Envelope-to: info@keylisting.net
Delivery-date: Wed, 14 Oct 2020 03:30:51 +0200
Content-Transfer-Encoding: 7bit
Content-Type: multipart/mixed; boundary="_----------=_16026390082846880"
MIME-Version: 1.0
Date: Wed, 14 Oct 2020 02:30:08 +0100
From: Netcraft Takedown Service <takedown-response+12141695@netcraft.com>
Subject: Re: Issue 12141695: phishing attack at hxxps://keylisting[.]net/account/netlfx/com/Login/Moncompte/Paiement/26408ffa703a72e8ac0117e74ad46f33/signin.php?country=IN-India&lang=en
To: info@keylisting.net
Message-Id: <4069c0009737e9a0f6c661e018d9d6a9@takedown.netcraft.com>
Auto-Submitted: auto-generated

This is a multi-part message in MIME format.

--_----------=_16026390082846880
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
Content-Type: text/plain; charset="UTF-8"

Hallo,

Sie hosten zur Zeit einen Phishing-Angriff:

hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID [144.91.73.250]
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/index [144.91.73.250]
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login [144.91.73.250]
hxxps://keylisting[.]net/wp-includes/pomo/Y65950ID/ [144.91.73.250]
hxxps://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login [144.91.73.250]

Dieser Angriff nutzt IP-Adress-Beschränkungen, um einige Benutzer (etwa Strafverfolgungsbehörden und Webhoster) daran zu hindern, die Seite sehen zu können. Wenn die Seite offline erscheint, versuchen Sie es bitte mit einem Proxy und/oder überprüfen Sie, ob die Dateien auf dem Server sind, bevor Sie davon ausgehen, dass die Seite tatsächlich offline genommen wurde.
Wir haben Sie zuvor wegen dieses Problems unter 2020-10-13 17:30:19 (UTC) kontaktiert.
Seit unserer letzten Benachrichtigung wurden die folgenden zusätzlichen URL(s) erkannt:

hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/index
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login

Wir möchten Sie darauf hinweisen, dass, auch wenn Sie bisher nichts von diesem Angriff gewusst haben, es dennoch in Ihrer Verantwortung liegt, diesen Inhalt so schnell wie möglich zu entfernen.

Dieser Angriff zielt auf einen unserer Kunden, Netflix, ab. Die echte Website unseres Kunden ist auf https://www.netflix.com/ zu finden.

Bitte löschen Sie diesen und jeden damit verbundenen betrügerischen Inhalt so bald wie möglich.

Darüber hinaus senden Sie bitte eine E-Mail mit dem betrügerischen Inhalt an records@netflix.com, damit unser Kunde und die Strafverfolgungsbehörden diesen Vorfall weiter untersuchen können.

Weitere Informationen finden Sie unter https://incident.netcraft.com/edb1b2c5792b/

Mit freundlichen Grüßen,

Netcraft

Phone: +44(0)1225 447500
Fax: +44(0)1225 448600
Netcraft Issue Number: 12141695

Um Aktualisierungen über diesen Angriff zu erhalten, antworten Sie bitte auf diese E-Mail. Bitte beachten Sie: Antworten auf diese Adresse werden zwar protokolliert, aber nicht immer gelesen. Wenn Sie mehr Unterstützung benötigen, oder glauben, Sie haben diese E-Mail irrtümlich erhalten, kontaktieren Sie bitte: takedown@netcraft.com.

Diese E-Mail kann mit X-ARF-Tools geparsed werden. Weitere Informationen über X-ARF-Tools finden Sie unter http://www.xarf.org/
-------------------
Hello,

We have discovered a phishing attack located on your network:

hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID [144.91.73.250]
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/index [144.91.73.250]
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login [144.91.73.250]
hxxps://keylisting[.]net/wp-includes/pomo/Y65950ID/ [144.91.73.250]
hxxps://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login [144.91.73.250]

This attack is using IP address restrictions to prevent some users, such as law enforcement agencies and hosting companies, from seeing the attack. If the attack appears to be offline, please try to view the attack using a proxy and/or see if the files are physically on the server before assuming the attack has been taken offline.
We previously contacted you about this issue on 2020-10-13 17:30:19 (UTC).
Since our last notification, the following additional URL(s) have been detected:

hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/index
hxxp://keylisting[.]net/wp-includes/pomo/Y65950ID/app/login

You may not have been aware of this attack, however, you are still responsible for removing it.

This attack targets our customer, Netflix, website URL https://www.netflix.com/.

Please remove this fraudulent content, and any other associated fraudulent content, as soon as possible.

Additionally, please send any files associated with the fraudulent content to records@netflix.com so that our customer and law enforcement agencies can investigate the incident further.

More information about the detected issue is provided at https://incident.netcraft.com/edb1b2c5792b/

Kind regards,

Netcraft

Phone: +44(0)1225 447500
Fax: +44(0)1225 448600
Netcraft Issue Number: 12141695

To contact us about updates regarding this attack, please respond to this email. Please note: replies to this address will be logged, but aren't always read. If you believe you have received this email in error, or you require further support, please contact: takedown@netcraft.com.

This mail can be parsed with x-arf tools. Visit http://www.xarf.org/ for more information about x-arf.
--_----------=_16026390082846880
Content-Disposition: attachment; filename="report.txt"
Content-Transfer-Encoding: 8bit
Content-Type: text/plain; charset=utf-8; name="report.txt"; name="report.txt"

---
Attachment: none
Category: fraud
Date: 2020-10-13T23:07:41+00:00
Domain: keylisting.net
Port: 443
Report-ID: takedown-response+12141695@netcraft.com
Report-Type: phishing
Reported-From: takedown@netcraft.com
Schema-URL: http://www.xarf.org/schema/fraud_0.1.4.json
Service: https
Source: https://keylisting.net/account/netlfx/com/Login/Moncompte/Paiement/26408ffa703a72e8ac0117e74ad46f33/signin.php?country=IN-India&lang=en
Source-Type: uri
User-Agent: Netcraft Takedown

--_----------=_16026390082846880--