[UCE] (Random Subjects)

[subZero]

Hi,
bekomme seit 1-2 Wochen wieder Spams mit random subjects, jeweils einem beworbenen Link (1x wiederholt), alle im gleichen (leicht zynischen) Stil (Größe meist 3 KB). Anscheinend hat da jemand ein Spam-Tool bzw. Script laufen.
Interessant könnte auch die jeweils erste Header-Zeile sein: Return-Path: <bounce=...>
[Empfaenger] = benutzte Adresse, [Resent] = Weiterleitungs-Adresse
---
Return-Path: <bounce=nettle#aexcursus.com=229=5b68=[Empfaenger]>
X-Spam-Status: No, hits=-3.7 required=5.0
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 638158 for [Resent]; Mon, 11 Oct 2004 23:06:55 +0200
Received: (qmail 17750 invoked by alias); 11 Oct 2004 21:06:54 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 17358 invoked by uid 65534); 11 Oct 2004 21:06:52 -0000
Received: from cpc1-lutn3-3-0-cust47.lutn.cable.ntl.com (HELO cpc1-lutn3-3-0-cust47.lutn.cable.ntl.com) (81.102.28.47)
by mx0.gmx.net (mx055) with SMTP; 11 Oct 2004 23:06:52 +0200
Received: from excursus.com (mail.exmachina.net [195.78.50.5])
by cpc1-lutn3-3-0-cust47.lutn.cable.ntl.com (Postfix) with ESMTP id 3CDE7E14B4
for <[Empfaenger]>; Mon, 11 Oct 2004 16:02:55 -0500
Message-ID: <011001c4afd5$5fab13dc$36569055 [at] excursus.com>
From: "Subcontract A. Hooch" <nettle [at] excursus.com>
To: Matthias <[Empfaenger]>
Subject: Average Bithecs Swapping Jizz
Date: Mon, 11 Oct 2004 16:02:55 -0500
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0011_0A310823.E01FA70D"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-AntiVirus: Checked by Dr.Web (http://www.drweb.net)
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
I know the face, but...
http://kyusakamoto.us/35f8fed7ebf21600db...BFELcdDFls=.htm (http://kyusakamoto.us/35f8fed7ebf21600db4a/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
You can give without loving, but you cannot love without giving.
Fano ti malolo
http://kyusakamoto.us/35f8fed7ebf21600db...FELcdDFls=.html (http://kyusakamoto.us/35f8fed7ebf21600db4a/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---
---
Return-Path: <bounce=Madagascar#anaxs.net=230=bd21=[Empfaenger]>
X-Spam-Status: No, hits=0.3 required=5.0
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 641836 for [Resent]; Tue, 12 Oct 2004 03:12:41 +0200
Received: (qmail 21469 invoked by alias); 12 Oct 2004 01:12:40 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 21025 invoked by uid 65534); 12 Oct 2004 01:12:38 -0000
Received: from unknown (HELO kaiser.com) (61.241.249.87)
by mx0.gmx.net (mx055) with SMTP; 12 Oct 2004 03:12:38 +0200
Received: from NAXS.NET (mx-rtr01.ntelos.NET [216.12.0.98])
by kaiser.com (Postfix) with ESMTP id 7043B4361B
for <[Empfaenger]>; Mon, 11 Oct 2004 20:00:52 -0500
Message-ID: <111001c4aff6$bb00bd71$2ea11ab7 [at] NAXS.NET>
From: "Pump A. Plumping" <Madagascar [at] NAXS.NET>
To: Matthias <[Empfaenger]>
Subject: RE: Young Amateur Slut Fucekd by Big Dick
Date: Mon, 11 Oct 2004 20:00:52 -0500
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0002_3924ACF1.97275C3E"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-AntiVirus: skaner antywirusowy poczty Wirtualnej Polski S. A.
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
Hey, man! :)
http://anius.info/b090456c824ccbe47841/C...BFELcdDFls=.htm (http://anius.info/b090456c824ccbe47841/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
I would much rather have men ask why I have no statue than why I have one.
Sala hantle
http://anius.info/b090456c824ccbe47841/C...FELcdDFls=.html (http://anius.info/b090456c824ccbe47841/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---
---
Return-Path: <bounce=cake#aonlinesolutions.net=230=beba=[Empfaenger]>
X-Spam-Status: No, hits=-1.5 required=5.0
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 646232 for [Resent]; Tue, 12 Oct 2004 08:26:48 +0200
Received: (qmail 1538 invoked by alias); 12 Oct 2004 06:26:47 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 31196 invoked by uid 65534); 12 Oct 2004 06:26:18 -0000
Received: from unknown (HELO dialup24.alwayson-line.net) (63.86.0.44)
by mx0.gmx.net (mx030) with SMTP; 12 Oct 2004 08:26:18 +0200
Received: from onlinesolutions.net (onlinesolutions.net [216.22.45.12])
by dialup24.alwayson-line.net (Postfix) with ESMTP id 5EEEA14CB2
for <[Empfaenger]>; Mon, 11 Oct 2004 23:26:22 -0700
Message-ID: <000101c4b024$c361aeb4$9bc4316f [at] onlinesolutions.net>
From: "Imperiousness D. Nikki" <cake [at] onlinesolutions.net>
To: Matthias <[Empfaenger]>
Subject: Reply: Cute Mom to date with you
Date: Mon, 11 Oct 2004 23:26:22 -0700
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0004_FB2BF5D6.471D3DF3"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-AntiVirus: checked by AntiVir MailGate (version: 2.0.1.10; AVE: 6.20.0.1; VDF: 6.20.0.46; host: dialup24.alwayson-line.net)
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
Geronimo!
http://palermiti.us/0483ebe72a5d0b654089...BFELcdDFls=.htm (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
There`s nothing wrong with anger provided you use it constructively.
Tofa
http://palermiti.us/0483ebe72a5d0b654089...FELcdDFls=.html (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---
---
Return-Path: <bounce=subscribing#adentistryonline.com=230=fa0b=[Empfaenger]>
X-Spam-Status: No, hits=2.2 required=5.0
X-Spam-Level: XX
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 646251 for [Resent]; Tue, 12 Oct 2004 08:27:53 +0200
Received: (qmail 16171 invoked by alias); 12 Oct 2004 06:27:52 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 14469 invoked by uid 65534); 12 Oct 2004 06:27:34 -0000
Received: from dialup24.alwayson-line.net (HELO dialup24.alwayson-line.net) (63.86.0.44)
by mx0.gmx.net (mx044) with SMTP; 12 Oct 2004 08:27:34 +0200
Received: from dentistryonline.com (mail.dentistryonline.com [206.163.113.25])
by dialup24.alwayson-line.net (Postfix) with ESMTP id BAA24B3488
for <[Empfaenger]>; Mon, 11 Oct 2004 23:27:40 -0700
Message-ID: <101001c4b024$73796a01$fd58d826 [at] dentistryonline.com>
From: "Paperwork H. Staidly" <subscribing [at] dentistryonline.com>
To: Matthias <[Empfaenger]>
Subject: Re: Wet Mother cheating
Date: Mon, 11 Oct 2004 23:27:40 -0700
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0028_51EB7E91.FFB8A575"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-RAV-AntiVirus: This message has been scanned for viruses on dialup24.alwayson-line.net
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
Adieu.
http://palermiti.us/0483ebe72a5d0b654089...BFELcdDFls=.htm (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
The mind`s direction is more important than its progress.
La revedere
http://palermiti.us/0483ebe72a5d0b654089...FELcdDFls=.html (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---
---
Return-Path: <bounce=sabotaged#aupstarters.com=230=682d=[Empfaenger]>
X-Spam-Status: Yes, hits=5.4 required=5.0 tests=BAYES_10,HTML_60_70,
HTML_IMAGE_ONLY_04,HTML_MESSAGE,RCVD_IN_DSBL,RCVD_IN_NJABL_DUL,
ROUND_THE_WORLD_LOCAL
X-Spam-Flag: YES
X-Spam-Level: XXXXX
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 646261 for [Resent]; Tue, 12 Oct 2004 08:29:00 +0200
Received: (qmail 16754 invoked by alias); 12 Oct 2004 06:28:59 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 16389 invoked by uid 65534); 12 Oct 2004 06:28:56 -0000
Received: from 200-221-160-99.canbrasacesso.speeduol.com.br (HELO 200-221-160-99.canbrasacesso.speeduol.com.br) (200.221.160.99)
by mx0.gmx.net (mx038) with SMTP; 12 Oct 2004 08:28:56 +0200
Received: from upstarters.com (upstarters.com [208.42.236.9])
by 200-221-160-99.canbrasacesso.speeduol.com.br (Postfix) with ESMTP id 9A0424BC65
for <[Empfaenger]>; Mon, 11 Oct 2004 23:28:57 -0700
Message-ID: <010001c4b024$c30b847a$29b01411 [at] upstarters.com>
From: "Calorific K. Christi" <sabotaged [at] upstarters.com>
To: Matthias <[Empfaenger]>
Subject: FW: Sexy Prsotitute ready to cheat
Date: Mon, 11 Oct 2004 23:28:57 -0700
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0014_76C88D39.6DE9D054"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-RAV-AntiVirus: This message has been scanned for viruses on 200-221-160-99.canbrasacesso.speeduol.com.br
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
What`s up, then?
http://palermiti.us/0483ebe72a5d0b654089...BFELcdDFls=.htm (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
When you have to make a choice and don`t make it, that in itself is a choice.
Ca ndyi
http://palermiti.us/0483ebe72a5d0b654089...FELcdDFls=.html (http://palermiti.us/0483ebe72a5d0b654089f1b50/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---
---
Return-Path: <bounce=Parker#a3point.net=230=4737=[Empfaenger]>
X-Spam-Status: No, hits=0.3 required=5.0
X-Virus-Scanned: by Framecom.net
Received: from mx0.gmx.net ([213.165.64.100] verified)
by mlxlx001.framecom.net (CommuniGate Pro SMTP 4.1.8)
with SMTP id 652735 for [Resent]; Tue, 12 Oct 2004 13:21:05 +0200
Received: (qmail 14434 invoked by alias); 12 Oct 2004 11:21:04 -0000
Delivered-To: GMX delivery to [Empfaenger]
Received: (qmail 13765 invoked by uid 65534); 12 Oct 2004 11:21:01 -0000
Received: from 114-18.jupo.sk (HELO 114-18.jupo.sk) (213.215.114.18)
by mx0.gmx.net (mx041) with SMTP; 12 Oct 2004 13:21:01 +0200
Received: from 3point.net (mail.3point.net [216.219.239.200])
by 114-18.jupo.sk (Postfix) with ESMTP id AE9AA2A449
for <[Empfaenger]>; Tue, 12 Oct 2004 07:21:01 -0400
Message-ID: <111001c4b04d$506fc80a$2f7f9559 [at] 3point.net>
From: "Desensitizes J. Thickened" <Parker [at] 3point.net>
To: Matthias <[Empfaenger]>
Subject: RE: Average Teen gushing loads
Date: Tue, 12 Oct 2004 07:21:01 -0400
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0007_3308C573.86DAD760"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1409
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1409
X-Kaspersky-Antivirus: passed
X-GMX-Antispam: 0 (Mail was not recognized as spam)
X-Resent-By: Forwarder <forwarder [at] gmx.de>
X-Resent-For: [Empfaenger]
X-Resent-To: [Resent]
---
Hello, playmates! :)
http://nerthus.us/3946d558ca8a738ebdbe5a...BFELcdDFls=.htm (http://nerthus.us/3946d558ca8a738ebdbe5a9d1/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.htm)
Never say you know a man until you have divided an inheritance with him.
Tu heel k`iin
http://nerthus.us/3946d558ca8a738ebdbe5a...FELcdDFls=.html (http://nerthus.us/3946d558ca8a738ebdbe5a9d1/CwMaJwYOBhFLCg8hGhIJBFELcdDFls=.html)
---

[Kontiki]

Igitt!!!! Hast Du Dir Sites mal angesehen? Solche Links sollten hier im Forum gar nicht ausgeschrieben erscheinen, wenn da Minderjährige draufklickenhttp://img.homepagemodules.de/blush.gif Solche Bilder hab ich vor etwa einem Jahr mal direkt als email bekommen; hab mich bei WEBde beschwert, natürlich erfolglos, weil es keiner ihrer Kunden war.

[doka]

Ja, den Vollpatienten kenne ich.
Damit werd ich auch Bombardiert.
Jedesmal das gleiche Muster:
zufällige Absenderadresse, Muster: Vorname, Buchstabe, Nachname
Der Name ist zufällig zusammengesetzt.
Subject ist auch dauernd wechselnd.
Body, wie beschrieben:
eine Zynische Anrede,
ein link,
ein Zitat (sogar Linus hat er schon zitiert)
zwei zufällig generierte Wörter, soll wohl sowas wie die
Zitatherkunft sein,
dann nochmal der Link.
Den Link habe ich nie aufgerufen. Da er sich aus vielen
zufälligen Buchstaben/Zahlen zusammensetzt, gehe ich davon aus,
dass hier die Absenderadresse verschlüsselt zur verifikation
beinhaltet ist.
Es werden wechseld neue Domains beworben.
Dazu kommt auch wechselnde Header.
Das ganze kommt mehrmals am Tag.
Die beworbene URL endet immer wieder auf ... =.html
Der Bub ist also verdammt fleissig und kommt immer
wieder an den Filtern vorbei. :-(
Gruss,
DoKa

[Coke1984]

Wenn die URL immer auf "=.html" endet, kannst du doch einfach dem Filter sagen das er innerhalb des Body-Tags nach genau dieser Dateiendung filtern soll. Welche seriöse URL endet schon auf so einen Unsinn?

---
Rechtschreibfehler dienen der allgemeinen Erheiterung und können zu diesem Zweck gerne gesammelt und archiviert werden.

[doka]

wenn ich einen eigenen Mailserver hätte, würde ich das so machen.
So bin ich auch die Filtermöglichkeiten der Mailanbieter angeweisen.
In dem Falle GMX. :-(
Die bieten Filterung nur Absender, Empfänger, Betreff.
Kein Mailbody... :-(
Gruss,
DoKa

[Coke1984]

Rufst du die Mails denn über die Webseite ab oder via POP3? Ist letzteres der Fall, bietet sich ein Spamfilter an der als lokaler Proxy arbeitet, wie z.B. K9 (http://www.keir.net/k9.html). Alternativ kann ich dir auch gern eine Adresse an meiner Domain zur Verfügung stellen, die einfach keiner kennt. Serverseitige Spamfilter hab ich allerdings auch keine. Bei Interesse PM!

---
Rechtschreibfehler dienen der allgemeinen Erheiterung und können zu diesem Zweck gerne gesammelt und archiviert werden.

[subZero]

Den Link habe ich nie aufgerufen. Da er sich aus vielen
zufälligen Buchstaben/Zahlen zusammensetzt, gehe ich davon aus,
dass hier die Absenderadresse verschlüsselt zur verifikation
beinhaltet ist.In diesem Sinne: Bitte nicht die o.g. Links anklicken! http://img.homepagemodules.de/lil.gif
Hab die Links jetzt abgeändert, vor dem =.htm(l), lediglich die Anzahl der Zeichen stimmt noch.
Der jeweils zweite Link ist anscheinend dafür gedacht, sich aus der Sache "auszutragen"... ;)

Der Bub ist also verdammt fleissig und kommt immer
wieder an den Filtern vorbei. :-(sein Tool vermutlich?

[doka]

tja, wie ich die abruf?
verschieden.
Normalerweise laufen die bei GMX durch und werden halt dort gefiltert.
Dann landen die in meinem endgültigen Email-Postfach, das keinem,
aber auch wirklich keinem bekannt ist :-)
Von dort ruf ich die über viel verschiedene Adressen eingegangen
und vorgefilterten Mails
- per pop3 vom Heimrechner
- per Webfront von unterwegs/arbeit
- per Handy-Pop3 von unterwegs/Ausland
ab.
Zu haus liest das ganze dann der Mozilla und filtert den Restmüll recht gut
aus.
Nur macht es keinen Spass, das über teure GPRS-Verbindungen abzurufen *grrr*
Mailen tut sein tool,
aber ob das auch gleichzeitig die vielen verschiedenen
offenen Mailserver sucht und findet?
Gruss,
DoKa

[subZero]

Mailen tut sein tool,
aber ob das auch gleichzeitig die vielen verschiedenen
offenen Mailserver sucht und findet?Denkbar wärs?
Die zeitlichen Abstände variieren, die genannten Mails kamen in etwa innerhalb von 24 Stunden.

[doka]

[x] du bist nun in seiner Datenbank
[x] du wirst nun 2-3 Mails/Tag von ihm bekommen.
;-)
Gruss,
DoKa

[subZero]

Die nächste Frage, die mich beschäftigt: Wie bringe ich einen Mailserver dazu, mir Einsicht in eventuelle Logfiles zu gewähren?
http://mitglied.lycos.de/sowasvonegal88/temp/9654.gif http://mitglied.lycos.de/sowasvonegal88/temp/dude.gif http://img.homepagemodules.de/devil.gif

[Coke1984]

Garnicht. Es sei denn, zur Beweisaufnahme vor Gericht, und auch das erst im laufenden Verfahren, Argumente wie "Beweissicherung" ziehen da nicht. Anders ist das natürlich bei eigenen Webservern, da hat man immer vollen Zugriff auf die Logs. Bei gehostetem Webspace wiederum kommt es auf den Host an, ob er Zugriff auf die eigenen Logs gewährt.

---
Rechtschreibfehler dienen der allgemeinen Erheiterung und können zu diesem Zweck gerne gesammelt und archiviert werden.

[subZero]

Gut, das ist die Rechts-konforme Variante, bei der sich der Spammer zumeist auf der "sicheren" Seite währen darf. Noch... (vermutlich lange)
http://mitglied.lycos.de/sowasvonegal88/temp/gruebel.gif

[Kontiki]

In diesem Sinne: Bitte nicht die o.g. Links anklicken!
Verfl*** !! Ich neugieriger Depp muss natürlich wieder alles ausprobieren! Was ist genau gemeint mit "gehe ich davon aus, dass hier die Absenderadresse verschlüsselt zur verifikation beinhaltet ist." ?
Was kann mir jetzt passiert sein? (DSL-Verbindung, also wohl zumindest keine Dialer-Gefahr?)

[Coke1984]

Das bedeutet nur soviel, dass subZeros Emailadresse verschlüsselt in dem Link codiert ist, so dass der Betreiber der Webseite weiß, welcher Empfänger des Spams sie aufgerufen hat. Vermutlich wird sub jetzt noch mehr Spam kriegen, weil er als klickwillig eingestuft wurde. Hab übrigens auch geklickt... Sorry http://img.homepagemodules.de/blush.gif

---
Rechtschreibfehler dienen der allgemeinen Erheiterung und können zu diesem Zweck gerne gesammelt und archiviert werden.

[subZero]

Was kann mir jetzt passiert sein?Du bekommst in den nächsten Tagen Besuch von zwei Herren in Zivil. http://img.homepagemodules.de/clown.gif

Hab übrigens auch geklickt... SorryVor oder nach Kontiki`s erster Antwort? http://img.homepagemodules.de/grin.gif
Nee, schon ok, hatte die Links inzwischen etwas abgeändert. http://img.homepagemodules.de/cool.gif