¿Para qué se usa este spam?

En primer lugar, el análisis HTML de correos electrónicos en los que no confía no debería estar habilitado, por no hablar de javascript. ¡Es un grave riesgo para la seguridad! Todas las principales plataformas de cliente de correo electrónico o las plataformas de correo web tienen opciones para deshabilitar html y / o javascript en los correos.

Ahora en la pregunta:

Parece que es parte de la secuencia de comandos greasemonkey que se encuentra aquí: enlace

Este script se usa normalmente para capturar un valor (una cookie copiada de una captura de wirehark) desde el campo del formulario e inyectarlo en la página desde la que se está ejecutando.

Sin más acceso al código, nadie puede decir exactamente lo que está sucediendo mirando la imagen, pero supongo que se modifica de alguna manera para capturar valores y enviarlos al atacante, tal vez a otras cookies, etc.

Sería bueno si pudieras proporcionar la fuente html sin procesar del correo electrónico para que podamos verificar exactamente qué está pasando.