Ist die Mail von Eso echt oder eine Phishingmail

Fbuddib16_ESO

Ahoi alle

Ich habe heute folgende Mail in meinem Hotmail Postfach gefunden.
Da Ich weiß das viele Phishingmail im umlaufe sind wollte ich hier mal nachfragen ob die nun echt oder ein Fake ist.


...........................................................................................................

The Elder Scrolls Online (noreply@mail.elderscrollsonline.com)
Gesendet: Sonntag, 13. April 2014 11:05:12
An: f*************.de




Greetings!

It has come to our attention that you are trying to sell your personal Elder Scrolls Online. As you may not be aware of, this conflicts with the EULA and Terms of Agreement. If this proves to be true, your account can and will be disabled. If you wish to not get your account suspended you should immediately verify your account ownership.

You can confirm that you are the original owner of the account to this secure website with: :

https://account.elderscrollsonline.com/users************************************************************

If you ignore this mail your account can and will be closed permanently. Once we verify your account, we will reply to your e-mail informing you that we have dropped the investigation.

Warm Regards,

The Elder Scrolls® Online Team

........................................................................................................

Mein Mail Schutzprogramm sagt mir das das eine .....Als Betrugsversuch gemeldete Webseite! ........ist


Auch der Quelltext kommt mir sehr verdächtig vor:

................................................................................................................

x-store-info:4r51+eLowCe79NzwdU2kRyU+pBy2R9QCQJI6ZJ7tljaCvHlXIxOwPpBkRHdHsnfeQ8MqURO7nEp8fnl7vgsvWXcXrXLOVO3nKopDAf8zO9D4qwdB0EMjbzJvdv2NVFxKNJipneQWFgc=
Authentication-Results: hotmail.com; spf=none (sender IP is 211.115.205.23) smtp.mailfrom=rkquvskki@kywna.org; dkim=none header.d=mail.elderscrollsonline.com; x-hmca=none header.id=noreply@mail.elderscrollsonline.com
X-SID-PRA: noreply@mail.elderscrollsonline.com
X-AUTH-Result: NONE
X-SID-Result: NONE
X-Message-Status: n:n
X-Message-Delivery: Vj0xLjE7dXM9MDtsPTA7YT0wO0Q9MjtHRD0yO1NDTD02
X-Message-Info: 11chDOWqoTkflIrDT+PtgCxTMvJ7KEe0LS3KCy1RgTGn6LY2B2RqdByUdqt+xVA/+AXeLVJf7yGU43zRIPImkobKFpCVJJzmBCtSTCJ1FngULc82ssrbTaEx6iXmA+dujfnfx+wAshVgzb5JHK8+mpEbUM3ewCcgh72D7xSLicgRfCTs3RSgGCUqf6n9OQXzj2Q4GaK9bmfGHFc9ukaqpDVKi/lLuiVd
Received: from kywna.org ([211.115.205.23]) by COL0-MC2-F53.Col0.hotmail.com with Microsoft SMTPSVC(6.0.3790.4900);
Sun, 13 Apr 2014 02:05:11 -0700
Message-ID: <5134638DBE7844CA4558D3BD604EDD75@kywna.org>
From: "The Elder Scrolls Online" <noreply@mail.elderscrollsonline.com>
To: <f*************.de>
Subject: Elder Scrolls Online -Account Ownership
Date: Sun, 13 Apr 2014 17:05:01 +0800
MIME-Version: 1.0
Content-Type: text/html;
charset="utf-8"
Content-Transfer-Encoding: base64
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.5512
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.5512
Return-Path: rkquvskki@kywna.org
X-OriginalArrivalTime: 13 Apr 2014 09:05:11.0422 (UTC) FILETIME=[799C21E0:01CF56F7]
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................................................................

Nun ..........Echt oder Fake ?


mfg
Frankbuddi


ps: meine Email Adresse habe ich unkentlich gemacht

Roibeard

Nimm schnell wie möglich den Link aus Deinem Post raus. Wenn es keine legitime Mail ist, dann will Dich ein Angreifer dazu bringen, diesen Link anzuklicken und irgendwas mit Deinem Account zu machen. Diesen Link kann aber nun jeder anklicken.

Alles andere kann man danach immer noch prüfen.

Fbuddib16_ESO

Roibeard schrieb: »

Nimm schnell wie möglich den Link aus Deinem Post raus. Wenn es keine legitime Mail ist, dann will Dich ein Angreifer dazu bringen, diesen Link anzuklicken und irgendwas mit Deinem Account zu machen. Diesen Link kann aber nun jeder anklicken.

Alles andere kann man danach immer noch prüfen.

Danke

Habs gemacht

Roibeard

Ok, es wäre vermutlich aber nichts passiert - ich wollte jedoch die Möglichkeit so schnell wie möglich ausschließen, bevor ich mir die Mail genauer ansehe.

Was dahinter steckt: Du hast eine HTML-Mail bekommen, in der dieser Link zu vermeintlichen Account-Seite von ESO lediglich so aussehen soll als wäre er legitim. In Wirklichkeit führt dieser Link zu einer Seite, die unterhalb der Domain (gekürzt) ...com.crul.co.vu gehostet wird. Die Seite dort sieht der echten Login-Seite zum Verwechseln ähnlich. Es handelt sich also um eine klassische Phishing-Mail, durch die Du dazu gebracht werden sollst, Deine Account-Daten den Betrügern zu verraten.

Daher noch der generelle Rat: Um sich in irgendeinen Account einzuloggen (egal ob es um ein MMO, seinen Mail-Dienst oder gar sein Bankkonto handelt), sollte man niemals Links aus Mails folgen, in denen man dazu aufgefordert wird. Stattdessen sollte man die vertraute URL zur Account-Seite immer selbst in den Browser eingeben (selbstverständlich die URL, die man schon immer verwendet, nicht etwa einen betrügerischen Link aus der Mail abtippen) oder ein Lesezeichen im Browser verwenden, das man selbst angelegt hat.

Rhonson

Wieso sollten sie dir nun auf englisch schreiben?

Fbuddib16_ESO

Danke @Roibeard für deine schnelle analyse der Mail

Hat meine Verdacht also gestimmt

Metacon

Einfacher Tip:

vom Quelltext der mail diejenige Received: -Zeile nehmen die am weitesten unten steht.. in Deinem Fall ist das:
"Received: from kywna.org ([211.115.205.23]) by COL0-MC2-F53.Col0.hotmail.com with"

Die Mail wurde also urspruenglich verschickt von jemand, der behauptet "kywna.org" zu heissen - und seine IP-Adresse ist 211.115.205.23

Nun mal kurz gucken, wo man diese IP-hinstecken muss, oder obs nen echten Domainnamen dazu gibt:

Dazu gibt viele Internet Tools die die den Ort oder Registrierungsdaten einer IP anzeigen.. eine davon ist www.infosniper.net

Raus kommt dann folgendes:
http://www.infosniper.net/index.php?ip_address=211.115.205.23&map_source=1&overview_map=1&lang=2&map_type=1&zoom_level=7

Der besagte Absender sitzt also in Seoul in Korea.
Nun kannst Du dreimal raten, wie wahrscheinlich es ist, dass der Mailserver von Zenimax in Korea sitzt, waehrend alle anderen Server von Zenimax in Amerika sind....