eventuelle Phishing Mail mit Ebay Layout und 1blu Link

Hallo liebe AV100 Leser,
in der letzten Zeit bekomme ich immer wieder mal Mails die auf den ersten Blick wie Anfragen von möglichen Ebay Käufern aussehen.
Siehe Foto

Heute z.B kam eine Mail mit einem Ebay Layout wie auf dem Foto zu sehen ist und folgendem Text.

Neue Nachricht von: ingoschroeter (1728 )
http://www.ebay.de/itm/Hoover-DYC-71013-NBX-10-kg-Kondenstrockner-EEK-Waschetrockner

Ich zahlte f”ur dieses Produkt.
Ich m”ochte wissen, wenn es geliefert wird?

Ich w”urde eine schnelle Antwort zu sch”atzen wissen.

Der Header der Email sieht dabei wie folgt aus.

Return-Path: ingoschroeter6759phfc@members.ebay.de
Received: from cp85.sp-server.net ([195.30.107.85]) by mx-ha.web.de (mxweb109) with ESMTPS (Nemesis) id 0MFvo2-1ZNoS62LSg-00Er8y for ; Fri, 11 Sep 2015 20:47:52 +0200
Received: from out-relay194102.hw.buf.ny.localnet.com ([207.251.194.102]:50479) by cp85.sp-server.net with esmtp (Exim 4.85) (envelope-from ) id 1ZaTMT-000ZSR-FU for ebay@pro-seo.de; Fri, 11 Sep 2015 20:47:51 +0200
Received: by out-relay194102.hw.buf.ny.localnet.com (Postfix, from userid 107) id 67E2F7407B; Fri, 11 Sep 2015 14:28:01 -0400 (EDT)
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on sa2.buf-hw.ny.localnet.com
X-Spam-Level: ***
X-Spam-Status: No, score=3.7 required=5.0 tests=HTML_MESSAGE,URIBL_PH_SURBL, URIBL_RED,URI_GOOGLE_PROXY,URI_HEX autolearn=no autolearn_force=no version=3.4.0
Received: from out-gateway1.hw.buf.ny.localnet.com (lb-lpbk-vl204-254.buf-hw.ny.localnet.com [10.30.204.254]) by out-relay194102.hw.buf.ny.localnet.com (Postfix) with ESMTP id 3D0E97409F for ; Fri, 11 Sep 2015 14:27:59 -0400 (EDT)
Received: from cpanel006.corecommhosting.com (cpanel006.corecommhosting.com [169.207.66.16]) (using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)) (No client certificate requested) by out-gateway1.hw.buf.ny.localnet.com (Postfix) with ESMTPS id 300807FC2 for ; Fri, 11 Sep 2015 14:27:58 -0400 (EDT)
Received: from host109-95-static.207-80-b.business.telecomitalia.it ([80.207.95.109]:62935) by cpanel006.corecommhosting.com with esmtpa (Exim 4.85) (envelope-from ) id 1ZaT32-0007Cu-Ds for ebay@pro-seo.de; Fri, 11 Sep 2015 14:27:58 -0400
Message-ID: <22D891C996426CCF13165FE367809A69@host109-95-static.207-80-b.business.telecomitalia.it>
From: “eBay”
To:
Subject: Neue Nachricht von: ingoschroeter
Date: Fri, 11 Sep 2015 20:25:06 +0200

Wohin der Link in der Mail führt habe ich natürlich nicht ausprobiert.
er zeigt auf jeden Fall auf eine bei 1blu gehostete URL
236943.webhosting63.1blu.de

1blu wurde vor kurzem Opfer eine Hacker Angriffes. Ob dies damit zu tun hat?
Siehe Erpressung bei 1blu.de

Wie dem auch sein. Die E-Mails wurden auf jeden Fall auf den Seiten von Ebay gecrwalt. Denn die Email Adresse im Header der Mail ist meinem gewerblichen Ebay Account zuzuordenen.

Vorsicht walten lassen ist also angebracht bei aller E-Mails von Ebay aber auch anderer Seiten.

Aktuell lässt sich die Mail schnell identifizieren weil die Codierung nicht ok ist und somit die Umlaute nicht richtig angezeigt werden.
Aber wer neugierig ist der wird mit hoher Wahrscheinlichkeit mit einem Schadcode oder was weiß ich auf seinem Rechner belohnt.

Grüße
Lothar