[Sammelthread]Viagra-Spam

**antispam2006** · 06.06.2010, 11:26

Zur Zeit besteht 80% meines Spams aus "Uhrenverkäufen". Scheinbar hat Spammie zuviel geordert und versucht die Zwiebeln jetzt an den/die Mann/Frau zu bringen.

Dafür hat Moenchis Pillenparadis Sommerurlaub - nicht ganz - der Muellerversand hält die Stellung

header:

01: Return-Path: <bounce [at] mueller-versand.com>
02: X-Flags: 1001
03: Delivered-To: GMX delivery to xxx
04: Received: (qmail invoked by alias); 04 Jun 2010 xx:xx:xx -0000
05: Received: from 95-143-36-141.goody-service.com (EHLO newsletter-mueller.com)
06: 	[95.143.36.141]
07:   by mx0.gmx.net (mx087) with SMTP; 04 Jun 2010 xx:xx:xx +0200
08: To: xxx
09: Subject: =?UTF-8?B?RsO8aGxlbiBTaWUgc2ljaCB6dSBkaWNrPw==?=
10: Message-ID: [ID filtered]
11: Date: Fri, 04 Jun 2010 xx:xx:xx +0200
12: From: "Mueller Versand" <admin [at] mueller-versand.com>
13: Reply-To: newsletter [at] mueller-versand.com
14: MIME-Version: 1.0
15: X-Mailer-LID: [ID filtered]
16: X-Mailer-RecptID: [ID filtered]
17: X-Mailer-SID: [ID filtered]
18: X-Mailer-Sent-By: 1
19: Content-Type: text/plain; format=flowed; charset="UTF-8"
20: Content-Transfer-Encoding: 8bit
21: X-GMX-Antivirus: 0 (no virus found)
22: X-GMX-Antispam: -2 (not scanned, spam filter disabled);
23:  Detail=5D7Q89H36p4L00VTXC6D4q0N+AH0PUCnKGJbGgJLbSXk30NezpdxUg==V1;
24: X-Resent-For: xxx
25: X-GMX-UID: [UID filtered]

Sie kennen das auch? Ihre Blicke haften voller Neid auf der Figur der, die es erreicht haben, das Idealgewicht zu erhalten?

Sie haben sich auch schon oft an diesem Ziel versucht, sind aber bis jetzt immer gescheitert und sind nun schon absolut hoffnungslos?

Geben Sie sich nicht auf denn hier ist eine hervorragende Nachricht fuer alle, die nicht ihre Traumfigur haben. Dank des neuen voellig effektiven Schlankheitskonzepts aus Amerika kann es jetzt auch Ihnen gelingen, innerhalb von kuerzester Zeit mehrere Kilo an Gewicht und mehr zu verlieren.

Infoserhalten Sie unter: ^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Mit freundlichen Gruessen,

Dr. Franz Becker
-------------------------------------------------------------------------------------------------
Versand erfolgte über Inline. Die haben schnell reagiert ^whois:goody-service.com wird nicht mehr aufgelöst.
^whois:newsletter-mueller.com -> 127.0.0.1
^whois:mueller-versand.com -> ^whois:93.127.241.38 Trabia/Star Hosting
^whois:93.127.241.38 -> ^whois:apothekeadler.com <- ^whois:195.80.148.47
^whois:abnehmen-123-easy.com = ^whois:195.80.148.41 leitet weiter zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ] = ^whois:195.80.148.48

Gruß Antispam2006

quarks · 06.06.2010, 12:35

Hallo, ich bekomme so etwas auch regelmäßig. Mindestens ein mal am Tag. Das liegt wohl an den Dummheiten aus meiner Jugend. ;-) Aber ich habe zumindest schon früh gewusst, das man bei kostenlosen web Angeboten nicht unbedingt Persönliche Daten angeben sollte

Andere werden wohl nie Erwachsen ... Link zu FOKUS.de

**Jogy4711** · 06.06.2010, 14:34

header:

01: X-Kaspersky: Original server data starting here: +OK 11252 octets 
02: Received: (qmail 2220 invoked from network); 6 Jun 2010 xx:xx:xx -0000
03: X-Spam-Checker-Version: SpamAssassin 3.2.5 (2008-06-10) onspamkill20do.versatel-west.de
04: X-Spam-Status: No, score=4.5 required=5.0
05: 	tests=HTML_MESSAGE,MIME_HTML_ONLY,MISSING_MID,RCVD_IN_PBL,RDNS_DYNAMIC,SPF_HELO_SOFTFAIL,SPF_S
06: 	FTFAIL
07: Received: from ip-90-187-34-163.web.vodafone.de (HELO vodafone.de)
08: 	([90.187.34.163])          (envelope-sender <poor [at] spamvictim.tld>)          by
09: 	mail03do.versatel.de (qmail-ldap-1.03) with SMTP          for <poor [at] spamvictim.tld>; 6
10: 	Jun 2010 xx:xx:xx -0000
11: From: "ViagraBrandReseller" <cyelylic1853 [at] vodafone.de>
12: To: <poor [at] spamvictim.tld>
13: Subject: [!! SPAM]  Dear, xxxxx, We offer you to save 80%. the all
14: Date: Sun, 6 Jun 2010 xx:xx:xx +0200
15: MIME-Version: 1.0
16: Content-Type: text/html;
17: 	charset="ISO-8859-1"
18: Content-Transfer-Encoding: 7bit
19: X-VT-Original-To: xxxxxxx [at] versanet.de
20: X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.5931

Beworben wird
^whois: [Link nur für registrierte Mitglieder sichtbar. ] mit weiterleitung auf ^whois: [Link nur für registrierte Mitglieder sichtbar. ] Pillen
und

^whois: [Link nur für registrierte Mitglieder sichtbar. ] mit weiterleitung auf ^whois: [Link nur für registrierte Mitglieder sichtbar. ] Uhren

Kann es sein das der Sever^whois: [Link nur für registrierte Mitglieder sichtbar. ] geknackt wurde?

**nospamplease** · 06.06.2010, 17:49

eben frisch aus Rumänien:

Code:

Received: from XBHXUKSDUU ([109.99.33.146] helo=XBHXUKSDUU) with IPv4:25 by
	mail.meinserver.com; 6 Jun 2010 14:13:16 +0200
Received: from 109.99.33.146 by smtp.secureserver.net; Sun, 6 Jun 2010 15:16:07 +0200

Richtig nett ist der Versuch das als seriös erscheinen zu lassen:

You are receiving this e-mail because you subscribed to MSN Featured Offers. Microsoft respects your privacy. If you do not wish to receive this MSN Featured Offers e-mail, please click the "Unsubscribe" link below. This will not unsubscribe you from e-mail communications from third-party advertisers that may appear in MSN Feature Offers. This shall not constitute an offer by MSN. MSN shall not be responsible or liable for the advertisers' content nor any of the goods or service advertised. Prices and item availability subject to change without notice.
2009 Microsoft | Unsubscribe | More Newsletters | Privacy
Microsoft Corporation, One Microsoft Way, Redmond, WA 98052

und weiterhin:

This message was sent from iContact to [Link nur für registrierte Mitglieder sichtbar. ]d.
It was sent from: iContact AutoResponder, 2635 Meridian Pkwy Suite 200, Durham, NC 27713.
You can modify/update your subscription via the link below.

Die eigentliche Werbung war das übliche Bildchen, das wie auch die anderen Links auf ^whois:willdevout.com weiterleitet.

**kjz1** · 06.06.2010, 21:58

Am Wochenende trieb natürlich auch wieder die Russen-Mafia (AKA [Link nur für registrierte Mitglieder sichtbar. ]) ihr Unwesen. Der Spam kam überhaupt erst durch, weil man 'nach Mugu-Art' versendete, also nicht über Zombies direkt, sondern dazwischengeschaltet gecrackte Mailserver oder Server mit statischer IP. Dafür natürlich weniger Mugu-Spam, die Russen-Mafia hatte halt für die gecrackten Server 'Eigenbedarf' angemeldet....

header:

01: Received: from mi4685.static.petrus.pl (EHLO mta.ice.net) [78.28.46.85]
02:   by mx0.gmx.net (mx035) with SMTP; 06 Jun 2010 xx:xx:xx +0200
03: Received: from web6 ([10.10.1.35]) by fsmail.bromma.com with Microsoft
04: SMTPSVC(6.0.3790.3959);
05: 	 Mon, 07 Jun 2010 xx:xx:xx -0800

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 123.30.181.15 ---> static.vdc.vn

header:

01: Received: from 87-204-152-97.atid.pl (EHLO extmail.bpbb.bigpond.com)
02: [87.204.152.97]
03:   by mx0.gmx.net (mx062) with SMTP; 06 Jun 2010 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 123.30.181.15 ---> static.vdc.vn

Spamhaus meint zwar:

[Link nur für registrierte Mitglieder sichtbar. ]2

replica watch spam site

(also watchez statt pillz), aber wozu ist man bei der Russen-Mafia denn multi-kriminell....

Schmerzfrei registriert bei China Springboard. Also hosten die Vietnamesen jetzt auch 'black hat'. Tja, bei den Kriminellen funktioniert halt eben die ehedem 'sozialistische Brüderfreundschaft' noch, hoch leben die alten Seilschaften....

Ansonsten tummelt sich da noch:

rainmcusic.com A 123.30.181.15
walkroad.com A 123.30.181.15
darkclosed.com A 123.30.181.15
greystand.com A 123.30.181.15
ballmind.com A 123.30.181.15
mindlarge.com A 123.30.181.15
silverlarge.com A 123.30.181.15
balltable.com A 123.30.181.15
raintable.com A 123.30.181.15
www.tablebig.com A 123.30.181.15
balllong.com A 123.30.181.15
greylong.com A 123.30.181.15
largebisg.com A 123.30.181.15
tablesack.com A 123.30.181.15
linesack.com A 123.30.181.15
www.linesack.com A 123.30.181.15
walksack.com A 123.30.181.15
greywalk.com A 123.30.181.15
mcusictank.com A 123.30.181.15
minddark.com A 123.30.181.15
largedark.com A 123.30.181.15
www.largedark.com A 123.30.181.15
diskdark.com A 123.30.181.15
tabledisk.com A 123.30.181.15
balldisk.com A 123.30.181.15
largetrail.com A 123.30.181.15
balltrail.com A 123.30.181.15
lamptrail.com A 123.30.181.15
mcusicball.com A 123.30.181.15
largewarm.com A 123.30.181.15
www.largewarm.com A 123.30.181.15
silverwarsm.com A 123.30.181.15
walkocean.com A 123.30.181.15
www.walkocean.com A 123.30.181.15
rainpen.com A 123.30.181.15
rainopen.com A 123.30.181.15
lampfashion.com A 123.30.181.15
newsmillion.com A 123.30.181.15
flowlap.com A 123.30.181.15
paintlamp.com A 123.30.181.15
mcusicpaper.com A 123.30.181.15
ballsilver.com A 123.30.181.15
newssilver.com A 123.30.181.15
flowsilver.com A 123.30.181.15
jobsilvesr.com A 123.30.181.15
tablegras.com A 123.30.181.15
mangras.com A 123.30.181.15
opengras.com A 123.30.181.15
fastgras.com A 123.30.181.15
tableroads.com A 123.30.181.15
fastpads.com A 123.30.181.15
linetables.com A 123.30.181.15
www.linetables.com A 123.30.181.15
jobpeoples.com A 123.30.181.15
www.linewalks.com A 123.30.181.15
silverdarks.com A 123.30.181.15
tableoceans.com A 123.30.181.15
runoceans.com A 123.30.181.15
tableopens.com A 123.30.181.15
joblaps.com A 123.30.181.15
lampcups.com A 123.30.181.15
roadpapers.com A 123.30.181.15
flowchairs.com A 123.30.181.15
linegrass.com A 123.30.181.15
backgrass.com A 123.30.181.15
walkgrass.com A 123.30.181.15
www.walkgrass.com A 123.30.181.15
greygrass.com A 123.30.181.15
tablemindss.com A 123.30.181.15
tablecupss.com A 123.30.181.15
tablefasts.com A 123.30.181.15
walkflows.com A 123.30.181.15
www.walkflows.com A 123.30.181.15
greyfront.com A 123.30.181.15
dropslist.com A 123.30.181.15
tablecut.com A 123.30.181.15
walkcut.com A 123.30.181.15
www.walkcut.com A 123.30.181.15
goldblow.com A 123.30.181.15
www.roadslow.com A 123.30.181.15
longgrey.com A 123.30.181.15
backgrey.com A 123.30.181.15
singerspa.ru A 123.30.181.15
antthumb.ru A 123.30.181.15
belllead.ru A 123.30.181.15
codemaid.ru A 123.30.181.15
homemold.ru A 123.30.181.15
happendepend.ru A 123.30.181.15
clubfood.ru A 123.30.181.15
showbabe.ru A 123.30.181.15
juicetube.ru A 123.30.181.15
dealfence.ru A 123.30.181.15
coneimage.ru A 123.30.181.15
coverimage.ru A 123.30.181.15
beachpage.ru A 123.30.181.15
chairpage.ru A 123.30.181.15
ropesnake.ru A 123.30.181.15
casemale.ru A 123.30.181.15
czarsale.ru A 123.30.181.15
sweatybottle.ru A 123.30.181.15
chairtime.ru A 123.30.181.15
boxlane.ru A 123.30.181.15
armissue.ru A 123.30.181.15
houraxe.ru A 123.30.181.15
www.anteye.ru A 123.30.181.15
shelfleg.ru A 123.30.181.15
superring.ru A 123.30.181.15
codematch.ru A 123.30.181.15
betaflash.ru A 123.30.181.15
clownfish.ru A 123.30.181.15
shelfjack.ru A 123.30.181.15
roundtruck.ru A 123.30.181.15
labfolk.ru A 123.30.181.15
chipdesk.ru A 123.30.181.15
beastball.ru A 123.30.181.15
chartsmell.ru A 123.30.181.15
beachhill.ru A 123.30.181.15
cheathill.ru A 123.30.181.15
chartarm.ru A 123.30.181.15
donutstorm.ru A 123.30.181.15
chinqueen.ru A 123.30.181.15
shiptrain.ru A 123.30.181.15
canbin.ru A 123.30.181.15
roomcoin.ru A 123.30.181.15
caseion.ru A 123.30.181.15
miciron.ru A 123.30.181.15
roadbun.ru A 123.30.181.15
armsgun.ru A 123.30.181.15
landclown.ru A 123.30.181.15
kidsolo.ru A 123.30.181.15
keyhero.ru A 123.30.181.15
hitzero.ru A 123.30.181.15
clockmap.ru A 123.30.181.15
cowlamp.ru A 123.30.181.15
sunnystamp.ru A 123.30.181.15
clanpup.ru A 123.30.181.15
silkyear.ru A 123.30.181.15
jarpeer.ru A 123.30.181.15
cobrariver.ru A 123.30.181.15
sisterlover.ru A 123.30.181.15
pinksewer.ru A 123.30.181.15
rocktower.ru A 123.30.181.15
clockair.ru A 123.30.181.15
chaircat.ru A 123.30.181.15
cloudcheat.ru A 123.30.181.15
ballnet.ru A 123.30.181.15
statezit.ru A 123.30.181.15
rackbelt.ru A 123.30.181.15
zooant.ru A 123.30.181.15
clownspot.ru A 123.30.181.15
chipskirt.ru A 123.30.181.15
betacourt.ru A 123.30.181.15
moviecourt.ru A 123.30.181.15
chiefquest.ru A 123.30.181.15
rareyou.ru A 123.30.181.15
bandrow.ru A 123.30.181.15
rockpony.ru A 123.30.181.15
chickboy.ru A 123.30.181.15
chairboy.ru A 123.30.181.15
arguebury.ru A 123.30.181.15
chairchevy.ru A 123.30.181.15

- kjz

**schara56** · 13.06.2010, 14:06

header:

01: Received: from 95-143-36-144.goody-service.com (EHLO goody-service.com)
02: 	[95.143.36.144]
03:   by mx0.gmx.net (mx048) with SMTP; 12 Jun 2010 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> geht weiter zu
^whois: [Link nur für registrierte Mitglieder sichtbar. ]/lida/

**kjz1** · 13.06.2010, 15:14

Wurde wohl wieder breit gestreut:

header:

01: Received: from 95-143-36-158.goody-service.com (EHLO goody-service.com)
02: [95.143.36.158]
03:   by mx0.gmx.net (mx051) with SMTP; 11 Jun 2010 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 195.80.148.41 ---> InstantExchanger Ltd., Belize......

leitet weiter auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 195.80.148.48 ---> InstantExchanger Ltd.

- kjz

**Jan-Ludwig** · 14.06.2010, 18:59

header:

01: X-MSKTag: [SPAM]
02: X-MSK: CML=30.711000
03: Return-path: <ywyovaw8497 [at] gotadsl.co.uk>
04: Delivery-date: Mon, 14 Jun 2010 xx:xx:xx +0200
05: Received: from [195.4.92.26] (helo=16.mx.freenet.de)
06: 	by mbox135.freenet.de with esmtpa (ID: [ID filtered]
07: 	ID: [ID filtered]
08: 	for poor [at] spamvictim.tld; Mon, 14 Jun 2010 xx:xx:xx +0200
09: Received: from whalehil.gotadsl.co.uk ([195.149.35.191]:58432
10: 	helo=gotadsl.co.uk)
11: 	by 16.mx.freenet.de with esmtp (port 25) (Exim 4.72 #3)
12: 	ID: [ID filtered]
13: 	for   xxxxx; Mon, 14 Jun 2010 xx:xx:xx +0200
14: From: BestViagraPrices <ywyovaw8497 [at] gotadsl.co.uk>
15: To: poor [at] spamvictim.tld
16: Subject: [SPAM]Mail for xxxx. -70% to all prices all week. of
17: Date: Mon, 14 Jun 2010 xx:xx:xx +0100
18: MIME-Version: 1.0
19: Content-Type: text/html; charset="ISO-8859-1"
20: Content-Transfer-Encoding: 8bit
21: X-purgate-ID: [ID filtered]
22: Delivered-To: poor [at] spamvictim.tld
23: Envelope-to: poor [at] spamvictim.tld
24: Delivered-To: poor [at] spamvictim.tld

Bildchen das nach ^whois: [Link nur für registrierte Mitglieder sichtbar. ] weiterleitet und bei ^whois: [Link nur für registrierte Mitglieder sichtbar. ] endet
(European Pharmacy)

Seite ist schon mit WOT Warnung versehen und die Mail habe ich grade bei Spamcop eingeworfen.

MfG

Jan

**antispam2006** · 14.06.2010, 19:03

Entweder sind die bei ^whois:Inline.de heimlich naiv oder unheimlich abgekocht.

Am Sonntag bekomme ich eine Antwort:

header:

01: Received: from zarafa.inline.de (EHLO zarafa.inline.de) [213.23.74.142]
02:   by mx0.gmx.net (mx083) with SMTP; 13 Jun 2010 xx:xx:xx +0200
03: Received: from [195.158.236.198] (unknown [195.158.236.198]) by
04: 	zarafa.inline.de (Postfix) with ESMTPA ID: [ID filtered]
05: for <xxx>; Sun, 13 Jun 2010 xx:xx:xx +0200 (CEST)
06: Message-ID: [ID filtered]
07: Date: Sun, 13 Jun 2010 xx:xx:xx +0200
08: From: M. F. <*****@inline.de>

Hallo Herr xxx,

der Kunde wurde verwarnt und um Stellungnahme gebeten, warum sein System als Spamsource fungiert.

Gruesse
M. F.
---------------------------------------------------------------------------------------------------

Die Verwarnung scheint nichts zu bewirken, denn heute im Postkörbchen:

header:

01: Return-Path: <bounce [at] newsletter-mueller.com>
02: X-Flags: 1001
03: Delivered-To: GMX delivery to xxx
04: Received: (qmail invoked by alias); 14 Jun 2010 xx:xx:xx -0000
05: Received: from 95-143-36-152.goody-service.com (EHLO goody-service.com)
06: 	[95.143.36.152]
07:   by mx0.gmx.net (mx095) with SMTP; 14 Jun 2010 xx:xx:xx +0200
08: To: xxx
09: Subject: Zu dick?
10: Message-ID: [ID filtered]
11: Date: Mon, 14 Jun 2010 xx:xx:xx +0200
12: From: "Mueller Versand" <admin [at] newsletter-mueller.com>
13: Reply-To: newsletter [at] newsletter-mueller.com
14: MIME-Version: 1.0
15: X-Mailer-LID: [ID filtered]
16: X-Mailer-RecptID: [ID filtered]
17: X-Mailer-SID: [ID filtered]
18: X-Mailer-Sent-By: 1
19: Content-Type: text/plain; format=flowed; charset="UTF-8"
20: Content-Transfer-Encoding: 8bit
21: X-GMX-Antivirus: 0 (no virus found)
22: X-GMX-Antispam: -2 (not scanned, spam filter disabled);
23:  Detail=5D7Q89H36p4L00VTXC6D4q0N+AH0PUCnKGJbGgJLbSXk30NezpdxUg==V1;
24: X-Resent-For: xxx
25: X-GMX-UID: [UID filtered]

Hallo,

sicher kennen Sie das auch? Ihre Blicke haften voller Neid auf der Figur der, die es erreicht haben, das Idealgewicht zu erhalten?

Sie haben sich auch schon oft an diesem Ziel versucht, sind aber bis jetzt immer gescheitert und sind nun schon absolut hoffnungslos?
Geben Sie sich nicht auf denn hier ist eine hervorragende Nachricht fuer alle, die nicht ihre Traumfigur haben. Dank des neuen voellig effektiven Schlankheitskonzepts aus Amerika kann es jetzt auch Ihnen gelingen, innerhalb von kuerzester Zeit mehrere Kilo an Gewicht und mehr zu verlieren!

Infoserhalten Sie unter: ^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Mit freundlichen Gruessen,

Dr. Franz Becker
-----------------------------------------------------------------------------------------------------

Es war allerdings ein anderer Account, also scheint hier selektives Listwashing betrieben zu werden.

^whois:goody-service.com scheint übrigens einen ganzen Block bei ^whois:Inline.de zu betreiben. Von 95.143.36.128 - 95.143.36.191 -> ^whois: [Link nur für registrierte Mitglieder sichtbar. ] Russische Hacker. Was man noch findet ^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Domain IP Address History ^whois:doublevpn.com
1 212.95.60.233 10 Jun 2010 -> netdirekt e. K.
2 94.127.68.240 05 Apr 2010

netdirekt e. K. scheint der Dreh- und Angelpunkt beim deutschsprachigen Pillenspam zu sein. Die Connection zur russischen Szene ist klar.

Gruß Antispam2006

**nospamplease** · 17.06.2010, 10:31

von Nedirekt habe ich alle IPs gesperrt die ich finden konnte. Besonders bei Forenspamming sind die sehr aktiv.

Die sitzen doch in Frankfurt in der Kleyerstr. Will da nicht mal einer vorbeifahren?

Thema: [Sammelthread]Viagra-Spam

Themen-Optionen

Anzeige

Stichworte

Lesezeichen

Lesezeichen

Berechtigungen