追踪钓鱼邮件结果“开盒”了奶牛老师

[littlewu2508]

YY Wu, [2023/12/8 上午8:56]
我清华邮箱又收到诈骗邮件了

Received: from mail.tsnighua.cn (unknown [166.111.204.6])
        by web2 (Coremail) with SMTP id yQQGZQCXR2EuXHJlc2PIAg--.50787S3;
        Fri, 08 Dec 2023 07:58:38 +0800 (CST)
Received: from phish-admin (smtp03.tsinghua.edu.cn [101.6.4.27])
        by mail.tsnighua.cn (Postfix) with ESMTPSA id 99835289400F
        for <我的邮箱>; Fri,  8 Dec 2023 00:00:34 +0000 (UTC)
Mime-Version: 1.0
Date: Fri, 08 Dec 2023 08:00:34 +0800
X-Mailer: OUTLOOK/10.1
Message-Id: <1701993634403251533.65593.8771996932808559398@phish-admin>
Subject: 尽快完成线上退款To: 我的邮箱From: 行政办公室 <[email protected]>
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable
X-CM-TRANSID: yQQGZQCXR2EuXHJlc2PIAg--.50787S3
Authentication-Results: web2; spf=neutral [email protected];
X-Coremail-Antispam: 1UD129KBjDUn29KB7ZKAUJUUUUU529EdanIXcx71UUUUU7v73
        VFW2AGmfu7bjvjm3AaLaJ3UjIYCTnIWjDUYxBIdaVFxhVjvjDU0xZFpf9x0zRUUUUUUUUU
        =
Sender: [email protected]

[-- Autoview using /usr/bin/w3m -I 'UTF-8' -dump -T text/html '/var/tmp/mutt.html' --]
尊敬的同学：您通过二维码支付订单号QRA83BA16149844D（支付金额：148.34元，支付时间：2023-12-05 21:05:13，支付方式：微信支付）的支付记录有误。请尽快点击以下链接完成线上退款申请，三个工作日后需要线下办理退款手续。退款申请链接：http://fa-online.tsinghua.cn/

Domain Name: tsginhua.cn
ROID: 20211127s10001s41632454-cn
Domain Status: ok
Registrant: 刘乃嘉Registrant Contact Email: [email protected]
Sponsoring Registrar: 广州云讯信息科技有限公司Name Server: bottle.dnspod.net
Name Server: apus.dnspod.net
Registration Time: 2021-11-27 22:54:15
Expiration Time: 2024-11-27 22:54:15
DNSSEC: unsigned

诡异的是它这个钓鱼链接 居然是清华域名且并不能访问

YY Wu, [2023/12/8 上午8:50]
有人认识 刘乃嘉 [email protected] 吗，我似乎收到了以ta的名义注册的钓鱼网站的诈骗邮件

YY Wu, [2023/12/8 上午8:52]
这个名字有一点点点耳熟

Nicholas, [2023/12/8 上午8:55]
挠头

YY Wu, [2023/12/8 上午8:56]
我怀疑是为了演戏咱老师搞的一堆域名

Nicholas, [2023/12/8 上午8:56]
还真中立

Nicholas, [2023/12/8 上午8:56]
阿里买一个

Nicholas, [2023/12/8 上午8:56]
腾讯买一个

Nick Cao | U+220E, [2023/12/8 上午9:16]
from phish-admin

Nick Cao | U+220E, [2023/12/8 上午9:16]
草

imi415, [2023/12/8 上午9:35]
tsnighua .cn tsginhua .cn（（（

imi415, [2023/12/8 上午9:36]
不光是贵校IP，还是在贵校域名SPF列表里的IP

imi415, [2023/12/8 上午9:36]
钓鱼演习吧

YY Wu, [2023/12/8 上午8:59]
对不起！这是奶牛老师吗？我好像给开盒了（虽然好像没泄露什么信息