Versio Rabobank oplichting

[DJMaze]

Ik zag vandaag en gisteren een spam/oplichting run vanuit Versio met de "Rabo SmartPin" en dat deze de huidige rabo scanner gaat vervangen.

Nou waren ze er als de kippen bij om de domeinnamen melding-285 en melding-105 op te heffen.
Maar de bit. ly/2rPOWO2 verwijst nog naar:

https ://www. rabobank. nl.betaalproducts. com/nl/service/online-bankieren/rabo-smartpin/3f45776c1c4921f3ead80f3c5567ee02/start_uw_aanvraag.php

En betaalproducts is nog wel actief bij Versio.
Zo vermoeiend dat je ze niet kan bellen.

Weet iemand hoe je ze wel serieus te pakken kan krijgen over het misbruik van hun klanten?

[chickpoint]

Melden bij de rabobank kan via email.

Het melden van phishing e-mails kan direct door een e-mail (door) te sturen naar: [e-mail].

Daarnaast zou je kunnen proberen om bij bit.ly de verwijzing te markeren als frauduleus

https://support.bitly.com...to-spam-what-should-I-do-

[Comgenie]

Op de Versio website zit wel een bericht/chat optie om misbruik te melden.

[DJMaze]

chickpoint schreef op vrijdag 3 januari 2020 @ 18:12:
Melden bij de rabobank kan via email.

Daarnaast zou je kunnen proberen om bij bit.ly de verwijzing te markeren als frauduleus

Dat is al gedaan. Het gaat mij om Versio.

Comgenie schreef op vrijdag 3 januari 2020 @ 18:18:
Op de Versio website zit wel een bericht/chat optie om misbruik te melden.

Die deed het niet bij mij omdat ublock origin de "chat" blokkeerde (blijkbaar met goede reden).

Ik begrijp dat je als grote discount provider liever geen kosten maakt met telefoonnummers, maar het maakt criminelen het wel een stuk makkelijker.

[chickpoint]

Overigens is het domein niet gehost bij Versio, maar bij een Duitse partij:

Domain Name: betaalproducts.com
Registry Domain ID: 2475386928_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.antagus.de
Registrar URL: http://www.vautron.de
Updated Date: 2020-01-03T16:18:19Z
Creation Date: 2020-01-03T15:18:19Z
Registrar Registration Expiration Date: 2021-01-03T00:00:00Z
Registrar: Vautron Rechenzentrum AG
Registrar IANA ID: 1443
Registrar Abuse Contact Email: [e-mail]
Registrar Abuse Contact Phone: [phone]
Domain Status: ok
Registrant Organization:
Registrant State/Province: Nedersaksen
Registrant Country: DE
Registrant Email: [e-mail]
Admin Email: [e-mail]
Tech Email: [e-mail]
Name Server: ns2.mc-host24.de
Name Server: ns1.mc-host24.de
DNSSEC: unsigned
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/
 >>> Last update of WHOIS database: 2020-01-03T17:19:34Z <<<

toon volledige bericht

Deze hebben wel een telefoonnummer [phone], die zou je eventueel nog kunnen proberen.

[chickpoint]

Aangezien het inmiddels 2 dagen verder is en de website nog steeds online was heb ik het heft maar even in eigen handen genomen.

Contact opgenomen met de volgende partijen:
Rabobank
Hoster (abuse desk)
Domein registar (abuse desk)

De website is inmiddels offline, ik gok door de hoster aangezien de dns records nog steeds hetzelfde zijn.
Heeft in totaal een uurtje geduurt van het mailtje tot dat de website offline was.

[AW_Bos]

Die lange betaalproducts.com link werkt hier nog steeds
Ik hoop niet dat ze bij GoDaddy gaan hosten, want ik sta al 2 maanden lang een fake-site van Hotmail Technical support te melden, maar ze doen er niks aan

Anyway, als ik nar die nep-site van dit topic ga kijken, dan kom ik uit op een pagina die even aan het laden is, met zo'n draaiwieltje die steeds wordt gerefreshed?

[ Voor 85% gewijzigd door AW_Bos op 06-01-2020 00:30 ]

[Will_M]

AW_Bos schreef op maandag 6 januari 2020 @ 00:27:
Die lange betaalproducts.com link werkt hier nog steeds
Ik hoop niet dat ze bij GoDaddy gaan hosten, want ik sta al 2 maanden lang een fake-site van Hotmail Technical support te melden, maar ze doen er niks aan

Anyway, als ik nar die nep-site van dit topic ga kijken, dan kom ik uit op een pagina die even aan het laden is, met zo'n draaiwieltje die steeds wordt gerefreshed?

Is die nepsite inmiddels ook al ergens aangemeld?

[AW_Bos]

Dat is nou het rotte, ze gebruiken vaak doorstuuradressen, zodat ze altijd nog meerdere wegen hebben naar de scamsite . Je moet de angel er ook altijd uittrekken.

[Will_M]

AW_Bos schreef op maandag 6 januari 2020 @ 00:55:
Dat is nou het rotte, ze gebruiken vaak doorstuuradressen, zodat ze altijd nog meerdere wegen hebben naar de scamsite . Je moet de angel er ook altijd uittrekken.

Die 'Registrar' moet dus eigenlijk gewoon weg?

[AW_Bos]

De site lijkt offline. Echter lijkt er inmiddels nieuwe uit de grond te zijn geschoten

https :// www. rabobank -avg- wetgeving. nl/service/ online-bankieren/privacy-statement/

Wederom gemeld ....

[ThinkPad]

Je kunt dit soort sites ook bij Google SafeBrowsing melden. Als Google het domein dan markeert als niet-vertrouwd, dan krijgen gebruikers een rode waarschuwing in beeld.

Die functionaliteit staat in Chrome en Brave sowieso aan, Firefox volgens mij ook.
Geen idee hoe snel zoiets wordt opgepakt door Google trouwens.

Ik stuur vaak even een mailtje naar [e-mail], dan is een site vaak gauw uit de lucht (iig bij TransIP werd er snel op gereageerd).

[ Voor 28% gewijzigd door ThinkPad op 06-01-2020 07:52 ]

[DJMaze]

AW_Bos schreef op maandag 6 januari 2020 @ 07:17:
Echter lijkt er inmiddels nieuwe uit de grond te zijn geschoten

Ja die kwam ik ook tegen vanochtend.
Weer verzonden via een Versio Domeinnaam: regio-025.nl
Eigenaar: erwin @ betaaldiensten. de
Mailserver: 212.24.100.126

[ Voor 5% gewijzigd door DJMaze op 06-01-2020 09:21 ]

[chickpoint]

Weer eentje om te melden, ze zijn wel hardnekkig hoor!
Wat ik meestal ook gelijk doe is om de sites aan te melden bij Google Safe Browsing en Microsoft. Dan worden ze door het merendeel van de browsers al geblokkeerd (zij zijn namelijk wel relatief snel).

Heb hem inmiddels weer aangemeld bij de diverse partijen, dus morgen zullen ze wel weer een nieuwe maken. Vaak genoeg blijven herhalen en ze worden hopelijk vanzelf moe van mij

@DJMaze heb jij toevallig mail headers van het mailtje dat ze stuurden? Ben stiekem wel benieuwd, mag je eigen gegevens weglaten natuurlijk.

[ Voor 38% gewijzigd door chickpoint op 06-01-2020 19:14 ]

[DJMaze]

@chickpoint ik heb er zat op een rspamd server

62.221.250.180 (rejected)

code:

BAYES_SPAM (3) [100.00%]
TO_DN_RECIPIENTS (2)
FORGED_RECIPIENTS (2) [[e-mail],[e-mail]]
URI_COUNT_ODD (1) [1]
DMARC_POLICY_ALLOW (-0.5) [rabobank.melding-105.nl,quarantine]
R_SPF_ALLOW (-0.2) [+mx:c]
R_DKIM_ALLOW (-0.2) [rabobank.melding-105.nl:s=s1024]
RCVD_NO_TLS_LAST (0.1)
MIME_GOOD (-0.1) [multipart/alternative,text/plain]
ONCE_RECEIVED (0.1)
MX_GOOD (-0.01) [cached: rabobank.melding-105.nl]

194.135.95.239 (rejected)

code:

URIBL_RED (3.5) [06012020.com:url]
SEM_URIBL_FRESH15 (3) [06012020.com:url]
BAYES_SPAM (2.89979) [99.57%]
TO_DN_RECIPIENTS (2)
FORGED_RECIPIENTS (2) [[e-mail],[e-mail]]
MANY_INVISIBLE_PARTS (0.5) [6]
HTML_SHORT_LINK_IMG_3 (0.5)
RCVD_NO_TLS_LAST (0.1)
BAD_REP_POLICIES (0.1)
HAS_ANON_DOMAIN (0.1)
MIME_GOOD (-0.1) [multipart/alternative,text/plain]
ONCE_RECEIVED (0.1)
MX_GOOD (-0.01) [rabobank.regio-035.nl]

212.24.100.126 (.Trash)

code:

Return-Path: <[e-mail]>
Delivered-To: [e-mail]
Received: from REDACTEDFORPRIVACY.nl
    by REDACTEDFORPRIVACY.nl with LMTP
    id XeCuEHHAEl7ABwAA7XhzYQ
    (envelope-from <[e-mail]>)
    for <[e-mail]>; Mon, 06 Jan 2020 05:06:57 +0000
Received: from rabobank.regio-025.nl (rabobank.regio-025.nl [212.24.100.126])
    by REDACTEDFORPRIVACY.nl (Postfix) with ESMTPS id 34B54A51C4
    for <[e-mail]>; Mon,  6 Jan 2020 05:06:54 +0000 (UTC)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
    s=s1024; d=rabobank.regio-025.nl;
    h=content-type:mime-version:subject:to:from:date:message-id;
    bh=bJzdfpq0a5Tm5ASm01I6XKw4+LrgfHUfWbnmEmmA1Ss=;
    b=T+bbZzi8UZgfTyQwlxQ0/dBuQLUnIeZAe/uQ0vfuyEHdReEtKwjjyfOvGXeMQ8
      kKTK1Dic5IGC2Uil7xwoGAPFTe7BXNOaOFxTiIBq19oM5Dtja8gUhxk0lEcNu/
      omtoKerH12a3v2cq7IY4sNvZ5bLTXqIyFPEVKl1yI9+oM4Y=
Received: from rabobank.regio-025.nl ([212.24.100.126]) by rabobank.regio-025.nl with Microsoft SMTPSVC(8.5.9600.16384);
     Mon, 6 Jan 2020 06:47:54 +0200
Content-Type: multipart/alternative; boundary="===============0311005869=="
MIME-Version: 1.0
Subject: *** SPAM *** De Algemene Verordening Gegevensbescherming (AVG) Wetgeving
To: Recipients <[e-mail]>
From: "Rabobank" <[e-mail]>
Date: Mon, 06 Jan 2020 06:46:24 +0200
Message-ID: <[e-mail]>
X-OriginalArrivalTime: 06 Jan 2020 04:47:54.0204 (UTC) FILETIME=[755019C0:01D5C44C]
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=REDACTEDFORPRIVACY.nl;
    s=default; t=1578287217;
    h=from:from:reply-to:subject:subject:date:date:message-id:message-id:
     to:to:cc:mime-version:mime-version:content-type:content-type:
     dkim-signature; bh=bJzdfpq0a5Tm5ASm01I6XKw4+LrgfHUfWbnmEmmA1Ss=;
    b=a+2pcvOVM3lQ+Jml+2LeaaYFKDxL4sE9gHnL7GjhtzDylbOVUjryDXy7/h4SZSrt7dN0vz
    tm4XGWb6HCQ0XcyKqj8EGcrnlV1fppzd0yQafh0pvpbPM7RUMS3TSDlMW4Qc+m956KrqHi
    mqgv1bcGY/1mJzlNHg/8TyLmVt6f7VVlbJtUdZ9CPVSSTK+f0LM6oAOvtLje1wKRDo2iWj
    9fGQ6dmOz6udlGBB9+j64uXZVmYHEqIVPCV3zG2vsnSx1uUZLQPevk5Fa6qAsSWsUlTn2W
    tbMFYyKey20icHd2zFoHfbKobP4/EePwC2xtoviyWzKOFxJpeK9KPrEpuDtsuA==
ARC-Seal: i=1; s=default; d=REDACTEDFORPRIVACY.nl; t=1578287217; a=rsa-sha256;
    cv=none;
    b=lKqDMsaPnN2yMqufQaRYdHHnPXpnjklih8bRJhv7AO4R2S6ai8jRNh+vSAC9nZyd5btdAx
    fCvBVbmIGdNKvK+j03DxYu6rMvboW7h7DVt83E/DhYe+aEWmOu9P3yfDztRdbjdpZ3bznI
    02IlkiYmK1mRfm9xBMlw/VSi4SJpj+9hEqhFQF/TGaDZIJWrzJsBxnlhh+X8DyTFcMCdHu
    3AGkyehJvgIc+CIH4K3+c2e75F8bueQOIYOsQgb1gz05hT/SQUaD2M9IapiT4AISqJKY4r
    ScBiVIb/N8P0+UfR9+ckQ4n8Uj3r59pC3kCEDSrhULlwC71khVUqyls/pXmHDg==
ARC-Authentication-Results: i=1;
    ORIGINATING;
    dkim=pass header.d=rabobank.regio-025.nl header.s=s1024 header.b=T+bbZzi8;
    spf=pass (ORIGINATING: domain of [e-mail] designates 212.24.100.126 as permitted sender) smtp.mailfrom=[e-mail]
X-Spamd-Bar: +++++++
X-Spam-Level: *******
X-Rspamd-Server: REDACTEDFORPRIVACY.nl
Authentication-Results: ORIGINATING;
    dkim=pass header.d=rabobank.regio-025.nl header.s=s1024 header.b=T+bbZzi8;
    dmarc=pass (policy=quarantine) header.from=rabobank.regio-025.nl;
    spf=pass (ORIGINATING: domain of [e-mail] designates 212.24.100.126 as permitted sender) smtp.mailfrom=[e-mail]
X-Rspamd-Queue-Id: 34B54A51C4
X-Spamd-Result: default: False [7.19 / 9.00];
     BAYES_SPAM(3.00)[99.99%];
     R_SPF_ALLOW(-0.20)[+mx:c];
     ARC_SIGNED(0.00)[i=1];
     TO_DN_RECIPIENTS(2.00)[];
     TO_DN_ALL(0.00)[];
     DKIM_TRACE(0.00)[rabobank.regio-025.nl:+];
     DMARC_POLICY_ALLOW(-0.50)[rabobank.regio-025.nl,quarantine];
     MX_GOOD(-0.01)[cached: rabobank.regio-025.nl];
     RCVD_COUNT_ONE(0.00)[1];
     RCVD_NO_TLS_LAST(0.10)[];
     FROM_EQ_ENVFROM(0.00)[];
     TO_EQ_FROM(0.00)[];
     MIME_TRACE(0.00)[0:+,1:+,2:~];
     FORGED_RECIPIENTS(2.00)[[e-mail],[e-mail]];
     ASN(0.00)[asn:62282, ipnet:212.24.96.0/20, country:LT];
     MID_RHS_MATCH_FROM(0.00)[];
     ONCE_RECEIVED(0.10)[];
     ARC_NA(0.00)[];
     R_DKIM_ALLOW(-0.20)[rabobank.regio-025.nl:s=s1024];
     FROM_HAS_DN(0.00)[];
     MIME_GOOD(-0.10)[multipart/alternative,text/plain];
     HTML_SHORT_LINK_IMG_3(0.50)[];
     RCPT_COUNT_ONE(0.00)[1];
     MANY_INVISIBLE_PARTS(0.50)[6];
     NEURAL_HAM(-0.00)[-0.661];
     GREYLIST(0.00)[pass,body]

You will not see this in a MIME-aware mail reader.
--===============0311005869==
Content-Type: text/plain; charset="iso-8859-1"
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Description: Mail message body

[DJMaze]

chickpoint schreef op maandag 6 januari 2020 @ 15:51:
Weer eentje om te melden, ze zijn wel hardnekkig hoor!

Yep, vanochtend weer vanuit Versio.

code:

Received: from rabobank.regio-030.nl (rabobank.regio-030.nl [62.221.250.135])

Bitly verwijst nu naar www. rabobank. nl. avg-wet. info

Hoe hard zitten ze te slapen bij Versio? Want alle domeinen staan geregistreerd met het zelfde e-mailadres

[chickpoint]

Bij de Rabobank ook, heb nog steeds geen reactie gehad op de mail die ik hun gestuurd heb...

[chickpoint]

Heb die .info ook maar weer gemeld bij de registar. Tijd dat ze daar ook eens hun ogen open doen...
Daarnaast maar weer aangemeld bij Google Safe Browsing en wat virusscanners..

Zo te zien zijn ze wel een beetje uitgekakt met hun bitly linkje


Volgens virustotal hangt er trouwens een aardig handeltje domeinen aan die VPS waar de websites op gehost worden:

code:

2020-01-08 rabobank-avg-wet.nl
2020-01-08 www.rabobank-avg-wet.nl
2020-01-08 rabobank.nl.avg-wetgeving.info
2020-01-08 www.rabobank.nl.avg-wetgeving.info
2020-01-08 rabobank.nl.avg-wet.info
2020-01-08 www.rabobank.nl.avg-wet.info
2020-01-08 avg-wet.info
2020-01-08 avg-wetgeving.info
2020-01-06 avg-wet.com
2020-01-06 rabobank.nl.avg-wet.com
2020-01-06 www.rabobank.nl.avg-wet.com
2020-01-06 www.rabobank.nl.avg-wetgeving.net
2020-01-06 rabobank.nl.avg-wetgeving.net
2020-01-06 www.avg-wetgeving.net
2020-01-06 avg-wetgeving.net
2020-01-06 www.rabobank.avg-wetgeving.com
2020-01-06 rabobank.avg-wetgeving.com
2020-01-06 avg-wetgeving.com
2020-01-04 rabobank.avg-wetgeving.nl
2020-01-04 www.rabobank-avg-wetgeving.nl
2020-01-04 rabobank-avg-wetgeving.nl
2020-01-04 www.avg-wetgeving.nl
2020-01-04 avg-wetgeving.nl
2020-01-03 www.rabobank.nl.veiligheidsreglementen.com
2020-01-03 rabobank.nl.veiligheidsreglementen.com
2020-01-03 bankieren.rabobank.nl.veiligheidsreglementen.com
2019-12-31 abnamro.nl.zelf-regelen.com
2019-12-31 www.abnamro.nl.zelf-regelen.com
2019-12-31 webmail.zelf-regelen.com
2019-12-31 zelf-regelen.com
2019-12-31 bankieren.rabobank.nl.zelf-regelen.com
2019-12-29 www.abnamro.nl.betaaldiensten.com
2019-12-29 abnamro.nl.betaaldiensten.com
2019-12-25 bankieren.rabobank.nl.betaaldiensten.com
2019-12-25 betaaldiensten.com
2019-12-25 rabo-alert.com
2019-12-25 veiligheidsreglementen.com
2019-12-23 bankieren.rabobank.nl.betaalgemak.online
2019-12-23 www.betaalgemak.online
2019-12-23 betaalgemak.online
2019-12-22 rabo-alert.online
2019-12-22 www.rabo-alert.online
2019-12-22 rabo-alert.net
2019-12-20 bankieren.rabobank.nl.smartpinl.net
2019-12-20 smartpinl.net
2019-12-18 veiligheidsreglementen.net
2019-12-18 bankieren.rabobank.nl.veiligheidsreglementen.net
2019-12-18 bankieren.rabobank.nl.smartpin.net
2019-12-18 smartpin.net
2019-12-18 klantzaken.net
2019-12-18 rabobank.nl.klantzaken.net
2019-12-17 betaaldiensten.de
2019-12-17 webmail.betaaldiensten.de
2019-12-17 vps1919131.fastwebserver.de

toon volledige bericht

[ Voor 79% gewijzigd door chickpoint op 09-01-2020 20:41 ]

[DJMaze]

chickpoint schreef op donderdag 9 januari 2020 @ 20:28:Zo te zien zijn ze wel een beetje uitgekakt met hun bitly linkje

Yep, vanochtend nieuw netwerk gespot via andere doorlinker die door opendns wordt geblokkeerd.
Maar niet iedereen gebruikt opendns.

[Will_M]

DJMaze schreef op donderdag 9 januari 2020 @ 21:47:
[...]

Yep, vanochtend nieuw netwerk gespot via andere doorlinker die door opendns wordt geblokkeerd.
Maar niet iedereen gebruikt opendns.

Geweldig Cisco Product, toch?

[chickpoint]

komt die doorlinker toevallig ook uit op rtras.net?

[DJMaze]

@chickpoint nee: https:// hec. su/qZ1j => split. to/nVtqQQz => http:// zap476766-1.plesk08. zap-webspace .com/RBVCZ23856/
Uit e-mails van:

code:

bank-online.nl (godaddy)
avg-wet.site (Realtime register)

Ze doen in ieder geval minder hun best met zap-webspace

chickpoint schreef op woensdag 8 januari 2020 @ 12:40:
Bij de Rabobank ook, heb nog steeds geen reactie gehad op de mail die ik hun gestuurd heb...

Ik ook niet. Van SIDN, Rabobank en Versio nul-komma-nul

[ Voor 37% gewijzigd door DJMaze op 09-01-2020 23:01 ]

[Will_M]

@DJMaze Ik denk ook niet dat je vanuit die 'partijen' antwoord gaat krijgen. Ze controleren je 'verzoekje'... BLOKKEREN.... én klaar!

[AW_Bos]

Wordt tijd dat de hosting-providers eens gebruik gaan maken van een soort filter. Iedereen die een domein met rabobank, ingbank, -ing, ing-, bunq etc... wil registeren komt in een queue terecht die beoordeelt wordt door de provider.

Maar helaas zijn er 1001 (en meer dan dat) verschilende hostingbedrijven.
Verder ben ik benieuwd hoe @chickpoint aan dat lijstje met hostnames komt.

[kodak]

AW_Bos schreef op donderdag 9 januari 2020 @ 23:27:
Wordt tijd dat de hosting-providers eens gebruik gaan maken van een soort filter.

En wie gaat dan op basis van wat beslissen wat er wel of niet in een filter moet komen en wie beslist of een domein dan wel of niet is toegestaan?

[DJMaze]

Ze zijn er weer!

AXC/Versio heeft nu wel twee e-mailadressen gelekt van een @home en @ziggo die niet bij haveibeenpwned staan.
Nu maar even naar Driebergen bellen...

[AW_Bos]

Zijn dat geen mailadressen die uit de WHOIS zijn getrokken?

[DJMaze]

AW_Bos schreef op woensdag 1 juli 2020 @ 11:10:
Zijn dat geen mailadressen die uit de WHOIS zijn getrokken?

Ja uit de whois. Ik heb 5 .nl domeinnamen gespot, maar twee hebben een e-mailadres in de whois. De anderen zijn afgeschermd door Versio.

[AW_Bos]

Er is een kans dat Versio ergens een lek heeft wat een kwalijke zaak zou zijn als dit echt zo is, maar het kan ook dat de mailadressen misschien eerder niet afgeschermd waren? Of ze komen ergens anders vandaan
Niet alles hoeft in HaveIbeenPwned te staan

[ Voor 19% gewijzigd door AW_Bos op 01-07-2020 11:35 ]