[Sammelthread]Viagra-Spam

Druckbare Version

40 Beiträge dieses Themas auf einer Seite anzeigen

28.10.2010, 16:23
Mittwoch

Zitat:

Zitat von brummelhummel

Und sie tun so, als ob sie "Trusted Shops"-zertifiziert wären - sind sie aber natürlich auch nicht.

Naja, wenigstens liegt unter der Grafik nur der Link zum echten Anbieter. Bei dem kann man dann auch nachlesen, dass ein Klick auf ein Trusted-Shops-Logo eines zertifizierten Betreibers eben nicht auf die Startseite führt, sondern auf eine spezielle Unterseite, auf der das Zertifikat mit vielen Zusatzinformationen angezeigt wird. Normalerweise ist diese Zertifikatsseite auch per https abgesichert, mit einem vertrauenswürdigen Schüssel (AFAIR VeriSign).

Es gibt auch gefälschte Trusted Shops, für die dann extra eine solche Zertifikatsseite gefälscht wird. Die liegt dann natürlich nicht auf eine der Webseiten http://www.trustedshops.de oder http://www.trustedshops.com (und nur dort finden sich gültige Zertifikate).

Schönen Gruß
Mittwoch
01.12.2010, 23:44
Mittwoch

Neue Masche? Getarnte Facebook-Mail
Gestern aus dem Spamfilter gefischt: Eine Spammail, die Aussehen und Inhalt einer Facebook-Systemmitteilung kopiert.

Zitat:

Zitat von Spammail

Hi,

Sorry you've been having trouble logging into your Facebook account.

To get back on Facebook now, follow this link:
<snip>

For password help, go to:
<snip>

If you're still having trouble or believe this was sent by mistake, please visit our login help page:
<snip>

Thanks,
The Facebook Team

=======================================
This message was intended for schnipp@schnapp.tld. If you do not wish to receive this type of email from Facebook in the future, please follow the link below to unsubscribe.
<snip>
Facebook, Inc. P.O. Box 10005, Palo Alto, CA 94303

Die Nachricht kam als Multipart mit Text und HTML rein. Die Textversion enthält an den mit <snip> markierten Stellen Links, die tatsächlich zu Facebook führen und so was wie eine (kopierte?) Session-ID aufweisen. Also den echten Facebook-Mails zum werwechseln ähnlich.

Im HTML-Teil sind dann alle Links mit dem Ziel ^whois:http://pilltabletsrxbargain.net, wo man nach Wegklicken etwaiger Betrugsversuch-Warnungen zur Canadian Online Pharmacy kommt.

Mir ist diese Masche neu.
Schönen Gruß
Mittwoch

P.S.: Header

header:
```
01: Return-Path: <schnipp [at] schnapp.tld> (T-Online-Adresse)
02: Delivery-Date: Tue, 30 Nov 2010 xx:xx:xx +0100
03: Received: from globushosting.com (globushosting.com [68.71.135.90])
04: 	by mx.kundenserver.de (node=mxbap2) with ESMTP (Nemesis)
05: 	ID: [ID filtered]
06: Received: from [10.96.66.42] ([10.96.66.42:24282])
07:         by mta006.snc1.facebook.com (envelope-from <update+poor [at] spamvictim.tld>)
08:         (ecelerity 2.2.2.45 r(37388)) with ECSTREAM
09:         ID: [ID filtered]
10: X-Facebook: from zuckmail ([MTI3LjAuMC4x]) 
11:         by www.facebook.com with HTTP (ZuckMail);
12: Date: Tue, 30 Nov 2010 xx:xx:xx -0700
13: To: <poor [at] spamvictim.tld>
14: From: Facebook <update+ktbrkll65p26 [at] facebookmail.com>
15: Reply-to: Facebook <update+ktbrkll65p26 [at] facebookmail.com>
16: Subject: Getting back onto Facebook
17: Message-ID: [ID filtered]
18: X-Priority: 3
19: X-Mailer: ZuckMail [version 1.00]
20: X-Facebook-Notify: failed_login; mailid=813a3efG262a8dd43ed6G948214G93
21: Errors-To: update+ktbrkll65p26 [at] facebookmail.com
22: X-FACEBOOK-PRIORITY: 1
23: MIME-Version: 1.0
24: Content-Type: multipart/alternative;
25:   boundary="b1_ca8d434bd83140a7aa2e8c6491f3a2da"
26: X-UI-Junk: AutoMaybeJunk +64 (SPA);
27:  <snip>
28: Envelope-To:schnipp [at] schnapp.tld
```
Ich nehme an, dass alles unterhalb des ersten Received-Eintrags gefälscht ist. Von Facebook kommt die Mail jedenfalls nicht ;)
02.12.2010, 02:01
Gerlach

Die Masche gibt es in genau der Form schon seit Monaten.

und wieder mal Potenzmittel

Hallo,

ich schicke mal nur den Header und die erste Zeile, denn der Text war recht vulgär.

header:

01: Return-Path: <newsboxlnzi [at] infos.com>
02: X-Original-To:meine_adresse [at] arcor.de
03: Received: from mail-in-08.arcor-online.net (mail-in-08.arcor-online.net
04: 	[151.189.21.48])
05: 	by mail-in-20-z2.arcor-online.net (Postfix) with ESMTP ID: [ID filtered]
06: 	for <poor [at] spamvictim.tld>; Sun, 13 Feb 2011 xx:xx:xx +0100 (CET)
07: Received: from fmmailgate03.web.de (fmmailgate03.web.de [217.72.192.234])
08: 	by mx.arcor.de (Postfix) with ESMTP ID: [ID filtered]
09: 	for <poor [at] spamvictim.tld>; Sun, 13 Feb 2011 xx:xx:xx +0100 (CET)
10: X-DKIM: Sendmail DKIM Filter v2.8.2 mx.arcor.de 0B9D120540A
11: Received:  from mx37.web.de  ( [172.20.1.177])
12: 	by fmmailgate03.web.de (Postfix) with ESMTP ID: [ID filtered]
13: 	for <poor [at] spamvictim.tld>; Sun, 13 Feb 2011 xx:xx:xx +0100 (CET)
14: Received: from [67.204.49.73] (helo=infos.com)
15: 	by mx37.web.de with smtp (WEB.DE 4.110 #2)
16: 	ID: [ID filtered]
17: 	for poor [at] spamvictim.tld; Sun, 13 Feb 2011 xx:xx:xx +0100
18: Message-ID: [ID filtered]
19: Date: Sun, 13 Feb 2011 xx:xx:xx +0400
20: Reply-To: "Doris Schwarz" <newsboxlnzi [at] infos.com>
21: From: "Doris Schwarz" <newsboxlnzi [at] infos.com>
22: X-Accept-Language: en-us
23: MIME-Version: 1.0
24: To: "Customer Nr. 434864676" <poor [at] spamvictim.tld>,
25: 	"Kunden Nr. 634327738" <osm-ea [at] web.de>
26: Subject: Wieder richtig v......
27: Content-Type: text/plain;
28: 	charset="ISO-8859-1"
29: Content-Transfer-Encoding: 7bit
30: X-WEBDE-FORWARD: meine_adresse [at] web.de -> meine_adresse [at] arcor.de
31: X-Antispam: SENDER_IN_WHITELIST

Zitat:

Haben Sie Probleme die Freundin zum Orgasmus zu schaffen?
----- ----
Bei uns auf ^whois: gibt es jetzt natuerliche!
Potenzmittel und alles fuer Sie als Mann.

13.02.2011, 11:26
Arthur

Die Adresse auf die die Orginal URL ^whois:swiss-apotheke247.eu registriert ist.
ist übrigens ein Hotel :

PS: Soviel zu EURID ( DENIC bemüht sich bekanntlich heftig , EURID nachzueifern...)
13.02.2011, 11:52
antispam2006

Es ist hier besser aufgehoben. Der Initiator sollte eh gleich sein.

Gruß Antispam2006

[Mod] Done
13.02.2011, 13:36
schara56

^whois: -> ^whois:195.80.148.48

Code:

hop rtt rtt rtt ip address fully qualified domain name 1 2 1 1 70.84.211.97 61.d3.5446.static.theplanet.com 2 0 0 0 70.87.254.5 po101.dsr02.dllstx5.networklayer.com 3 0 0 0 70.85.127.109 po52.dsr02.dllstx3.networklayer.com 4 0 0 0 70.87.255.29 e4-3.ibr03.dllstx3.networklayer.com 5 0 0 0 209.66.99.89 209.66.99.89.available.above.net 6 0 0 0 64.125.26.206 xe-0-0-0.er2.dfw2.us.above.net 7 0 0 0 77.67.71.165 xe-3-1-0.dal33.ip4.tinet.net 8 279 127 127 89.149.184.69 xe-2-2-0.fra60.ip4.tinet.net 9 165 165 164 77.67.74.222 starnet-gw.ip4.tinet.net 10 164 164 164 87.248.160.36 bb.vlan500.vr01.starnet.md

Belize? Ja, ja...
13.02.2011, 15:48
isenaecher

Zitat:

Zitat von antispam2006

Es ist hier besser aufgehoben. Der Initiator sollte eh gleich sein.

Gruß Antispam2006

[Mod] Done

Sorry, den thread hatte ich gesucht aber nicht gefunden
14.02.2011, 09:30
schara56
header:
```
01: Received: from infos.com (unknown [91.225.100.209])	by x
02:  (Postfix) with SMTP ID: [ID filtered]
03:  14 Feb 2011 xx:xx:xx +0100 (CET)
04: Message-ID: [ID filtered]
05: Date: Mon, 14 Feb 2011 xx:xx:xx -0400
06: Reply-To: Johanna Ziegler <newsboxhioay [at] infos.com>
07: From: Johanna Ziegler <newsboxhioay [at] infos.com>
```
^whois:/ebXVeR -> ^whois:
Der zuständige Nameserver ^whois:ns1.dns4winz.eu hat noch folgendes auf Lager:

Code:

neue-apo24.com apotheke-swiss24.com apo-swiss24.com power-stehkraft24.com apotheke-swizz24.com neue-apo247.com apotheke-swiss247.com apotheke-swizz247.com apo-swiss.com stehkraft-apo24.net apo-stehkraft24.net power-stehkraft24.net swiss-apotheke247.eu apo-stehkraft24.net apotheke-swizz247.com dns4winz.eu frohe-potenzia.eu ihre-potenz2011.eu jetzt-potenz2011.eu kraft-potenzia2011.eu potentes-neujahr24.eu potenz-steigern24.eu potenz-und-co24.eu potenz247.eu potenzia247.eu power-potenzia.eu power-stehkraft24.eu richtig-potent24.eu swiss-apotheke24.eu

Schaut man sich die Whois-Daten bei eurid.eu an, so haben die Pillenfritzen wohl eine Vorliebe für Sportler um die Whois-Daten zu füllen.

Viagra Rabattschlacht :D

Hallo,

dreimal Viagra Werbung in kurzer Zeit

Zitat:

*** VIAGRA � -74% discount
*** VIAGRA � -79% discount
*** VIAGRA � -82% discount

Vielleicht sollte ich bald mal zuschlagen :D

header:

01: Return-Path: <ElanaFasick8611 [at] teletektelekom.com>
02: X-Original-To:***@arcor.de
03: Received: from mail-in-01.arcor-online.net (mail-in-01.arcor-online.net
04: 	[151.189.21.41])
05: 	by mail-in-03-z2.arcor-online.net (Postfix) with ESMTP ID: [ID filtered]
06: 	for <***@arcor.de>; Mon,  7 Mar 2011 xx:xx:xx +0100 (CET)
07: Received: from fmmailgate01.web.de (fmmailgate01.web.de [217.72.192.221])
08: 	by mx.arcor.de (Postfix) with ESMTP ID: [ID filtered]
09: 	for <***@arcor.de>; Mon,  7 Mar 2011 xx:xx:xx +0100 (CET)
10: X-DKIM: Sendmail DKIM Filter v2.8.2 mx.arcor.de 6DCD55A3EB
11: Received:  from mx37.web.de  ( [172.20.1.177])
12: 	by fmmailgate01.web.de (Postfix) with ESMTP ID: [ID filtered]
13: 	for <***@arcor.de>; Mon,  7 Mar 2011 xx:xx:xx +0100 (CET)
14: Received: from [91.93.161.206] (helo=teletektelekom.com)
15: 	by mx37.web.de with esmtp (WEB.DE 4.110 #2)
16: 	ID: [ID filtered]
17: 	for***@web.de; Mon, 07 Mar 2011 xx:xx:xx +0100
18: Received: from PIMKIE (localhost [127.0.0.1])
19: 	by PIMKIE (8.13.4/8.13.4) with SMTP ID: [ID filtered]
20: 	for <***@web.de>; Mon, 7 Mar 2011 xx:xx:xx +0200
21: 	(envelope-from ElanaFasick8611 [at] teletektelekom.com)
22: Message-ID: [ID filtered]
23: From: ElanaFasick8611 [at] teletektelekom.com
24: To: ***@web.de
25: Reply-To: ElanaFasick8611 [at] teletektelekom.com
26: Subject: *** VIAGRA � -74% discount
27: Mime-Version: 1.0
28: Content-Type: text/html; charset=utf-8
29: Content-Transfer-Encoding: 7bit
30: Date: Mon, 07 Mar 2011 xx:xx:xx +0100
31: X-WEBDE-FORWARD***@web.de -> ***@arcor.de
32: X-Antispam: SENDER_IN_WHITELIST

header:

01: Return-Path: <***@web.de>
02: X-Original-To: ***@arcor.de
03: Received: from mail-in-09.arcor-online.net (mail-in-09.arcor-online.net
04: 	[151.189.21.49])
05: 	by mail-in-19-z2.arcor-online.net (Postfix) with ESMTP ID: [ID filtered]
06: 	for <***@arcor.de>; Thu, 10 Mar 2011 xx:xx:xx +0100 (CET)
07: Received: from fmmailgate02.web.de (fmmailgate02.web.de [217.72.192.227])
08: 	by mx.arcor.de (Postfix) with ESMTP ID: [ID filtered]
09: 	for <***@arcor.de>; Thu, 10 Mar 2011 xx:xx:xx +0100 (CET)
10: X-DKIM: Sendmail DKIM Filter v2.8.2 mx.arcor.de 4516B197698
11: Received:  from mx35.web.de  ( [172.20.3.238])
12: 	by fmmailgate02.web.de (Postfix) with ESMTP ID: [ID filtered]
13: 	for ***@arcor.de>; Thu, 10 Mar 2011 xx:xx:xx +0100 (CET)
14: Received: from [88.204.110.53] (helo=[88.204.110.53])
15: 	by mx35.web.de with esmtp (WEB.DE 4.110 #2)
16: 	ID: [ID filtered]
17: 	for***@web.de; Thu, 10 Mar 2011 xx:xx:xx +0100
18: Received: from smp56 (localhost [127.0.0.1])
19: 	by smp56 (8.13.4/8.13.4) with SMTP ID: [ID filtered]
20: 	for <***@web.de>; Thu, 10 Mar 2011 xx:xx:xx +0600
21: 	(envelope-from ***@web.de)
22: Message-ID: [ID filtered]
23: From: ***@web.de
24: To:meine Adresse [at] web.de
25: Reply-To: meine Adresse [at] web.de
26: Subject: mein Skip VIAGRA � -79% discount
27: Mime-Version: 1.0
28: Content-Type: text/html; charset=utf-8
29: Content-Transfer-Encoding: 7bit
30: Date: Thu, 10 Mar 2011 xx:xx:xx +0100
31: X-WEBDE-FORWARD: meine Adresse [at] web.de -> meine Adresse [at] arcor.de
32: X-Antispam: SENDER_IN_WHITELIST

Der dritte Header ist dem zweiten sehr ähnlich.

Kein Text, nur Bilder die ich natürlich für das Öffnen gesperrt habe

Gruß

Volker

40 Beiträge dieses Themas auf einer Seite anzeigen