[Sammelthread]Viagra-Spam

header:

01: Received: from unknown (HELO mail.macht-mich-an.de) [81.18.148.222]
02:   by mx0.gmx.net (mx031) with SMTP; 04 Oct 2011 xx:xx:xx +0200
03: [...]
04: X-GMX-Antispam: 5 (BackTrace mail analyze);
05:  Detail=5D7Q89H36p4L00VTXC6D4q0N+AH0PUCnGL2vqOgpaBYL16oitsMrgDt/NQNpSCZF7bt5n
06:  WT2HM301KAQGNCCBy1X218Pp7U1FZgsZGcZthx8yn9oMfs3EA==V1;

^whois: -> weiter wie gewohnt zu ^whois:?promotion=12345&aff_id=12345
Das Whois der DE-Domain ist mal wieder entsprechend lächerlich. Wer ist da eigentlich der Registrar?

Ach du shice - was läuft denn da noch so alles auf der IP:

Zitat:

---

Zitat von schara56

^whois:
Das Whois der DE-Domain ist mal wieder entsprechend lächerlich. Wer ist da eigentlich der Registrar?

---

Laut meinem Info-Panel DENIC-243 -> eNom Inc.

q.e.e.

header:

01: Received: from 26.server-hosting.co.cr (HELO mail.schnucke.de) [216.25.171.26]
02:   by mx0.gmx.net (mx069) with SMTP; 05 Oct 2011 xx:xx:xx +0200

^whois: (Vanilla Cash-Hosting) -> weiter zu ^whois:?promotion=12345&aff_id=12345

Zitat:

---

Zitat von schara56

HELO mail.schnucke.de

---

Häh??? Schon klar, der Server kann im HELO-Befehl alles mögliche behaupten. Aber ist das hier ein Versehen bzw. Zufall, oder besteht tatsächlich ein Zusammenhang zu ^whois:schnucke.de?
Die IP-Adresse 216.25.171.26 gehört jedenfalls nicht zu schnucke sondern zu ^whois:26.server-hosting.co.cr.

Zitat:

---

Zitat von Solli

...] Aber ist das hier ein Versehen bzw. Zufall, oder besteht tatsächlich ein Zusammenhang zu ^whois:schnucke.de? [...

---

Mit Sicherheit nicht. Ich nehme an mit dem gefälschten HELO möchte man am Spamfilter vorbeikommen.
Der MX-Eintrag der im HELO genannten Domain zeigt zu Strato.

Zitat:

---

Zitat von schara56

Mit Sicherheit nicht. Ich nehme an mit dem gefälschten HELO möchte man am Spamfilter vorbeikommen.

---

Eigentlich Unsinn, denn bei vielen Filtern ist es ein Kriterium für Spam, wenn der HELO nicht zum Reverse-Eintrag der IP passt (siehe auch hier).

Ich hatte heute (mutmaßlichen) Pillenspam mit einem sehr pietätlosen Subject im Posteingang:

header:

01: Return-Path: <owner [at] perenco.com>
02: Received: from lns-bzn-57-82-249-14-74.adsl.proxad.net
03: 	(lns-bzn-57-82-249-14-74.adsl.proxad.net [82.249.14.74])
04: 	by dd5728.kasserver.com (Postfix) with SMTP ID: [ID filtered]
05: 	for <xxx>; Fri,  7 Oct 2011 xx:xx:xx +0200 (CEST)
06: Received: from unknown (HELO o62uz) ([184.208.99.95])
07: 	by lns-bzn-57-82-249-14-74.adsl.proxad.net with ESMTP; Fri, 7 Oct 2011 xx:xx:xx +0100
08: From: "Blanch Dye" <owner [at] perenco.com>
09: Subject: Steve Jobs Alive!
10: Date: Fri, 7 Oct 2011 xx:xx:xx +0100
11: X-Mailer: Microsoft Outlook Express 6.00.2800.1106

Zitat:

---

Latest Hot News: http://^whois:daviespharmacy.com/our.html

---

header:

01: Received: from 46-37-154-17.pptp.vladlink.net (HELO mail.piratenpartei.de)
02: 	[46.37.154.17]
03:   by mx0.gmx.net (mx038) with SMTP; 08 Oct 2011 xx:xx:xx +0200

^whois: -> weiter zu ^whois:?promotion=123456&aff_id=123456
Gespamt über einen offenen Proxy in Russland und gehostet in der Tschechischen Republik.
BTW: Nettes HELO...

Zitat:

---

Zitat von schara56

Gespamt über einen offenen Proxy in Russland und gehostet in der Tschechischen Republik.
BTW: Nettes HELO...

---

^whois:91.216.190.217 -> komisch, es verweist zu supernetwork.cz AS39392, das routing aber noch zu as5577.net = root.lu

Gruß Antispam2006

header:

01: Received: from unknown (HELO mail.t-online.de) [203.236.27.145]
02:   by mx0.gmx.net (mx110) with SMTP; 09 Oct 2011 xx:xx:xx +0200

^whois: -> weiter zu ^whois:?promotion=12345&aff_id=12345
Gespamt über Korea und unverändert gehostet in CZ bzw Luxenburg:

Code:

---

17        144        144        144                  77.243.181.5        superhosting.te-2-8-1204.bb1.fra1.de.gbxs.net
18        146        146        146                  88.86.96.196        ttc-c65a-vl6.superhosting.cz
19        146        146        146                  91.216.190.217        ip-91-216-190-217.as5577.net

---

header:

01: Received: from 82.Red-81-33-31.staticIP.rima-tde.net (HELO mail.freenet.de)
02: 	[81.33.31.82]
03:   by mx0.gmx.net (mx008) with SMTP; 10 Oct 2011 xx:xx:xx +0200

^whois: -> weiter zu ^whois:?promotion=12345&aff_id=12345
Gespamt über Spanien und das Hosting ist unverändert. Spammy ist aber schon gelistet: