[Sammelthread]Viagra-Spam

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

31.08.2012, 08:40
schara56
dto.: gespamt über Russland und gehostet in Russland - ein schönes Paket.

header:
```
01: Received: from 79-20-46-142.saransk-com.ru (HELO mail110.ovh.de) [46.20.79.142]
02:   by mx0.gmx.net (mx063) with SMTP; 31 Aug 2012 xx:xx:xx +0200
```
^whois: -> weiter zu
^whois: -> weiter zu
^whois:

Man beachte den Port 8080 anstelle von 80.

Eine Hausnummer (^whois:91.216.190.164)weiter sieht es auch ganz putzig aus:

Code:

10x-viagra-rezeptfrei.info 12x-viagra-kaufen.info 12x-viagra-rezeptfrei.info 14x-viagra-kaufen.info 14x-viagra-rezeptfrei.info 16x-viagra-kaufen.info 16x-viagra-rezeptfrei.info 18x-viagra-kaufen.info 18x-viagra-rezeptfrei.info 1x-viagra-kaufen.info 1x-viagra-rezeptfrei.info 20x-viagra-rezeptfrei.info 24x-viagra-kaufen.info 24x-viagra-rezeptfrei.info 2x-viagra-kaufen.info 4x-viagra-kaufen.info 6x-viagra-kaufen.info 8x-viagra-kaufen.info 8x-viagra-rezeptfrei.info apotheketopillen.info bestellen-sie-1-viagra.info bestellen-sie-10-viagra.info bestellen-sie-12-viagra.info bestellen-sie-14-viagra.info bestellen-sie-16-viagra.info bestellen-sie-20-viagra.info bestellen-sie-24-viagra.info bestellen-sie-4-viagra.info bestellen-sie-8-viagra.info cialis-topillen-apotheke.info genericas-topillen-apotheke.info generika-topillen-apotheke.info kaufen-sie-10x-viagra.info kaufen-sie-12x-viagra.info kaufen-sie-14x-viagra.info kaufen-sie-18x-viagra.info kaufen-sie-1x-viagra.info kaufen-sie-20x-viagra.info kaufen-sie-4x-viagra.info potenzmittel-jetzt-kaufen.info rezept-frei-kaufen-jx.info rezeptfrei-viagra-kaufen.de sichere-top-apotheke.info sichere-viagra-apotheke.info topillen-apo.info topillen-online-apotheke.info topillen-testsieger.info topillen-trust.info topillen-vital.info topillenapotheke.info trust-topillen.info viagra-generika-bestellen.info viagra-generika-topillen-apotheke.info viagra-generikas-topillen-apotheke.info viagra-rezeptfrei-ordern.de viagra-top-apotheke.info viagra-topillen-apotheke.info www.14x-viagra-kaufen.info www.16x-viagra-kaufen.info www.18x-viagra-kaufen.info www.1x-viagra-kaufen.info www.26x-viagra-kaufen.info www.4x-viagra-kaufen.info www.potenzmittel-jetzt-kaufen.info www.rezept-frei-kaufen-jx.info www.rezeptfrei-viagra-kaufen.de

Alter.. einen Müllmann ist man los, da kommt das Pillz-Pack über gmx und müllt mir mit Viagra-Spam das Postfach zu :mad:
Ich hoffe ich habe richtig anonymisiert, ich koche gerade vor Wut!

header:

01: Return-path: <24337561572 [at] 4m-fourum.de>
02: Delivery-date: Sat, 01 Sep 2012  
03: Received: from [195.4.92.25] (helo=15.mx.freenet.de)
04: 	by mbox24.freenet.de with esmtpa (ID: [ID filtered]
05: 	ID: [ID filtered]
06: 	for <me> ; Sat, 01 Sep 2012 
07: Received: from oxfo-bb-occam4-ws-170.dsl.maqs.net ([66.206.53.171]:1992
08: 	helo=mail80.bluewin.ch)
09: 	by 15.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1)
10: 	ID: [ID filtered]
11: Message-ID: [ID filtered]
12: Date: Sat, 01 Sep 2012 
13: Reply-To: "Info" <24337561572 [at] 4m-fourum.de>
14: From: Diskrete-Apotheke <35145.12603 [at] gmx.com>
15: MIME-Version: 1.0
16: To: <me>
17: Subject: Original und Generika Potenz-Mittel
18: Content-Type: text/plain;
19: 	charset="Windows-1252"
20: Content-Transfer-Encoding: 7bit
21: X-Priority: 2
22: X-purgate-ID: [ID filtered]
23: Delivered-To: me
24: Envelope-to: me
25: Delivered-To: me

Junge ich bin eine Frau und ich brauche den Pillz-Dreck wie Zahnschmerzen!!

Seit ungefähr 3 Wochen blockiere ich den Müll, scheinbar werden bei gmx Accounts im Tausenderpack erstellt.

02.09.2012, 21:12
antispam2006

Zitat:

Zitat von Gaia

Seit ungefähr 3 Wochen blockiere ich den Müll, scheinbar werden bei gmx Accounts im Tausenderpack erstellt.

Wie kommst du darauf? Wegen der Absenderadresse? Die kann man beliebig fälschen. Ich mag zwar GMX nicht besonders, aber in diesem Fall sind sie unschuldig, zumindest wenn ich mir den Header anschaue. Dort ist kein einziger Server von GMX involviert.

Gruß Antispam2006
02.09.2012, 21:51
Gaia

Ich habe mich mal etwas näher mit der IP 195.4.92.25 und die kann man freenet.de zuordnen. Mit GMX meinte ich die Absenderadressen, die schon nach gestellt stinken.
Die abuse-Abteilung von freenet bekommt nun eine etwas unfreundliche e-Mail, weil der Spam schon länger andauert (der aktuelle Spamrun ist nur ein Teil) und es scheint wohl niemanden zu interessieren.
Ich hege ja auch den Verdacht, dass hier eher freenet selbst die Spamschleuder ist, eventuell kann mal jemand von den erfahrenen Usern die Spammail auseinander nehmen.
02.09.2012, 22:04
schara56

Zitat:

Zitat von Gaia

...] die Spammail auseinander nehmen.

Der Relay / Versand der Spam kam aus den ver~~unr~~einigten Staaten von Amerika und zwar von der IP ^whois:66.206.53.171 (MARQUETTE-ADAMS TELEPHONE COOPERATIVE, INC.)

Code:

07: Received: from oxfo-bb-occam4-ws-170.dsl.maqs.net ([66.206.53.171]:1992 08: helo=mail80.bluewin.ch) 09: by 15.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1) 10: ID: [ID filtered]

Dann erfolgte die Freenet-interne Weiterverarbeitung. Entgegengenommen hat die Spam die IP ^whois:195.4.92.25 (Freenet AG) und hat diese dann an den Host mit dem Namen ^whois:mbox24.freenet.de weiter gereicht - IP ^whois:195.4.93.24. Beide IPs gehören zu Freenet.

Code:

03: Received: from [195.4.92.25] (helo=15.mx.freenet.de) 04: by mbox24.freenet.de with esmtpa (ID: [ID filtered] 05: ID: [ID filtered] 06: for <me> ; Sat, 01 Sep 2012
03.09.2012, 01:51
Mittwoch

Zitat:

Zitat von Gaia

Mit GMX meinte ich die Absenderadressen, die schon nach gestellt stinken.

Ich nehme nicht an, dass die Drahtzieher des Spams bei GMX auch nur einen Account eingerichtet haben. Bekanntlich kann man Absenderangaben in E-Mails beliebig fälschen, und Spammer nehmen häufig als vermeintlichen Absenderhost die in dem Zielland des Spams am weitesten verbreiteten Freemail-Anbieter. Zum Einen wegen des dadurch vielleicht niedrigeren Spam-Scores, was allerdings eine untergeordnete Rolle spielen dürfte, zum Anderen auch wegen der sozialen Komponente. Da viele Menschen im Zielland in ihrem Bekanntenkreis sicherlich mindestens eine Person haben, die eine Freemail-Anbieter-Adresse nutzt, sinkt das Misstrauen gegenüber solcher Adressen.

Nun ja, Spammer wollen in der Regel keine Mailadresse haben, unter der sie für ihre Opfer erreichbar sind, 419er mal ausgenommen. In diesem Sinne spielt es keine Rolle, ob die als Absender angegebene Mailadresse tatsächlich bei dem Freemail-Hoster existiert. Solche Accounts aus der Taufe zu heben, wäre nur unnötiger Aufwand, bei dem man zusätzlich noch Datenspuren hinterlässt. Sehr unwahrscheinlich, dass Spammer dort Mailadressen in den von Dir genannten Dimensionen anlegen, um die nach und nach zu verbrennen.

Schönen Gruß
Mittwoch
03.09.2012, 02:28
Gaia

Danke schara56,
Also ist der Anbieter aus Wisconsin der Verursacher.
Ich gebe zu, dass ich von der Materie echt keine Ahnung habe, weil ich auch solche e-Mails nie öffne und das mit dem Header erst hier gelernt habe.
Ich nutze auch kein Mailprogramm, keine Kontaktlisten oder ähnliches, da ich kaum e-Mails schreibe und das Postfach nur zu Registrierungszwecken angelegt habe (komischerweise ist freenet.de einer der Anbieter, wo die e-Mail-Adresse immer akzeptiert wird).
Ich habe nach den 2 IPs neugierhalber gegoogelt und bin bei utrace auf das selbe Ergebnis gekommen. Ich glaube ich muss mich wohl oder übel doch mal mehr mit diesem Gebiet beschäftigen.
Danke auch Dir Mittwoch, Deine Argumentation ist schlüssig und bestätigt den Verdacht, den ich schon hatte.

Entschuldigung an GMX, für gefälschte Absenderadressen kann der Anbieter nun wirklich nichts.

Gespamt über den Sudan und final gehostet in Russland

header:
01: Received: from unknown (HELO mail73753.kicker.de) [41.202.166.132]
02:   by mx0.gmx.net (mx063) with SMTP; 09 Sep 2012 xx:xx:xx +0200
^whois: -> ^whois: -> ^whois::8080

09.09.2012, 15:29
kjz1
Hier ebenso wieder aktiv:

header:
```
01: Received: from 94-52-138-81.next-gen.ro (HELO mail58.kicker.de)
02: [94.52.138.81]
03:   by mx0.gmx.net (mx002) with SMTP; 09 Sep 2012 xx:xx:xx +0200
```
^whois:

als Redirekt auf:

^whois:
IP: 83.220.33.5 ---> GARS TELECOM, Russia

Auch bei Spamhaus bestens bekannt:

Zitat:

Ref: SBL139882
83.220.33.5/32 is listed on the Spamhaus Block List (SBL)
2012-09-05 23:07:25 GMT | SR29 | garstelecom.ru
Spammer hosting @83.220.33.5 (bestellung.swissapotheke.de et al)

9/05/2012:
Same spammer is still hosted here, and is still spamming. Uses redirector sites to mask URL in spam, to prevent filtering.

Post hätte gerne:

header:

01: Return-path: <42712805426 [at] b-jacobs.de>
02: Delivery-date: Fri, 07 Sep 2012  +0200
03: Received: from [195.4.92.28] (helo=18.mx.freenet.de)
04: 	by mbox24.freenet.de with esmtpa (ID: [ID filtered]
05: 	ID: [ID filtered]
06: 	for me; Fri, 07 Sep 2012 xx:xx:xx +0200
07: Received: from wester151.lnk.telstra.net ([203.45.162.165]:3165
08: 	helo=mail72.bluewin.ch)
09: 	by 18.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1)
10: 	ID: [ID filtered]
11: Message-ID: [ID filtered]
12: Date: Thu, 06 Sep 2012 xx:xx:xx -0700
13: Reply-To: "Info" <42712805426 [at] b-jacobs.de>
14: From: Versad-Swiss-Apo <4.82616 [at] gmx.net>
15: MIME-Version: 1.0
16: To: 
17: Subject: Hilfe bei Errektions_Problemen
18: Content-Type: text/plain;
19: 	charset="Windows-1250"
20: Content-Transfer-Encoding: 7bit
21: X-purgate-ID: [ID filtered]
22: Delivered-To: me
23: Envelope-to: me
24: Delivered-To: me

Frisch aus dem Postfach gefischt, der Verursacher sitzt in Canberra/Australien.

Nachtrag:
Die Kundenbetreuung von freenet.de hat mir geantwortet und ich habe doch noch extra Möglichkeiten zu filtern. Habe nun die Einstellungen angepasst und ich hoffe der Dreck wird nun gleich gefiltert.

40 Beiträge dieses Themas auf einer Seite anzeigen