Phising Mail von AON??

[radditz]

April 2007


An Ihre aon E-Mail-Adresse (aon.*****@aon.at) werden alle wichtigen Informationen zu Ihrem aon Internetzugang gesendet.
Dazu gehören z.B. die automatische Benachrichtigung

* wenn Sie 80% bzw. 100% Ihres monatlichen Datenguthabens erreicht haben,
* Produktverbesserungen wie die Erhöhung von Bandbreiten oder die Erweiterung Ihres Datenguthabens und
* selbstverständlich sämtliche Bestellbestätigungen von Zusatzpaketen (z.B. aonVirenchecker).

Diese und sämtliche anderen Nachrichten, die Sie an Ihren aon E-Mail-Account bekommen, können Sie auch über Ihre hauptsächlich verwendete E-Mail-Adresse (z.B. GMX oder Hotmail) abrufen.

Das Einzige, was Sie dafür machen müssen, ist die Weiterleitung Ihrer aon E-Mail-Adresse zu aktivieren - und schon sind Sie immer auf dem Laufenden!

Ihre Vorteile liegen auf der Hand: Sie rufen nur noch Ihre hauptsächlich genutzte E-Mail-Adresse ab und sind damit auch immer über Ihren aon Internetzugang bestens informiert! Darüber hinaus müssen Sie sich nicht viele Passwörter von verschiedenen E-Mail-Accounts merken.

Freundliche Grüße
Ihr aon Team

Darunter dann noch eine Anleitung, Infos dass ich 0800 100 130 anrufen kann wenn ich will und natürlich Links mit Phishing URLs...


Zum Beispiel:
http://195.3.97.201/linktracker/Linktra ... eitung.pdf
http://195.3.97.201/linktracker/Linktra ... www.aon.at

ein traceroute auf diese IP Adresse ergibt
Routenverfolgung zu laus.telekom.at [195.3.97.201] über maximal 30 Abschnitte:

1 3 ms <1 ms <1 ms www.routerlogin.com [10.17.0.254]
2 9 ms 9 ms 8 ms 62.47.95.239
3 8 ms 8 ms 9 ms 172.19.91.193
4 14 ms 16 ms 15 ms 195.3.70.37
5 16 ms 15 ms 15 ms 195.3.70.37
6 15 ms 16 ms 14 ms 195.3.70.58
7 15 ms 15 ms 15 ms 172.16.94.178
8 * * * Zeitüberschreitung der Anforderung.


Das seltsamse ist ja: ich ahbe diese e-mail auf meine GMX.at adresse bekommen. Die Adresse ist der Telekom Austria von irgendwoher bekannt (vermutlich damals bei der aon.tv Anmeldung...)

HIer die E-Mail Header:

From - Wed Apr 04 09:48:51 2007
X-Account-Key: account2
X-UIDL: 1a2fed1be9cb8d524f9a1e08cc3cc685
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <[email protected]>
X-Flags: 1001
Delivered-To: GMX delivery to *********@gmx.at
Received: (qmail invoked by alias); 03 Apr 2007 20:56:11 -0000
Received: from mailex6.telekom.at (EHLO mailex6.telekom.at) [195.3.97.76]
by mx0.gmx.net (mx033) with SMTP; 03 Apr 2007 22:56:11 +0200
Received: from [192.168.108.19] (helo=jtsawvcb7.telekom.at)
by mailex6.telekom.at with esmtp (Exim 4.62)
(envelope-from <[email protected]>)
id 1HYq30-0008St-KW
for*********@gmx.at; Tue, 03 Apr 2007 22:56:10 +0200
Received: from mail2.pta.at (Not Verified[195.3.97.60]) by jtsawvcb7.telekom.at with MailMarshal (v6,1,8,2172)
id <B4612bf6a0001>; Tue, 03 Apr 2007 22:56:10 +0200
Received: from n1pomms2_boot1 by mail2.pta.at (8.10.2/1.1.2.10/26Mar01-0449PM)
id l33KuA60000008089; Tue, 3 Apr 2007 22:56:10 +0200 (MET DST)
Message-ID: <[email protected]>
Date: Tue, 3 Apr 2007 21:56:10 +0100 (GMT+01:00)
From: "[email protected]" <[email protected]>
To: "*********@gmx.at" <*********@gmx.at>
Subject: =?ISO-8859-1?Q?Weiterleitung_Ihrer_pers=F6nlichen_aon_E-Mail-Adresse?=
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_Part_123183_1363038526.1175633770333"
X-GMX-Antivirus: -1 (not scanned, may not use virus scanner)
X-GMX-Antispam: 0 (Mail was not recognized as spam)

Außerdem ist die E-Mail in HTML verfasst und beinhaltet Grafiken von brazil.aon.at

<table align=3D"center" background=3D"http://brazil.aon.at/imag=
es/soho/bg_bildbereich_bottom.gif" border=3D"0" cellpadding=3D"0" cellspaci=
ng=3D"0" width=3D"550"> =20
<tr> =20
<td width=3D"8">
<img height=3D"34" src=3D"http://brazil.aon.at/imag=
es/soho/blank.gif" width=3D"8"/>
</td> =20
<td width=3D"176">=A0</td> =20
<td width=3D"15">
<img height=3D"5" src=3D"http://brazil.aon.at/image=
s/soho/blank.gif" width=3D"15"/>
</td> =20
<td width=3D"343">=A0</td> =20
<td width=3D"10">
<img height=3D"5" src=3D"http://brazil.aon.at/image=
s/soho/blank.gif" width=3D"8"/>
</td> =20
</tr>
</table>

Was haltet ihr davon?

edit: Laut Support-Hotline ist das von der Telekom gekommen, und das ganze soll vertrauenswürdig sein

[max_payne]

Was haltet ihr davo?

frag [email protected]

[wicked_one]

195.3 is definitiv was ausm aon Netz... ich würd eine abuse-Meldung schreiben, sehr suspekt das ganze

[ANOther]

und was is jetz suspekt?

ich kenn router, die heissen wie biere, ich kenn einen proxy, der heisst schlumpfhausen, auch kenn ich server, die haben alt-gallische namen, ein mir bekannter router heisst hermes, ....

warum sollte eine sub(!) von aon nicht brazil heissen?

[wicked_one]

der inhalt des mails... is net des übliche bürokraten deutsch

[ANOther]

scheint eben, dass bei aon einige alte beamte in rente gegangen sind (oder zum zoll abgeschoben, wwi), und leute texten, deren namen nicht "hofrat" beinhalten...

[max_payne]

also brazil passt definitiv, den namen hab ich schon seit längerem gehört

[Hary74656]

Das ist ein simpler Hinweis für Kunden die ihre Mailboxen selten oder gar nicht verwenden, da es immer wieder Kunden gibt die sich darüber beschweren weil sie keine automatische auskunft erhalten wenn sie ihr Datenvolumen überschreiten, was sie allerdings doch bekommen, nur nie abfragen, zum Beispiel.

Sind keine Phisher, sind in der Tat Mails von Aon.

Wenn man die ip in der url öffnet kommt man übrigens auf die ta telefon services (ja das is die echte seite )

[jutta]

man koennte der ta (und anderen providern) aus gegebenem anlass nahebringen, dass html-mails nicht dazu geeignet sind, den eindruck von vertrauenswuerdigkeit und professionalitaet zu erwecken. (und dass die elendslangen urls auf der aon-hompage denkbar unpraktisch sind)

[ANOther]

bei solchen mails isses doch nur wichtig dass sie bunt sind...

[barbakuss]

zumindest dem 0815 Kunden isses wichtig das es bunt ist und viele bilder drauf sind, am besten wäre dann noch ein schöner hintergrund

oh schreck bei der email kultur tun sich abgründe auf