Mogelijke dating scam verzonden via Gmail, geen spam?

[Sysosmaster]

Ik kreeg vandaag de volgende mail binnen op een gmail account:


na wat reverse image searching (koste wat moeite want is niet via de standaard te vinden)
vond ik dit:


https://vk.com/wall83431365_9615

de Header ziet er zo uit:

code:

Delivered-To: <SNIP>@gmail.com
Received: by 2002:a05:6359:a07:b0:b3:7369:24af with SMTP id el7csp165827rwb;
        Wed, 10 Aug 2022 20:54:10 -0700 (PDT)
X-Google-Smtp-Source: AA6agR7VEZ6QVsUY992pHIvw8MKvPlSlMd1vldRnPwIOFBzp0GPb2eWopzlv+VU2lgDWREPbAMe1
X-Received: by 2002:a17:902:f608:b0:16d:20a0:5339 with SMTP id n8-20020a170902f60800b0016d20a05339mr30002618plg.133.1660190050407;
        Wed, 10 Aug 2022 20:54:10 -0700 (PDT)
ARC-Seal: i=1; a=rsa-sha256; t=1660190050; cv=none;
        d=google.com; s=arc-20160816;
        b=M9MRn+GWTtDlXY5u1ZAnslo0ADA/DLi8IvuUSn0a3LeSliyoeT/EoMzbymwpVcbkA8
         G9NNXNlfOpt0JaIDototi2uEd4mtj4PgZQ0Sz9oH+qsbi1jLkUTqtkiYamlZHiGbtTDe
         ra6Ug3nINOUjLEqN9M8ZB0RvtKq5GsaWInzvQmV7gDPX9xUyPn4fFdpjit8Dv1srWljz
         9961pZNShP8Qz1SEx9M5tu2L+l5YuumdmLphaWMd/l4fBDCzhiAhAEIBGRI+HOKL9qx0
         ezZpiIBrxCPk51Hq0v7FHfyfTmI3r8VC0zPtNnq0UzJ2MkynKV3Uf/qKai30NFCJZq5H
         OgxQ==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20160816;
        h=mime-version:to:subject:message-id:from:date;
        bh=OYNFjoi2AGDraWL0/L/FEbn5WUcNDpwyFnaM3kiy1t0=;
        b=R/iCOgYp0CHBu+XwFD7XPN1kHyIfXcSzJo2R0gIosVPdlYCdwjLdMVPlNWZ3Bi+CHn
         LoE8y3r4SEP8Awvm5BcivCk+Mbm9C71o/JtZ+IXEe1GnFEqDVErqygDaZCVk38YWbOes
         yzHfQ9GjkFHSXTxopehcUzmTzSC9xk3bste7aqGgdQNLv0fjfvdReX8zaZCgFrAnUS5i
         xKkPGJsURmkbdzAjBk8yStMXmkAUk3nOy1t0UbBLOMZYKCi1kth5fhM9hQSHqunGqSVT
         0dBGQ06LWdcypTuX6Df5h2+gOUjrpAF/EYZt1+ROQBJ27t97Sh87hTTcaHoxjL9LG/c4
         mmsQ==
ARC-Authentication-Results: i=1; mx.google.com;
       spf=pass (google.com: domain of [e-mail] designates 2001:b000:1c9:10:168:95:4:116 as permitted sender) smtp.mailfrom=[e-mail];
       dmarc=fail (p=NONE sp=QUARANTINE dis=NONE) header.from=gmail.com
Return-Path: <[e-mail]>
Received: from msr16.hinet.net (msr16.hinet.net. [2001:b000:1c9:10:168:95:4:116])
        by mx.google.com with ESMTPS id l16-20020a170903245000b0016c60e0b6besi21495056pls.80.2022.08.10.20.54.09
        for <<SNIP>@gmail.com>
        (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
        Wed, 10 Aug 2022 20:54:10 -0700 (PDT)
Received-SPF: pass (google.com: domain of [e-mail] designates 2001:b000:1c9:10:168:95:4:116 as permitted sender) client-ip=2001:b000:1c9:10:168:95:4:116;
Authentication-Results: mx.google.com;
       spf=pass (google.com: domain of [e-mail] designates 2001:b000:1c9:10:168:95:4:116 as permitted sender) smtp.mailfrom=[e-mail];
       dmarc=fail (p=NONE sp=QUARANTINE dis=NONE) header.from=gmail.com
Received: from lasqueti.com (ip-2607-F298-0005-115B-0000-0000-0D78-33FB.dreamhost.com [IPv6:2607:f298:5:115b:0:0:d78:33fb]) (authenticated bits=0) by msr16.hinet.net (8.15.2/8.15.2) with ESMTPSA id 27B3s50V016657 (version=TLSv1.2 cipher=ECDHE-RSA-AES256-GCM-SHA384 bits=256 verify=NO) for <<SNIP>@gmail.com>; Thu, 11 Aug 2022 11:54:07 +0800
Date: Wed, 10 Aug 2022 20:54:08 -0700
From: Tatiana Tatiana <[e-mail]>
Message-ID: <<SNIP>@mail.gmail.com>
Subject: tijd
To: <SNIP>@gmail.com
X-TFWJKM: YjA0ODNkYTRjODQwMDNkMTY5ODY0ODNlYjk0MDhiYzQ=
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="d3aa_D3AACA09CA1-7006229FC8CFDC23B"
X-CMAE-Score: 0
X-CMAE-Analysis: v=2.4 cv=f5eNuM+M c=1 sm=1 tr=0 ts=62f47d60 a=x7bEGLp0ZPQA:10 a=ZHSyuJl2GvEA:10 a=45nE4Eu45uEb53_A96YA:9 a=QEXdDO2ut3YA:10 a=_W_S_7VecoQA:10 a=Z-R3B3raj4Jmo7pyK38A:9 a=FentShdB3M6tulaE:18 a=KQqxNPgzF0kA:10 a=VEiTNn8F7TgA:10 a=spvwUOvgqbbia2jXmk1X:22

Hebben andere ook deze soort al gezien, welke nog niet door Google als spam worden herkent?
(en zo wie zo, die je voordeel er mee om jezelf en anderen veilig te houden)

[MAX3400]

Ik zie nergens in haar bericht dat ze blote foto's van jou heeft; klinkt dus niet echt als sextortion.

En gezien de willekeurigheid van de afzender etc; ik weet niet of we elk spam-mailtje op GoT moeten posten; dan wordt het wel heel druk met dingen waar we weinig tegen kunnen doen?

[Sysosmaster]

het was meer dat google, welke best goed is in het opsporen an dit soort mails, het niet auto aangemerkt had als spam (score 0).

Ook is er gebruik gemaakt van een 'legitieme' mail bron., en is het NL specifiek.

de sextortion is waar deze opzet naar neigt bij mij...

[AW_Bos]

Ik zie er ook geen sextortion in.

De scammer die infeite niet deze vrouw zal zijn (wat een verrassing, hè ) zal een gezellig gesprek met je aangaan, je vertrouwen proberen te winnen, vertellen dat ze naar Nederland op visite komt, en vervolgens bedelen om geld omdat ze op het vliegveld beroofd is van haar portefeuille. Uiteraard is het 9/10 gewoon een Nigeriaan in een ranzig uitgewoond Yahoo-boys huis ergens in Nigeria.

[heuveltje]

Sysosmaster schreef op donderdag 11 augustus 2022 @ 15:48:
het was meer dat google, welke best goed is in het opsporen an dit soort mails, het niet auto aangemerkt had als spam (score 0).

Ook is er gebruik gemaakt van een 'legitieme' mail bron., en is het NL specifiek.

de sextortion is waar deze opzet naar neigt bij mij...

Zo goed is google daar echt niet altijd in.
Ik krijg al jaren 1 of 2 berichten per maand met :

Van : Vrouwelijke naam <email adres van random letters>
Onderwerp : <voornaam>
Hey <voornaam> where are you

en gestuurd naar het adres wat ik jaren geleden eens op een vage site heb gebruikt.

Meerder keren als spam gemeld. Je zou denken dat google dat zeer makkelijk kan uitfilteren.
Maar blijft komen

Nog vreemder is dat ik nog steeds niet snap wat de scam dan zou zijn ? paar keer uit nieuwschierigheid gereageerd op zon mail, maar dan krijg je dan ook weer 0 reactie op.

[ Voor 4% gewijzigd door heuveltje op 11-08-2022 20:03 ]

[Sysosmaster]

heuveltje schreef op donderdag 11 augustus 2022 @ 17:29:
[...]
Nog vreemder is dat ik nog steeds niet snap wat ze er mee willen paar keer uit nieuwschierigheid gereageerd, maar dan hoor je er nooit meer wat van.

Daar komt mijn sextortion vandaan... iets wat te voorbarig is gebaseerd op de reacties tot nu toe. (maar ik zie nergens een manier om dat te editen)

op mijn mail server zou deze mail namelijk gewoon als spam worden aangemerkt. want als ik m door een mail-header parser haal krijg ik het volgende:

code:

-----------------------------------------
(1) Test: Received - Mail Servers Flow

HEADER:
    Received

VALUE:
    ...

ANALYSIS:

- List of server hops used to deliver message:

          --> (0) From: Tatiana Tatiana <[e-mail]>

              |_> (1) lasqueti.com (IPv6:2607:f298:5:115b:0:0:d78:33fb)
                      rev-DNS:  ip-2607-f298-0005-115b-0000-0000-0d78-33fb.dreamhost.com
                      time:     2022-08-11 03:54:07+00:00
                      id:       27B3s50V016657 (version=TLSv1.2 cipher=ECDHE-RSA-AES256-GCM-SHA384 bits=256 verify=NO)
                      by:       msr16.hinet.net (8.15.2/8.15.2)
                      with:     ESMTPSA
                      extra:
                          - authenticated bits=0
                          - 8.15.2/8.15.2
                          - version=TLSv1.2 cipher=ECDHE-RSA-AES256-GCM-SHA384 bits=256 verify=NO

                  |_> (2) msr16.hinet.net (2001:b000:1c9:10:168:95:4:116)
                          time:     2022-08-11 03:54:10+00:00
                          id:       l16-20020a170903245000b0016c60e0b6besi21495056pls.80.2022.08.10.20.54.09
                          by:       mx.google.com
                          with:     ESMTPS
                          for:      <<SNIP>@gmail.com> (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256)
                          extra:
                              - version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256

                      |_> (4) To: <SNIP>@gmail.com


-----------------------------------------
(2) Test: Extracted IP addresses

ANALYSIS:

- Extracted IP addresses from headers and attempted to resolve them:

- Found IP address: 022.08.10.20
                - IP Geo metadata:
                        - status      : fail
                        - message     : invalid query
                        - query       : 022.08.10.20


-----------------------------------------
(3) Test: Extracted Domains

ANALYSIS:

- Extracted domains from headers and attempted resolve them:


        - Found Domain:   ms71.hinet.net
                - that resolves to: 168.95.4.71

        - Found Domain:   google.com
                - that resolves to: 216.58.208.110

        - Found Domain:   gmail.com
                - that resolves to: 142.251.36.37

        - Found Domain:   smtp.mailf

        - Found Domain:   ip-2607-F298-0005-115B-0000-0000-0D78-33FB.dreamhost.com

        - Found Domain:   mail.gmail.com

        - Found Domain:   msr16.hinet.net
                - that resolves to: 168.95.4.116

        - Found Domain:   mx.google.com

        - Found Domain:   lasqueti.com
                - that resolves to: 66.33.208.90

        - Found Domain:   IMG_98667170.jpg


-----------------------------------------
(4) Test: Authentication-Results

HEADER:
    Authentication-Results

VALUE:
    mx.google.com; spf=pass (google.com: domain of [e-mail] designates
    2001:b000:1c9:10:168:95:4:116 as permitted sender) smtp.mailfrom=[e-mail];
    dmarc=fail (p=NONE sp=QUARANTINE dis=NONE) header.from=gmail.com

ANALYSIS:

- There were 1 headers named Authentication-Results. The 1. one is considered problematic:

- DMARC test failed: Should be "pass", but was: "fail"


-----------------------------------------
(5) Test: ARC-Authentication-Results

HEADER:
    ARC-Authentication-Results

VALUE:
    i=1; mx.google.com; spf=pass (google.com: domain of [e-mail] designates
    2001:b000:1c9:10:168:95:4:116 as permitted sender) smtp.mailfrom=[e-mail];
    dmarc=fail (p=NONE sp=QUARANTINE dis=NONE) header.from=gmail.com

ANALYSIS:

- There were 1 headers named ARC-Authentication-Results. The 1. one is considered problematic:

- DMARC test failed: Should be "pass", but was: "fail"


-----------------------------------------
(6) Test: Received-SPF

HEADER:
    Received-SPF

VALUE:
    pass (google.com: domain of [e-mail] designates 2001:b000:1c9:10:168:95:4:116 as
    permitted sender) client-ip=2001:b000:1c9:10:168:95:4:116;

ANALYSIS:

- Decomposition:
        - pass (google.com: domain of [e-mail] designates 2001:b000:1c9:10:168:95:4:116 as permitted sender) client-ip: 2001:b000:1c9:10:168:95:4:116
        -


-----------------------------------------
(7) Test: Domain Impersonation

HEADER:
    From

VALUE:
    Tatiana Tatiana <[e-mail]>

ANALYSIS:

- Mail From: <[e-mail]>>

        - Mail Domain: gmail.com>
                       --> resolves to:
                           --> reverse-DNS resolves to:
                               (sender's domain: gmail.com)

        - First Hop:   lasqueti.com (IPv6:2607:f298:5:115b:0:0:d78:33fb)
                       --> resolves to: 66.33.208.90
                           --> reverse-DNS resolves to: ip-2607-f298-0005-115b-0000-0000-0d78-33fb.dreamhost.com
                               (first hop's domain: dreamhost.com)


- WARNING! Potential Domain Impersonation!
        - Mail's domain should resolve to:      gmail.com
        - But instead first hop resolved to:    dreamhost.com


-----------------------------------------
(8) Test: SMTP Header Contained IP address

ANALYSIS:

(01) Header: Received  contained an IP address:
             Value    :    2022.08.10.20.54.09


-----------------------------------------
(9) Test: Security Appliances Spotted

ANALYSIS:

- During headers analysis, spotted following clues about Security Appliances:

        - Cloudmark Security Platform
------------------------------------------

bron: https://github.com/mgeeky/decode-spam-headers

ik ben gewend dat google mail met failed DMARC en met foute DNS resolve voor hun eigen domain als spam bestempeld.

[kodak]

@Sysosmaster het nadeel van automatisch herkennen is nu eenmaal dat het niet altijd werkt zoals je hoopt. Dus zoals bij je voorbeeld, dat mail waarvan jij verwacht dat het wel automatisch als ongewenst zal worden verwerkt het toch een ander resultaat geeft.

Ongeacht waarom jij meent dat het ongewenst zou moeten zijn (want dat hangt waarschijnlijk van veel meer factoren af dan je noemt), je kunt Google mail helpen door de mail zelf als ongewenst te markeren.
Daar help je misschien jezelf voor deze mail niet meer mee, maar het is een hulp om jezelf en anderen wat te helpen een misschien nog beter filter te krijgen.

Uitleg over het melden staat hier:
https://support.google.com/mail/answer/8253

Afvragen wat er mis is gegaan heeft waarschijnlijk geen zin, je kan namelijk niet zien hoe dat filter precies werkt, hooguit wat de uitkomst is.

[Jazzy]

Sysosmaster schreef op donderdag 11 augustus 2022 @ 18:10:
Daar komt mijn sextortion vandaan... iets wat te voorbarig is gebaseerd op de reacties tot nu toe. (maar ik zie nergens een manier om dat te editen)

Jij kunt dat niet, maar de moderators wel en helpen je graag. De makkelijkste manier is om je bericht onder onze aandacht te brengen door op Rapporteren te klikken en dan even een korte beschrijving toe te voegen.

In dit geval heb ik de titel wat verduidelijkt. Denk dat de post hierboven het goed samenvat verder en vraag me af of er nog veel discussiewaarde is.

[Sysosmaster]

kodak schreef op donderdag 11 augustus 2022 @ 19:50:
@Sysosmaster het nadeel van automatisch herkennen is nu eenmaal dat het niet altijd werkt zoals je hoopt. Dus zoals bij je voorbeeld, dat mail waarvan jij verwacht dat het wel automatisch als ongewenst zal worden verwerkt het toch een ander resultaat geeft.

Ongeacht waarom jij meent dat het ongewenst zou moeten zijn (want dat hangt waarschijnlijk van veel meer factoren af dan je noemt)...

op mijn eigen mail server werkte e filters wel, vandaar mijn verbazing.

en uiteraard was rapporteren het eerste wat ik deed voordat ik de post maakte

[Sysosmaster]

Jazzy schreef op maandag 15 augustus 2022 @ 10:19:
[...]

Jij kunt dat niet, maar de moderators wel en helpen je graag. De makkelijkste manier is om je bericht onder onze aandacht te brengen door op Rapporteren te klikken en dan even een korte beschrijving toe te voegen.

In dit geval heb ik de titel wat verduidelijkt. Denk dat de post hierboven het goed samenvat verder en vraag me af of er nog veel discussiewaarde is.

aha, bedankt. en nee, topic heeft zijn functie gehad.
als ik m kan sluiten doe ik dat, anders mag een mod dat ook doen.