United Internet for Unicef

Andreas Kohlbach

unread,

Jun 5, 2013, 6:12:51 PM6/5/13

to

Hat noch jemand eine Mail "von" United Internet for Unicef" die Tage
bekommen?

Leider habe ich die schon gelöscht.

Obwohl die Header eher "sauber" aus sahen, wurde eine Adresse von mir
angeschrieben, mit der ich mich nirgends, auch nicht bei 1&1 (web.de, GMX
und so) registriert hatte.

Ich wurde außerdem mit "Sehr geehrter Herr Ankman Ankman" angeredet. Was
auch nicht mein Name ist, aber Teil betreffender Email Adresse.

Fällt mir schwer zu sagen, ob das echt (vielleicht habe ich mich vor
Jahrzehnten doch mal mit der Adresse irgendwo angemeldet) war, Spam oder
gar Phishing.
--
Andreas
43. If I knew it wasn't going to work, I would have tested it sooner.
--Top 100 things you don't want the sysadmin to say

Florian Weimer

unread,

Jun 6, 2013, 4:23:49 PM6/6/13

to

* Andreas Kohlbach:

> Hat noch jemand eine Mail "von" United Internet for Unicef" die Tage
> bekommen?

Das hier?

From: 1&1 Internet AG <autom...@1und1.de>
Subject: Hunger in Ostafrika: Helfen Sie den Kindern!
Date: Fri, 15 Jul 2011 17:14:44 +0200 (CEST)

Die Version, die vor ein paar Tagen hereinkam, habe ich aber auch
nicht mehr.

Andreas Kohlbach

unread,

Jun 6, 2013, 5:39:42 PM6/6/13

to

Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
deren Webseite). Wobei beide Domains eben dort gehostet sind. Was mich
stutzig machte, und nicht von einem Phish ausgehen ließ.

IIRC wurde der Spam auch über die Server von 1&1 gesendet. Was aber
selbst nichts heißen muss, weil 1&1 z.B. Spammer auf deren
URL-Shorten-Service auch nach mehreren Complaints nicht
entfernt. Entweder sind die überfordert, oder werden black hat.

Marc Haber

unread,

Jun 8, 2013, 5:00:34 PM6/8/13

to

Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
>bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
>deren Webseite). Wobei beide Domains eben dort gehostet sind.

Das sind Kundendomains. vergleiche mal die NS-Records einer
Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
gmx.de.

Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " | http://www.zugschlus.de/
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

Andreas Kohlbach

unread,

Jun 8, 2013, 8:06:41 PM6/8/13

to

Marc Haber wrote on 08. June 2013:
>
> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
>>bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
>>deren Webseite). Wobei beide Domains eben dort gehostet sind.
>
> Das sind Kundendomains. vergleiche mal die NS-Records einer
> Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
> gmx.de.

Ja. Das war es, was mich stutzig macht. Da 1&1 ja auch "United Internet"
ist, wäre es dumm, wenn das Phishing wäre. Also sich als "United
Internet" auszugeben, *und* auch noch die Domain(s) dort zu haben.

Dann sehen die Webseiten dahinter aber eher amateurhaft aus. Und man
benutzt Paypal für die Spende. Sehr unprofessionell, wenn das United
Internet und/oder gar UNICEF sein sollte.

Ich kann es also nicht einschätzen, was das sein soll.

Marc Haber

unread,

Jun 9, 2013, 9:25:47 AM6/9/13

to

Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>Marc Haber wrote on 08. June 2013:
>> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>>Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
>>>bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
>>>deren Webseite). Wobei beide Domains eben dort gehostet sind.
>>
>> Das sind Kundendomains. vergleiche mal die NS-Records einer
>> Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
>> gmx.de.
>
>Ja. Das war es, was mich stutzig macht. Da 1&1 ja auch "United Internet"
>ist, wäre es dumm, wenn das Phishing wäre. Also sich als "United
>Internet" auszugeben, *und* auch noch die Domain(s) dort zu haben.

Warum? Darauf fallen Leute doch rein?

Florian Weimer

unread,

Jun 9, 2013, 2:55:53 PM6/9/13

to

* Marc Haber:

> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
>>bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
>>deren Webseite). Wobei beide Domains eben dort gehostet sind.
>
> Das sind Kundendomains. vergleiche mal die NS-Records einer
> Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
> gmx.de.

Es ist nur die technische Implementierung, so richtig "Kunde" ist es
nicht:

<http://www.united-internet-for-unicef-stiftung.de/impressum.html>

Das ist auch nicht gefälscht:

<http://blog.1und1.de/2010/10/07/stiftung-united-internet-for-unicef-hilft-kindern-in-not/>

Andreas Kohlbach

unread,

Jun 9, 2013, 7:27:06 PM6/9/13

to

Marc Haber wrote on 09. June 2013:
>
> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>Marc Haber wrote on 08. June 2013:
>>>
>>> Das sind Kundendomains. vergleiche mal die NS-Records einer
>>> Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
>>> gmx.de.
>>
>>Ja. Das war es, was mich stutzig macht. Da 1&1 ja auch "United Internet"
>>ist, wäre es dumm, wenn das Phishing wäre. Also sich als "United
>>Internet" auszugeben, *und* auch noch die Domain(s) dort zu haben.
>
> Warum? Darauf fallen Leute doch rein?

Weil es wahrscheinlicher ist, dass sie gekickt werden.

Ist wie mit Nigeria Scammern, die eine @gmail.com Dropbox haben, und auch
von Gmail Servern selbst senden.
--
Andreas

Linux - The choice of a GNU generation

Marc Haber

unread,

Jun 12, 2013, 11:00:42 AM6/12/13

to

Da hast Du natürlich recht. Manchmal sollte man sich die Seiten auch
wirklich angucken und nicht nur auf den DNS schielen.

Andreas Kohlbach

unread,

Aug 28, 2013, 7:02:04 PM8/28/13

to

Marc Haber wrote on 09. June 2013:
>
> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>Marc Haber wrote on 08. June 2013:
>>> Andreas Kohlbach <june13....@spamgourmet.com> wrote:
>>>>Nein, IIRC hatte die newsl...@news.united-internet-for-unicef.de
>>>>bzw. ma...@united-internet-for-unicef.org in Header und Body (oder auf
>>>>deren Webseite). Wobei beide Domains eben dort gehostet sind.
>>>
>>> Das sind Kundendomains. vergleiche mal die NS-Records einer
>>> Kundendomain von 1&1 mit denen von 1und1.de, kundenserver.de, web.de,
>>> gmx.de.
>>
>>Ja. Das war es, was mich stutzig macht. Da 1&1 ja auch "United Internet"
>>ist, wäre es dumm, wenn das Phishing wäre. Also sich als "United
>>Internet" auszugeben, *und* auch noch die Domain(s) dort zu haben.
>
> Warum? Darauf fallen Leute doch rein?

Gestern kam wieder mal einer rein. Diesmal habe ich ihn noch nicht
gelöscht. Hier mal gekürzt (sorry für die langen Zeilen). Ging an meine
spamfence Adresse, die ich aber entstellt habe:

=======================================================================

Return-Path: <newsl...@news.united-internet-for-unicef.de

[Forwarders]

Received: from [212.6.134.3] (helo=postman-203.xqueue.com)
by mx.expurgate.net with ESMTP (eXpurgate 4.0.1)
(envelope-from <newsl...@news.united-internet-for-unicef.de>)
id 521ccd73-0d4c-c0a803330019-d4068603e2ca-1
for <me1ne...@spamfence.net>; Tue, 27 Aug 2013 18:01:55 +0200
DKIM-Signature: v=1; a=rsa-sha1; c=relaxed/relaxed; s=xq; d=news.united-internet-for-unicef.de;
h=From:Subject:Date:To:Reply-To:Message-ID:List-Unsubscribe:MIME-Version:Content-Type; i=newsl...@news.united-internet-for-unicef.de;
bh=LQr2o0PzWFElWdkMhXmdBSWAsaY=;
b=SlhWBl9g/hxnTlq/QQo6ZUkuIK6yvrR/tuBBoNAumt7UelMiPBlYEQysHnwJf74TXyZSgyXt05Dm
W047mUn1VT7YaQdPKYZStkVNCQl3gVt/To0fu2i21ZSYBBI+Qga0Y2RrPQvGepcNpPRohKLWjiXA
EhU6PDTGY4VZv+zjoNQ=
Received: from xen-mg-6-3.p2.xq (10.4.1.94) by postman-201.xqueue.com id h3j6n60t5p8v for <me1ne...@spamfence.net>; Tue, 27 Aug 2013 18:01:55 +0200 (envelope-from <newsl...@news.united-internet-for-unicef.de>)
X-CSA-Complaints: whitelist-...@eco.de
From: Stiftung United Internet for UNICEF <newsl...@news.united-internet-for-unicef.de>
Subject: Jetzt helfen - Eine Million Kinder aus Syrien auf der Flucht
Date: Tue, 27 Aug 2013 18:01:54 +0200
X-MG-Version: 1.1
To: me1ne...@spamfence.net
Reply-To: newsl...@news.united-internet-for-unicef.de
Message-ID: <1377619314745.2044273353@xen-mg-6-3.p2.xq>
List-Unsubscribe: <mailto:newsl...@news.united-internet-for-unicef.de?subject=unsubscribe>
X-Queue-Message-ID: 2044273353
X-EVENT: XXXXXXX
X-Mailer: xqmail_2.0d
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_Part_30_5765970.00789548NORMA"

[...]

Tess Ulrich
Vorstandsvorsitzende

Stiftung United Internet for UNICEF
H=F6ninger Weg 104
50969 K=F6ln
Deutschland
Tel: +49 (0)800 - 6333 633=20
Fax: +49 (0) 221 / 93650-279
E-Mail: ma...@united-internet-for-unicef.org

[...]

Wollen Sie diesen Newsletter in Zukunft nicht mehr erhalten, klicken=
Sie bitte hier:
http://news.united-internet-for-unicef.de...

[...]

===================================================================

Danach nochmal per HTML rein gekotzt.

Ich bin mittlerweile der Meinung, die Mail ist techisch kein Spam. Da
ich zum einen mit meinem Namen angesprochen wurde (machen richtige
Spammer selten), und ich bei der Firma auch mal Kunde war. Auch sieht der
Mailheader "sauber" aus. Ist also auch kein Phishing.

Was mich aber stört, dass ich IIRC nicht mit dieser Email Adresse dort
registriert war. Und es kein Kleingedrucktes gibt, was sagt, warum ich
das bekomme.

Hat das die Tage noch jemand bekommen? War er dann Kunde von 1&1 oder nicht?