Spam aus der "EmailBoutique"

[carsten.gentsch]

Hallo
die emailboutique hat nun auch mein GMX Postfach entdeckt und das sicher nur weil die Daten klauen oder kaufen denn vorab hatte ich keinen Kontakt zu derartigen Spammern aus dem Hause emailboutique. Damit ist wohl der Beweis erbracht das hier Datenlisten gekauft oder sich anderweitig besorgt werden. Nett ist immer der Text in den Mails " man hätte sich ja bei Partnern angemeldet und dem Spam zugestimmt" Dumm nur das es ein übertragen des Einverständnisses nicht gibt!Aber warum sollte das die den interessieren wenn man doch selber spammen kann.
Zum Glück landen solche dumspam Mails im Filter und werden gelöscht anders kann man solchen Spammern und Webbetrügern wohl nicht bei kommen den um eine Ausrede sind die ja nie verlegen.
Ein getütet bei Spamcop und die Hoffnung es endet irgend wann mal.

[jjacoby]

Die ganzen Jahre bekam ich realtiv wenig Spam, vielleicht 3-4 Mails/Woche. Leider wurde meine Adresse vor einiger Zeit von einem Sportverband auf der Webseite völlig vogelfrei im html-Code präsentiert. Seitdem erhalte ich täglich bis 10 Spams verschiedener Herkunft (was ja auch wenig ist) , die aber glücklicherweise so zu 90% im gmx-Spamfilter wandern. Mehr als 50% der Spams sind von Emailboutique.

Nun zur Emailboutique: Ich erhielt auch einige Mails von der Emailboutique direkt, seit neustem auch von Adressen, die immer wieder zu DealFieber zurückgehen, die auch im 1. Beitrag hier im Thread aus einem Whois-Lookup hervorgehen. Bei manchen Adressen landet man dann bei einem Briefkasten in Kansas City:

Registrant [3729784]:
Domain Admin info@dealfieber.com
DealFieber
4741 Central Street #319
Kansas City
AL
64112
US

Komischerweise wird Kansas City, AL geschrieben, was völliger Unsinn ist. Es gibt kein weiteres Kansas City in Alabama. Zip Code trifft aber auf Kansas City, MI zu.

Bei einigen deutschen Adressen, wie ssv-rabatte.de kommt die Gary Lee-Adresse in Berlin wieder ins Blickfeld, diesmal wie geschrieben aber als DealFieber.

So weit so gut, ich würde das "abheften", wenn nich folgendes hinzukommt:
Ich nehme seit Jahren bei der GfK bei einer langfristigen Konsumentenstudie teil. Einige der Spammails der letzten Tage, die von Dealfieber kamen, enthielten Anwerbungen für diese Konsumentenstudie. Ich hab daraufhin mich bei meiner entsprechenden Hotline beschwert, denn die GfK unterstützt scheinbar diesen Spamversender indirekt durch Provisionszahlen (der Kern jedes Spam).
Auszuschließen ist, dass die GfK meine Daten weitergegeben hat. Es ist schlicht Zufall, dass ich als Teilnehmer diese Mail bekommen habe.

Schockiert hat mich die Reaktion bei der GfK. Man meint erstmal nichts böses zu sehen hat mir tatsächlich am Anfang empfohlen, mich über den Abmelde-Button bei den Spammails doch abzumelden. Ich habe dann nochmal ausdrücklich darauf hingewiesen, dass diese Abmelden Humbug ist und sie da momentan einem Massen-Spamversender Geld zahlen und das schleunigst abstellen sollten. Ich hoffe mal, dass da wirklich mal jemand das überprüft. Wenn man schon mal den Geldhahn in gewisser Weise abdrehen kann, ist das effektiver als jede Auskunftsanfrage, Löschung, usw.

Man müsste das eigentlich auch bei anderen Unternehmen machen, die in den Spammails beworben werden. Mir kamen noch Mails rein von friendscout24, ElitePartner, Es ist ja geradzu fatal, wenn jetzt tatsächlich normale Unternehmen in solchen Massen-Spams beworben werden und diese Unternehmen dadurch die Spamflut unterstützen. Kern des richtig kriminellen Spams war ja fast immer, dass irgendwelchen dubiosen Dinge angeboten wurden.

[pat]

in meinem Spamordner auf alle meinen GMX Addys gelandet.. alle vom angeblich gleichen Absender - ich hab die Forensuche bemüht aber nix gefunden, falls es nicht passt löschen oder bitte bitte dem passenden Thread anhängen.

Domain geht auf ein Gewinnspieleintragsformular also wohl kein Joe Job?

header:

01: Return-Path: <847637751 [at] marita-liebig.de>
02: Delivered-To: GMX delivery to 
03: Received: (qmail invoked by alias); 09 Dec 2011 xx:xx:xx -0000
04: Received: from berlin.lokalen.meine-vip-gewinnspiele.de (EHLO
05: 	berlin.lokalen.meine-vip-gewinnspiele.de) [173.232.208.139]
06:   by mx0.gmx.net (mx048) with SMTP; 09 Dec 2011 xx:xx:xx +0100
07: DKIM-Signature: v=1; a=rsa-sha1; d=marita-liebig.de; s=default; c=relaxed/simple;
08: 	q=dns/txt; i=@marita-liebig.de; t=1323426423;
09: 	h=Subject:From:To:Content-Type:Message-id:Date;
10: 	bh=khYPZEuXg+1vmu64b0Q1lBVVzus=;
11: 	b=hZRa1OiOZ8pAyKVVl8J6RWwz8sPKR/42oWxb9uxs44nABd3ixi/9GtIu2hY3zf0O
12: 	+ep4sz9dzq3V7coX7rXwIVJg0rl9cj8H5tQbQhFj4Dp8FlynYUgyt+Tezg/Ky+WO;
13: DomainKey-Signature: q=dns; a=rsa-sha1; c=nofws;
14: 	s=default; d=marita-liebig.de;
15: 	h=Date:From:To:Message-id:Mime-Version:Subject:X-BRiI6gnqBV3U6IqLrw:Content-Type;
16: 	b=csT1gNxtk8Cu8AeHEesyfzwqO3AtTRcvEL4aq/JcRwY3roV+UJ59vT7FY9NreHSU
17: 	1Bf4SzQncIIeeB5t70h4dTM1c6U1tiaB5WKcvFi428NGRUlbyCDOp9h69KMQ7ynQ
18: Date: Fri, 09 Dec 2011 xx:xx:xx -0500
19: From: =?utf-8?Q?Meinungsstudie?= <info [at] marita-liebig.de>
20: To:
21: Message-ID: [ID filtered]
22: Mime-Version: 1.0
23: Subject: =?utf-8?Q?GfK_Verbraucherforschung:_Machen_Sie_mit?=
24: X-BRiI6gnqBV3U6IqLrw:
25: 	MjkyMDUxMzBfODQ3NjM3NzUxXzUxMjk2MThfMzY4MzZfNTY5MjNfMTAxMDg5XzE0ODNfNTkwMTA0NV8wXzQwNQ0
26: Content-Type: text/html;
27: X-GMX-Antivirus: 0 (no virus found)
28: X-GMX-Antispam: 5 (eXpurgate);
29:  Detail=5D7Q89H36p6RPLfL5epS0/M2apmytMnGF+dUCfFY1OYqIgMMvkdt5Q5q8Du2CdD3bk3mW
30:  T71fK+QeINiJ/MrL55dfQIaqVlnvmjGoi+lCHZ/5Hbj/pNVvZ9WxgtKqOugWtXfPyjEczyxvAiqF
31:  GsoKQ1Wk23qGZmFkWOcj2pLYuWm8oRhyVnmYsj4mT6ZDQ1Njbh6A8aglAs=V1;
32: X-GMX-UID: [UID filtered]
33: X-Flags: 1401

header:

01: Return-Path: <800228353 [at] marita-liebig.de>
02: Delivered-To: GMX delivery to 
03: Received: (qmail invoked by alias); 09 Dec 2011 xx:xx:xx -0000
04: Received: from munster.lokalen.offerboutique.de (EHLO munster.lokalen.offerboutique.de)
05: 	[173.232.208.161]
06:   by mx0.gmx.net (mx030) with SMTP; 09 Dec 2011 xx:xx:xx +0100
07: DKIM-Signature: v=1; a=rsa-sha1; d=marita-liebig.de; s=default; c=relaxed/simple;
08: 	q=dns/txt; i=@marita-liebig.de; t=1323426424;
09: 	h=Subject:From:To:Content-Type:Message-id:Date;
10: 	bh=4y+AIzTrugGqWCivvKVsLh3re30=;
11: 	b=FxSJQVwdc+Nex5EE4v9K3AldN+Y1EaA2mjsisKVWDHULT4YNOdEyN/npYMRNAOgE
12: 	lXeQ/hNlWARpSBbGM5LjVkOZj8ksPLVo89x7yaR9pmVHf5J24P29W6dKWH1XFzMN;
13: DomainKey-Signature: q=dns; a=rsa-sha1; c=nofws;
14: 	s=default; d=marita-liebig.de;
15: 	h=Date:From:To:Message-id:Mime-Version:Subject:X-qzXGJsO5l3ftGAmGR:Content-Type;
16: 	b=nd4sdV5Vj1xYScrXVDzBIas5mvfYMZMmws5g3VAgKQtdeTjG66qeUu5ZOx0I8bwr
17: 	xp6E1h6u1YfhyOqSxbxlHjbh9AT6ww+MkqoQGPR6cwXODJv+GVQVK8CHXfjeSh1n
18: Date: Fri, 09 Dec 2011 xx:xx:xx -0500
19: From: =?utf-8?Q?Meinungsstudie?= <info [at] marita-liebig.de>
20: To:
21: Message-ID: [ID filtered]
22: Mime-Version: 1.0
23: Subject: =?utf-8?Q?GfK_Verbraucherforschung:_Machen_Sie_mit?=
24: X-qzXGJsO5l3ftGAmGR:
25: 	MjkyMDUxMzBfODAwMjI4MzUzXzYwODMxODVfMzY4MzZfNTY5MjNfMTAxMDg5XzE0ODNfNTkwMTA0NV8wXzQwNg0
26: Content-Type: text/html;
27: X-GMX-Antivirus: 0 (no virus found)
28: X-GMX-Antispam: 6 ((SPAM: 1));
29:  Detail=5D7Q89H36p4u7amsWYGGOmKXeX6AuZjzZYGvHdwbGSC/DQTa6mnWA7dvulT05tsVumisn
30:  1BRJ1Mye6s/yIhIkZAZ4NbxlpK5V56cGZKAzncmubYVjLyreAOK9eam/mrvsTRfbfLLt0kOanx9N
31:  J0H3TPLv/XrBr9BqZCu17/aCwOo1Cxl8oOWvOgQUF7dLbzqLN+xgLFuIn0=V1;
32: X-GMX-UID: [UID filtered]
33: X-Flags: 1401

header:

01: Return-Path: <847637751 [at] marita-liebig.de>
02: Delivered-To: GMX delivery to 
03: Received: (qmail invoked by alias); 09 Dec 2011 xx:xx:xx -0000
04: Received: from essen.lokalen.markenrabattede.de (EHLO essen.lokalen.markenrabattede.de)
05: 	[173.232.208.101]
06:   by mx0.gmx.net (mx045) with SMTP; 09 Dec 2011 xx:xx:xx +0100
07: DomainKey-Signature: q=dns; a=rsa-sha1; c=nofws;
08: 	s=default; d=marita-liebig.de;
09: 	h=DKIM-Signature:Date:From:To:Message-id:Mime-Version:Subject:X-Zt55eEt4Y7:Content-Type;
10: 	b=ob3zX6sNk6UCLKTDQ2OoeNchHVnxbV93NSdYiaIn6Lic9HwuiEDxmFyZLxrAaOsI
11: 	hDclx2M33gVWp9ZPPc2Rszqv7qvwQoAeFajiarB1/aJag9xLWBZSqXo5RxKAInZK
12: DKIM-Signature: v=1; a=rsa-sha1; d=marita-liebig.de; s=default; c=relaxed/simple;
13: 	q=dns/txt; i=@marita-liebig.de; t=1323427217;
14: 	h=Subject:From:To:Content-Type:Message-id:Date;
15: 	bh=+XoS4JRnanqW7FrpOYJjH7PewVo=;
16: 	b=XYZo0xAJVqxGnCbT6pSLFH6wOo0GwfN85LeQjuS3J69fDI7vphK5DoDYQU0WfITZ
17: 	QW2B7p3Kno+RAIFpC/gMvU5D/jKpwg7LJe/sMVVYIfEp8Nkh7oYJz3csnhklBoew;
18: Date: Fri, 09 Dec 2011 xx:xx:xx -0500
19: From: =?utf-8?Q?Kredit?= <info [at] marita-liebig.de>
20: To: 
21: Message-ID: [ID filtered]
22: Mime-Version: 1.0
23: Subject: =?utf-8?Q?Brauchen_Sie_einen_Kredit=3F_Auszahlung_sofort?=
24: X-Zt55eEt4Y7:
25: 	MjkyMDUyMjBfODQ3NjM3NzUxXzYwODMwNThfMzU5MjFfNTYxOTRfOTc3NzBfMTQ4M181OTAxMDQ1XzBfNDA1DQ
26: Content-Type: text/html;
27: X-GMX-Antivirus: 0 (no virus found)
28: X-GMX-Antispam: 5 (eXpurgate);
29:  Detail=5D7Q89H36p4sL0/c6cZlx/9gjMtfzWyNoo2rjrtlRetIvotBjkrQQrgjEBb+1SGI/HIpx
30:  GD+jt/H2be1z34Gr1Zqjz0X/omUIKautNpZudDTNEPmhnD3+8bvg0DgjKEf4mpofC7bkqJ0ryaoY
31:  G77ixbXULRlU/iEJNuht3ZHS1yCVSn7XDH5Byqe3/HfMistCNbalqlirIg=V1;
32: X-GMX-UID: [UID filtered]
33: X-Flags: 1401

header:

01: Return-Path: <800228353 [at] marita-liebig.de>
02: Delivered-To: GMX delivery to 
03: Received: (qmail invoked by alias); 09 Dec 2011 xx:xx:xx -0000
04: Received: from dortmund.lokalen.markenrabattede.de (EHLO
05: 	dortmund.lokalen.markenrabattede.de) [173.232.208.123]
06:   by mx0.gmx.net (mx109) with SMTP; 09 Dec 2011 xx:xx:xx +0100
07: DomainKey-Signature: q=dns; a=rsa-sha1; c=nofws;
08: 	s=default; d=marita-liebig.de;
09: 	h=DKIM-Signature:Date:From:To:Message-id:Mime-Version:Subject:X-SjwfzKGOndfZ9Zh035:Content-Typ
10: 	;
11: 	b=axicQuNkVIal17GWMIABoJloRKP4aS5Rtxbj0sVc8Chpm2VdI/T3NBio2XR59rOY
12: 	Hu92ATomSgL4II3AxB2iugtKJ5nX/smtoxQ5xonrKbzQToinmGJzNCwyg1/GTrEj
13: DKIM-Signature: v=1; a=rsa-sha1; d=marita-liebig.de; s=default; c=relaxed/simple;
14: 	q=dns/txt; i=@marita-liebig.de; t=1323427218;
15: 	h=Subject:From:To:Content-Type:Message-id:Date;
16: 	bh=F9CQQ5S8iFSOLe11236dlSgMgPo=;
17: 	b=XHiYkB8U6SVCIjtXk/FnQ6wJLlGePO21yzuiigLulTEsTr0J0S2/xsZgHrvr2w5j
18: 	Ofn6vXuV4MfTfjpwi4pL5S5eo2Mjv/3/0Jrzy6jS0YcC6zUe0Ka2QXjd/qQoxyKW;
19: Date: Fri, 09 Dec 2011 xx:xx:xx -0500
20: From: =?utf-8?Q?Kredit?= <info [at] marita-liebig.de>
21: To: 
22: Message-ID: [ID filtered]
23: Mime-Version: 1.0
24: Subject: =?utf-8?Q?Brauchen_Sie_einen_Kredit=3F_Auszahlung_sofort?=
25: X-SjwfzKGOndfZ9Zh035:
26: 	MjkyMDUyMjBfODAwMjI4MzUzXzYwODMwNjBfMzU5MjFfNTYxOTRfOTc3NzBfMTQ4M181OTAxMDQ1XzBfNDA2DQ
27: Content-Type: text/html;
28: X-GMX-Antivirus: 0 (no virus found)
29: X-GMX-Antispam: 5 (eXpurgate);
30:  Detail=5D7Q89H36p5A/8mPCXmHe01wUu0AQK4Gjq9UJDnqWYBshA/x+gAQEa2UvejkzmgJVHmy+
31:  ULSV09iuklZe7btNgxj9WaDn8io3XZCHJaWqiWOdkpjI901WtebgK8mdT2hYiPORbXcTTh6izd0a
32:  MT1sqjMb1DtFwqFrmVFzr1Kiuru/NgX3zP2Q5AI/5urxyg/Hj/j1QCODOI=V1;
33: X-GMX-UID: [UID filtered]
34: X-Flags: 1401

was bdeuten die wechselnden Ortsnamen im Received Tag?

[Chinchilla]

Was steht denn im Mailtext?

Die in den Headern verwendeten Domainnamen verweisen alle auf ein Eintragsformuler für DealFieber. den AGB ist zu entnehmen:

1. Allgemeines

Dealfieber.de ist ein Service des Unternehmens DealFieber.

Der Teilnehmer hat die folgenden Bedingungen sorgfaeltig gelesen und erklaert sich damit einverstanden, durch die Absendung seiner Registrierung das Angebot von Dealfieber.de zu den nachstehenden Bedingungen zu nutzen.

Voraussetzung fuer die Teilnahme ist ein staendiger Wohnsitz innerhalb der Bundesrepublik Deutschland. Personen, die das 18. Lebensjahr noch nicht vollendet haben sind von der Teilnahme ausgeschlossen.
2. Vertragsgegenstand

Der Anbieter Prime Advertisers ist verpflichtet, dem Teilnehmer gemaess der Bestimmungen zum Datenschutz auf Wunsch Informationen zu den Produkten und Angeboten zukommen zu lassen, die ihm im Umfragebogen vorgestellt werden.

Haftung

Dealfieber.de haftet nicht fuer Schaeden durch hoehere Gewalt sowie technische Stoerungen, deren Ursache nicht im Verantwortungs-bereich von Dealfieber.de liegt. Gemaess der Beschaffenheit des Internet kann Dealfieber.de nicht fuer die kontinuierliche Verfuegbarkeit der Website garantieren. Dealfieber.de uebernimmt keinerlei Verantwortung fuer die Inhalte von Websites, auf die mittels Werbemittel verwiesen wird. Insbesondere macht sich Dealfieber.de die Inhalte dieser Websites nicht zu Eigen.

Es besteht kein Anspruch auf die staendige Verfuegbarkeit von www.Dealfieber.de. Der Anbieter kann diesen Dienst jederzeit ohne die Angabe von Gruenden einstellen.

Der Anbieter haftet nicht fuer eine fehlerhafte, unvollstaendige oder nicht erfolgte Erhebung, Speicherung und Verarbeitung der Teilnehmerdaten an dem Gewinnspiel aus Gruenden, die nicht im Einflussbereich des Anbieters liegen.

Ferner haftet der Anbieter nicht bei Diebstahl oder Zerstoerung der erhobenen Daten. Sollten einzelne Bestimmungen unwirksam sein, so bleibt hierdurch die Wirksamkeit der restlichen Bestimmungen im Uebrigen unberuehrt. Der Rechtsweg ist ausgeschlossen.

Einen ähnlichen text findet man bei ^whois:pramiegalerie.de

Im Impressum findet man eine Adresse in Kanada, bei ^whois:Dealfieber.de und ^whois:pramiegalerie.de findet man allerdings deutsche Adressen. Bei Dealfieber die MomentiMedia GmbH, bei pramiegalerie die Prime Advertisers in Berlin, deren Telefonnummer +1-(888)-642-0217 u.a. auch hier zu finden ist:
^whois:http://primeadvertisers.com/contactus.html

Insgesamt viele Impressum-Angaben, die nicht vollständig und vermutlich falsch sind.

Hierzu passen auch
http://www.antispam-ev.de/forum/showthread.php?32559-Spam-aus-der-quot-EmailBoutique-quot
http://www.antispam-ev.de/forum/archive/index.php/t-28540.html

[jjacoby]

Die relevante Webadresse für Dealfieber ist allerdings Dealfieber.com, nicht .de. Auch wenn die Methoden bei der .de-Domain der von der Emailboutiqe gleichen.

Die o.g. Mails von der Domain marita-liebig.de sind bei mir auch die Nacht im Spamordner gelandet. Das Vorgehen ist eigentlich immer gleich:

- Etliche Domains werden kurzfristig angemeldet.

- Es gibt einige Spaminhalte, eigentlich seriöser Unternehmen: GfK Konsumentenforschung, friedscout24 oder Elitepartner. Zusätzlich "klassische" Spaminhalte wie Kreditvermittlung ohne Bedingung, oder Glücksspiele/Wettanbieter.

- Praktisch jeden Tag wird von einer andere Domain-Adresse verschickt, nicht immer sind es genau die gleichen Mails. Alle Domains führen auf Dealfieber/Emailboutique zurück. Interessant ist aber die Domain, von der verschickt wird. Die geposteten Header zeigen ja, dass man eigene Subdomains für den eigentlichen Mailversand nutzt:

dortmund.lokalen.xxx.de
essen.lokalen.xxx.de
....

Bei mir kommen die inhaltsgleichen Mails aus anderen "Städten".

Könnte das nur technische Gründe haben oder vielleicht auch zur Auswertung, welche Adresslisten effektiver sind? Ich könnte mir letzteres vorstellen. Denn bei klassischen Spammails, geht es ja nur um das Pushen eines meist illegalen Angebotes. Die hier benutzten Inhalte sind aber letztlich oft seriösere Angebote, bei der eine erfolgreiche Vermittlung eine Provision kassiert wird.

Theoretisch müsste doch bei solch einem massiven Domain-Mißbrauch die Denic einschreiten können. Die Angaben der Domaininhaber dürfte offensichtlich falsch sein. Neben den Postfachadressen in den USA sind die deutschen Adressen ja auch nicht richtig. Neben der Berliner Adresse gibt es ja auch noch eine in München. Leider finde ich gerade die Domain nicht mehr, die beim whois-Lookup eine Münchener Adresse.

[Chinchilla]

Bei der emailboutique kann man sich übrigens auch anmelden ohne die AGb zu akzeptieren. Ein Double-Opt-In erfolgt nicht. Aber daß sich die Hintermänner für eine Zustimmung nicht interessieren, war auch nicht zu erwarten.

An der im Impressum angegebenen Adresse, befindet sich ein UPS-Store, der auch mailbox-Services anbietet:
210 West Hamilton Ave, #127
State College PA 16801
http://www.theupsstorelocal.com/0069/mailboxes.htm

[JoeFg]

Erneut Spam von dealfieber.com

Hallo,

seit einigen Wochen erhalte ich ^whois:dealfieber.com deutschsprachigen Spam über alles Mögliche.

Der Spamfilter meines Providers läßt, aus welchen Gründen auch immer, diese Spammail leider ins Eingangs-Postfach durch.

Als angebliche Absenderdomain wurde ^whois:shopdichschoen.com angegeben.

Gesendet wurden sie über unterschiedliche Mailserver der NOC24 LLC Comunications in Dallas, Texas, USA.

Gruß

JoeFG

[schara56]

Filter doch nach den beworbenen Domains - so viele sind das ja nicht:

de-boutique.de
dealfieber.com
dealmarathon.de
dealraketen.de
dediscounter.de
dehammsterpreise.de
emailboutique.de
gewinndichreich.com

[GoodReputation]

Die treiben's wieder ganz bunt, angespamt wird ein kompletter kaufbarer Datensatz. Quelle des Spams zum blacklisten:

173.232.208.0/24

Auffallend oft verwendete Domainnamen der Sender:

de-onlineboutique.de
dediscounter.de
dehammsterpreise.de
markenrabattede.de
meine-vip-gewinnspiele.de
ssv-rabatte.de
toppramiegalerie.de