Євроінтеграція: а мені прийшов німецькомовний спам з ДНР

[noddeat]

Минулого місяця у мене спиздили дані платіжної картки, тепер спиздили персональні дані (ім’я, адресу, телефон) і надіслали фішінговий спам нібито від Амазона.

Тема: Lastschriftmandat bestaetigen!
Guten Tag noddeat,
Ihr Konto entspricht nicht dem Stand der aktuellesten Richtlinien.
Damit mit Ihrem Konto keinerlei Probleme auftreten, ist es von Nöten eine Aktualisierung durchzuführen.
Aus diesem Grunde werden Sie dazu aufgefordert, Ihre Daten zu bestätigen oder zu ändern.

І далі мої дані і посилання на фішінговий сайт, де треба ввести дані банківського рахунку, шо «підтвердити» їх — стара, як світ, розводка. Текст трохи «по-дебильному написан»(с), але на перший погляд навіть і не видався мені підозрілим: я на Амазоні платив саме тією платіжною карткою, яку заблокував нещодавно, а тому подумав, шо він скаржиться, шо вона більше не працює (хоча я ж нічого не купував там з того часу, але це я вже потім подумав).

На другий погляд, звісно, я зрозумів, шо це фішінг: шахраї переплутали Lastschriftmandat з Lastschrifteinzug-ом. Щоправда, я у будь-якому випадку не користуюся на Амазоні прямим дебетом з рахунку (Lastschrift-ом), але навіть якби користувався, ніякого мандату там бути не могло: мандат — це коли в тебе контракт з конторою на періодичне надання послуг (а ля інтернет, електрика тощо) і ти їй дозволяєш стягувати гроші з рахунку і назавжди забуваєш, шо таке «ой, вимкнули за несплату». Latschrifteinzug же — це одноразовий такий дозвіл під час купівлі — власне, випадок Амазона. Окей, це я знаю ці деталі, підозрюю, шо більшість німців ні, тому ок.

Далі клікаю на сайт, шоб подивитись, як професійно він здизайнений — завжди це роблю, але домен (який взагалі не містить слово «амазон») уже випиляли. От ідіоти, не могли завести домен а ля amazon-finance-service десь у далекій острівній країні, шо не париться копірайтами. Завели лівий домен в зоні .de — на нього поскаржилися — випиляли.

А далі найцікавіше — дивлюся оригінал листа. Виявилося, шо німецька мафія аутсорсить розсилання спаму... куди б ви думали? Дивіться самі:

Return-Path: 
Received: from mail.avk.ua (mail.avk.ua. [185.9.41.41])
        by mx.google.com with ESMTP id a3si6309540lak.61.2015.03.05.23.05.20
        for <***@gmail.com>;
        Thu, 05 Mar 2015 23:05:20 -0800 (PST)
Received-SPF: fail (google.com: domain of service@amazon.de does not designate 185.9.41.41 as permitted sender) client-ip=185.9.41.41;
Authentication-Results: mx.google.com;
       spf=fail (google.com: domain of service@amazon.de does not designate 185.9.41.41 as permitted sender) smtp.mail=service@amazon.de;
       dmarc=fail (p=QUARANTINE dis=QUARANTINE) header.from=amazon.de
Received: from localhost (localhost [127.0.0.1])
 by mail.avk.ua (Postfix) with ESMTP id CF747D71C5C
 for <***@gmail.com>; Fri,  6 Mar 2015 09:05:19 +0200 (EET)
Received: from mail.avk.ua ([127.0.0.1])
 by localhost (mail.avk.ua [127.0.0.1]) (amavisd-new, port 10032)
 with ESMTP id L8mDfcmN15pv for <***@gmail.com>;
 Fri,  6 Mar 2015 09:05:17 +0200 (EET)
Received: from localhost (localhost [127.0.0.1])
 by mail.avk.ua (Postfix) with ESMTP id 3053ED71C59
 for <***@gmail.com>; Fri,  6 Mar 2015 09:05:17 +0200 (EET)
X-Virus-Scanned: amavisd-new at dkf.avk.ua
Received: from mail.avk.ua ([127.0.0.1])
 by localhost (mail.avk.ua [127.0.0.1]) (amavisd-new, port 10026)
 with ESMTP id 0Ngqvxo2Kzel for <***@gmail.com>;
 Fri,  6 Mar 2015 09:05:17 +0200 (EET)
Received: from [89.163.212.23] (unknown [95.80.108.179])
 by mail.avk.ua (Postfix) with ESMTPSA id 1D12BD71C54
 for <***@gmail.com>; Fri,  6 Mar 2015 09:05:13 +0200 (EET)
Message-Id: 
Mime-Version: 1.0
From: service@amazon.de
To: "noddeat" <***@gmail.com>

АВК — це така шоколадна фабрика, головний офіс якої знаходиться у зоні АТО, ну, ви знаєте. До речі, її продукція все ще продається? По ходу, адмінам фабрики затримують зарплату, і вони підробляють розсиланням спаму з серверів компанії. Євроінтеграція України починається з інтеграції мафіозних структур, по ходу.

Правда, whois IP 185.9.41.41 (mail.avk.ua) виходить зовсім не на Донецьк:

inetnum:         185.9.40.0 - 185.9.43.255
netname:         UA-DENOVO-20121106
descr:           Limited Liability Company "De Novo"
country:         UA
org:             ORG-LLCN6-RIPE
...
org-name:        Limited Liability Company "De Novo"
org-type:        LIR
address:         Limited Liability Company "De Novo"
address:         Sergiy Avramenko
address:         Pivnichno-Syretska street, 1-3
address:         04136
address:         Kyiv, POB 126
address:         UKRAINE

«Де Ново», блять, — це київська контора, шо надає хмарові сервіси. У мене нема сумніву, шо вони непричетні до спаму: по ходу, «АВК» орендує в них серваки, а підараси-адміни розсилають спам (тепер неясно, вони у Києві чи таки на Донбасі).

Цікаво, є сенс скаржитись і куди? Яка ймовірність, шо це закінчиться чимось серйознішим, ніж маханням пальчиком «но-но-но, не роби так»? Бо я колись давно писав в аб’юз українського провайдера, відповідь була в стилі «доведіть, шо на Донбасі є російські війська».

Comments

[n-l-d.livejournal.com]

Может еще быть дырявый постфикс, например, т.к. все админы в беженцах. Ну, не суть.

Некоторые украинские провайдеры, да, весьма bulletproof. Я когда-то даже собеседовался по незнанию в одну небезызвестную (как выяснилось) контору в этой сфере.

Еще люди жаловались, что наша академическая сеть (UARNet) была просто-таки рассадником.

И да, можешь написать в абуз De Novo. Только что пробил по Спамхаусу, не числятся. Ни IP, ни домен.

[noddeat.livejournal.com]

«Может еще быть дырявый постфикс, например, т.к. все админы в беженцах. Ну, не суть.»

може бути, так.

>И да, можешь написать в абуз De Novo. Только что пробил по Спамхаусу, не числятся. Ни IP, ни домен.
ага, ок, так і думав зробити.

[(Anonymous)]

Цукерки їхні продаються ще й як, люди купують на ура. Правда, на упаковках місце в-тва пишуть вже Дніпропетровськ, а юрадреса досі Донецьк.

[noddeat.livejournal.com]

ну, юрадресу я так розумію дуже геморно поміняти (наскільки я пам’ятаю, коли працював, при переїзді контора не міняла її).

[ichthuss]

Мої аргументи на користь шапочки з фольги для всіх безконтактних карток з приватними даними і паспортів досі непереконливі?

[noddeat.livejournal.com]

Звичайно.

Колись я десь дістав книжку про «хакерів», де я думав, шо зможу навчитися софістикованим методам ламання мереж. Але книжка була на 90% про те, як копатися в смітниках і знаходити там дискети з приватними даними. Я був розчарований.

Але, саме це і є реальність: шапочка з фольги від безконтактних карток набагато менш актуальна, ніж шредер (у мене вдома є, до речі).

[ichthuss]

>Яка ймовірність, шо це закінчиться чимось серйознішим,
>ніж маханням пальчиком «но-но-но, не роби так»?

В той нетривалий проміжок часу, який я пропрацював в одному з київських хостинг-провайдерів, з’ясував, що конкретно вони до аб’юзів ставляться досить серйозно: за деякі речі блокують зразу, щодо деяких вимагають за короткий термін виправити (в тому числі, розсилка спаму, що підтверджується внутріншім моніторингом, одразу закінчувалась блокуванням 25 вихідного порту, до з’ясування). З міліцією зв’язуватись сильно не хочуть. Про інших не скажу.

[noddeat.livejournal.com]

ага, ок, знач, напишу Де Ново, а вони хай вирішують шо робити.

[ichthuss]

Тут ще такий нюанс є - багато поштових блеклістів типу спамхаусу при повідомленні про спам іноді блокують цілі діапазони айпішників, і у провайдерів потім проблема пояснити своїм порядним клієнтами, чому у них пошта не ходить. Тому нормальні провайдери намагаються не доводити діло до блеклістингу їх адрес.

[eugenius-uk.livejournal.com]

Ну можете поскаржитися моторолі, якщо він ще живий :)

[noddeat.livejournal.com]

ггг