ of je accounts daar in staan en wijzig die wachtwoorden als je dat al niet gedaan hebt.

Om daar nog even op terug te komen:



Oops...

[Erik070]

ItsTheDEMON1997 schreef op maandag 7 januari 2019 @ 17:55:
[...]


Om daar nog even op terug te komen:

[Afbeelding]

Oops...

Niet zo gek hoor, afgelopen jaren zijn er aardig wat lekken geweest. Het is gekker als je er niet in staat denk ik.