Angebliche E-Mail der L-Bank bezüglich Corona Zuschuss

Heute trudelte doch bei uns eine E-Mail über unseren beantragten Corona Zuschuss ein. Vermeintlich soll diese E-Mail von der L-Bank kommen. In dieser E-Mail werden wir aufgefordert ein PDF im Anhang auszufüllen und ausgefüllt an eine E-Mail Adresse zu senden um nicht Gefahr zu laufen was zu falsch gemacht zu haben.

Nur komisch. Wir haben gar keine Corona Zuschüsse irgendwo angefordert. Daher kam uns diese E-Mail schonmal suspekt vor und wurde genauer unter die Lupe genommen.

Als ersten mal die E-Mail Adresse an die wir unser ausgefülltes PDF Dokument senden sollen angeschaut. Diese lautet:

corona-zuschuss@l-bank.de.com

Die L-Bank soll also eine “.de.com” Endung in Ihrer E-Mail Adresse haben. Eher wohl nicht. Aber immerhin sehr ähnlich der korrekten E-Mail Endung l-bank.de.

Wem gehört denn nun diese Domain l-bank.de.com?

Whois Server abgefragt und folgendes erhalten:

Domain name: L-BANK.DE.COM
Registrant Name: Marat Muldaev
Registrant Organization: Private Person
Registrant Street: ul. Obedeneniya 24/1
Registrant City: Novosibirsk
Registrant State/Province: Novosibirsk
Registrant Postal Code: 630020
Registrant Country: RU
Registrant Phone: +7.9163885774
Registrant Phone Ext:
Registrant Fax: +7.9163885774
Registrant Fax Ext:
Registrant Email: rucklauf@mail.ru

Die L-Bank hat also eine Geschäftsstelle in Novosibirsk und registriert Domains auf private Personen. Wohl eher nicht!

Nun mal einen Blick in den Header der E-Mail:

Received: from hggl.l.dedikuoti.lt ([176.223.135.95]

War .lt nicht die Endung für Litauen? Ja stimmt. Kurz mal die Ripe-Datenbank unter www.ripe.net abgefragt und folgendes erhalten:

• inetnum: 176.223.128.0 – 176.223.143.255
• netname: LT-LITHUANIA-20111129
• country: LT
• org: ORG-Uv2-RIPE
• admin-c: IVH-RIPE
• tech-c: IVH-RIPE
• status: ALLOCATED PA
• remarks: www.serveriai.lt
• mnt-by: RIPE-NCC-HM-MNT
• mnt-by: SERVERIAI-LT
• mnt-routes: MNT-LT-RACKRAY

Die E-Mail wird mit einer Absenderadresse einer Domain die in Russland registriert ist von einem Server eines dedicated Server Anbieters aus Litauen versendet. Das kann keine E-Mail direkt von der L-Bank sein!

Alles in allem eine Fake Mail die darauf aus ist, Daten abzufangen, um dann die Corona Hilfen selbst in die Tasche zu stecken.

Drum gerade jetzt in dieser Zeit Augen auf wer einem da eine E-Mail zu diesem Thema schreibt und woher diese kommt.