[Sammelthread]Viagra-Spam

[schara56]

header:

01: Received: from 79-140-164-203.danisnet.md (EHLO 79-140-164-203.danisnet.md)
02: 	[79.140.164.203]
03:   by mx0.gmx.net (mx080) with SMTP; 08 Jun 2009 xx:xx:xx +0200
04: Message-ID: [ID filtered]
05: Date: Sun, 07 Jun 2009 xx:xx:xx -0300
06: Reply-To: "Dr. Petra Rustler" <sabrinabalmeruyros [at] danisnet.md>
07: From: "Dr. Sabrina Grunewald" <sabrinabalmeruyros [at] danisnet.md>
08: User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.4) Gecko/20030624
09: X-Accept-Language: en-us
10: MIME-Version: 1.0
11: To: "Abo Kunde 64.84.177.107" <poor [at] spamvictim.tld>,
12: 	"Abonnement Kunde 142.247.185.222" <x [at] x.xx>,
13: 	"Premium Kunde 224.123.253.31" <x [at] x.xx>,
14: 	"Kunde 233.232.228.48" <x [at] x.xx>
15: Subject: Frauen liebe 19cm und dicke Schw...

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> ich finde dazu keinen Eintrag im DNS; Spammy setz' die Pillen ab - die tun Dir nicht gut!

[Arthur]

ballert damit sogar japanische Blogs voll
^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Oder andere Produkte fuer den Mann einkaufen auf
^whois: ihre-guenstige-hilfe123.org

Freundliche Gruessen

Dr. Sabrina Heinze

[schara56]

Domain Name: ihre-guenstige-hilfe123.org
Registrar: Key-Systems GmbH (R51-LROR)
Status: TRANSFER PROHIBITED, ADDPERIOD
Expiration Date: 2010-06-08 06:16:03
Creation Date: 2009-06-08 06:16:03
Name Servers:
ns1.nldns.net
ns2.nldns.net

Die IP-Adresse (^whois:61.90.201.215) mit dem entsprechenden A-Eintrag ist nicht ohne (Quelle: [Link nur für registrierte Mitglieder sichtbar. ]):

A-Einträge mit gleicher IP-Adresse:

*.ihre-guenstige-hilfe123.org
0rgasmus-unter-kontrolle.org
61-90-201-215.static.asianet.co.th
dns2.send-safe.com
found-clean-district.cn
ns2.eigentlich-zu-jung.net
ns2.selinde-will-chatten.net
ns2.web-de-s-e-x-cams.net

Domänen welche diesen Nameserver verwenden:

13-jahre-eng-knackig.net
13jahre-feucht-willig.net
dauergeiles-luuder.net
definitiv-zu-jung.net
eigentlich-zu-jung.net
fikk-mich-richtig-hart-live.net
ich-will-sie-juenger.net
juenger-als-erlaubt.net
lieber-zu-jung-als-zu-alt.net
mehr-als-nur-zu-jung.net
playboybunny-feucht.net
schlampe-will-schlucken.net
seexy-maus-will-es.net
send-safe.com
sie-ist-so-zart-und-jungt.net
web-de-s-e-x-cams.net
wildemaus-feucht.net
zu-jung-doch-ich-will.net

Na, erinnert das nicht an die ^whois: [Link nur für registrierte Mitglieder sichtbar. ]- [Link nur für registrierte Mitglieder sichtbar. ]?

[Fidul]

Nicht ganz zufällig wurde gerade da für diesen deutschen Pillenspam geworben.

Ich gehe auch davon aus, das beide Sachen die gleichen Hintermänner haben. Die Parallelen bzgl. Spam und Webseiten sind einfach zu groß.

[schara56]

header:

01: Received: from graba.dimf.etsii.upm.es (EHLO graba.dimf.etsii.upm.es)
02: 	[138.100.80.139]
03:   by mx0.gmx.net (mx039) with SMTP; 08 Jun 2009 xx:xx:xx +0200
04: Message-ID: [ID filtered]
05: Date: Mon, 08 Jun 2009 xx:xx:xx -0300
06: From: "Dr. Michelle Potts" <puumuckelupja [at] upm.es>
07: User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.5) Gecko/20031007
08: X-Accept-Language: en-us
09: MIME-Version: 1.0
10: To: "Premium Kunde 55.114.200.137" <x>,
11: 	"Kunde 72.39.26.50" <x>,
12: 	"Abo Kunde 208.176.211.203" <x>,
13: 	"Abonnement Kunde 247.121.180.14" <x>,
14: 	"Premium Kunde 161.47.6.197" <x>
15: [...]
16: X-GMX-Antispam: 0 (Mail was not recognized as spam)

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> alte Masche lediglich die Koordination zwischen Registrieren und Spammen klappt nun "besser".

Created On:08-Jun-2009 09:01:10 UTC
Expiration Date:08-Jun-2010 09:01:10 UTC
Sponsoring Registrar:Key-Systems GmbH (R51-LROR)

Schwarzhut Key-Systems GmbH mal wieder.
Der Nameserver ^whois:NS1.NLDNS.NET wird wie immer durch SpeedPartner GmbH bereitgestellt.

Schön dargestellt durch [Link nur für registrierte Mitglieder sichtbar. ]:
[Link nur für registrierte Mitglieder sichtbar. ]

[schara56]

header:

01: Received: from h-66-134-209-210-static.lsanca54.covad.net (EHLO
02: 	h-66-134-209-210-static.lsanca54.covad.net) [66.134.209.210]
03:   by mx0.gmx.net (mx039) with SMTP; 09 Jun 2009 xx:xx:xx +0200
04: Message-ID: [ID filtered]
05: Date: Tue, 09 Jun 2009 xx:xx:xx -0300
06: From: "Dr. Sabine Stanzel" <sabine.weibelhiays [at] covad.net>
07: User-Agent: Mozilla 4.73 [de]C-CCK-MCD DT  (Win98; U)
08: MIME-Version: 1.0
09: To: "Kunde 175.17.199.118" <x>
10: Subject: Blaue Pillen ohne Zoll bestellen
11: [...]
12: X-GMX-Antispam: 6 ((SPAM: 1))

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> Bolivien - Rest wie gehabt

Domain Name:APOTHEKEN-VERBAND325.ORG
Created On:08-Jun-2009 21:46:04 UTC
Expiration Date:08-Jun-2010 21:46:04 UTC
Sponsoring Registrar:Key-Systems GmbH (R51-LROR)

[antispam2006]

Zur Zeit wird pro Spamrum eine Domain verbrannt siehe:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]
^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Wenn es so, wie bei ^whois:sexcamy.ch abläuft hört der Spuk
nach einen sehr großen Run das erst einmal auf...

Gruß Antispam2006

[schara56]

header:

01: Received: from cgc.ds2-k.us.edu.pl (EHLO cgc.ds2-k.us.edu.pl) [155.158.50.98]
02:   by mx0.gmx.net (mx108) with SMTP; 10 Jun 2009 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> "Leider" ist ^whois: [Link nur für registrierte Mitglieder sichtbar. ]:8001/v1/ bereits platt - keine IP-Adresse mehr für diesen A-Eintrag und auch keine zuständigen Nameserver.
Meine Vermutung daher, dass das Bereitstellen der Webinfrastruktur getrennt von dem Spamming durchgeführt wird.

[schara56]

Hmm...wurde da "nur" die Delegierung gekippt? Der Server weiß noch einiges von der Domain:

> server ns1.nldns.net
Standardserver:  ns1.nldns.net
Address:  91.184.32.42

> set q=soa
> swisspotenz.org
Server:  ns1.nldns.net
Address:  91.184.32.42

swisspotenz.org
        primary name server = ns1.nldns.net
        responsible mail addr = hostmaster.nldns.net
        serial  = 2009060803
        refresh = 28800 (8 hours)
        retry   = 7200 (2 hours)
        expire  = 604800 (7 days)
        default TTL = 86400 (1 day)
> set q=ns
> swisspotenz.org
Server:  ns1.nldns.net
Address:  91.184.32.42

swisspotenz.org nameserver = ns2.nldns.net
swisspotenz.org nameserver = ns1.nldns.net
ns1.nldns.net   internet address = 91.184.32.42
ns2.nldns.net   internet address = 195.34.82.232
> set q=a
> www.swisspotenz.org
Server:  ns1.nldns.net
Address:  91.184.32.42

Name:    www.swisspotenz.org
Address:  93.127.240.41

[antispam2006]

^whois:swisspotenz.org ist tot, es lebe ^whois: [Link nur für registrierte Mitglieder sichtbar. ] Complaints nimmt [Link nur für registrierte Mitglieder sichtbar. ] entgegen. Natürlich war keine Zeit die Webseite zu aktualisieren, denn man wird noch vom Swisspotenz-Team begrüsst. Es wird auf ^whois:Pillendienst.com weitergleitet.

Gruß Antispam2006