[milos_rs]

neka nova kampanja izgleda...

   

Code:

Authentication-Results: spf=none (sender IP is 69.48.170.45) smtp.mailfrom=arcabas.rs; dkim=none (message not signed) header.d=none;dmarc=none action=none header.from=arcabas.rs;compauth=fail reason=001 Received-SPF: None (protection.outlook.com: arcabas.rs does not designate permitted sender hosts) Received: from mail4.arcabas.com (69.48.170.45) by AMS0EPF00000193.mail.protection.outlook.com (10.167.16.212) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.20.7091.26 via Frontend Transport; Thu, 14 Dec 2023 06:12:57 +0000 From: =?utf-8?Q?P=E2=80=8Eo=E2=80=8E=C5=A1t=E2=80=8Ea-S=E2=80=8Er=E2=80=8Eb=E2=80=8Ei=E2=80=8Ej=E2=80=8Ee?= <[email protected]> To: Undisclosed-Recipients:; Return-Path: [email protected]

ali arcabas.rs ne postoji, a arcabas.com nema sajt i relativno je sveže registrovan i koristi gandi hosting mejl

link u mejlu je utraker .com/a5QD7 i redirektuje:

   

ali krajnji host kada se otvara iz browsera je online-posta-rs.kaffeewirtschaft .gmbh/rs/acc/

   

slanje kartice na server, kao i slanje SMS 2FA koji traži ide preko parametara na online-posta-rs.kaffeewirtschaft.gmbh/rs/index.php

EDIT: na stranici blokiraju desni klik, dev tools, skrinšote i tako to, takođe imaju isti iznos i isti broj za praćenje kao ova druga kampanja, tako da je verovatno deo iste ekipe https://bezbedanbalkan.net/thread-962.html