[Sammelthread]Viagra-Spam

[schara56]

header:

01: Received: from 187-5-136-125.jvece702.e.brasiltelecom.net.br (HELO mail.partner.de)
02: 	[187.5.136.125]
03:   by mx0.gmx.net (mx095) with SMTP; 04 Nov 2011 xx:xx:xx +0100

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ]?promotion=12345&aff_id=12345
Gespamt aus Brasilien und gehostet in CZ.
Dieses mal hat die Postleitzahl aus dem Whois 8 Ziffern.

[schara56]

header:

01: Received: from unknown (HELO mx.1und1.de) [190.213.60.151]
02:   by mx0.gmx.net (mx034) with SMTP; 05 Nov 2011 xx:xx:xx +0100

^whois: [Link nur für registrierte Mitglieder sichtbar. ] der A-Eintrag vermisst noch seine IP-Adresse...
Der Bot welche die Spam hier erbrochen hat sitzt in Tortola.

[schara56]

header:

01: Received: from sg106.internetdsl.tpnet.pl (HELO mail.music.de) [80.55.84.106]
02:   by mx0.gmx.net (mx040) with SMTP; 11 Nov 2011 xx:xx:xx +0100

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ]?promotion=12345&aff_id=12345

[schara56]

header:

01: Received: from ns.formoza-v.ru (HELO ns.formoza-v.ru) [213.234.31.253]
02:   by mx0.gmx.net (mx095) with SMTP; 12 Nov 2011 xx:xx:xx +0100
03: X-Facebook: from zuckmail ([MTI3LjAuMC4x]) 
04:         by facebookfollower.com with HTTP (ZuckMail);

Sieht aus wie ^whois: [Link nur für registrierte Mitglieder sichtbar. ]/profile.php?error_id=9449969 ist aber ^whois: [Link nur für registrierte Mitglieder sichtbar. ]/nevins.html und führt zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ] (Canadian Pharmacy).

[schara56]

header:

01: Return-Path: <usermail [at] menshealth.de>
02: Delivered-To: GMX delivery to x
03: Received: (qmail invoked by alias); 20 Nov 2011 xx:xx:xx -0000
04: Received: from cc103x36.sels.ru (HELO mail4.motorpresse.de) [88.204.103.36]
05:   by mx0.gmx.net (mx032) with SMTP; 20 Nov 2011 xx:xx:xx +0100
06: Date: Sun, 20 Nov 2011 xx:xx:xx +0100
07: To: "Abonummer 17153" <x>,
08: 	"Abo 11945" <x>,
09: 	"Kunde 11774" <x>,
10: 	"Kunden Nr 16937" <x>,
11: 	"Kunde ID: [ID filtered]
12: 	"Kunde-19612" <x>,
13: 	"Kunden-Nr 21655" <x>
14: From: "Topillen Apotheke" <usermail [at] menshealth.de>
15: Reply-to: noreply <noreply [at] menshealth.de>
16: Subject:    guter Sex?
17: Message-ID: [ID filtered]
18: X-Priority: 3
19: Errors-To: jwagI1Ha3eu [at] menshealth.de
20: MIME-Version: 1.0
21: Content-Type: text/plain;
22: 	charset="ISO-8859-1"
23: Content-Transfer-Encoding: 7bit
24: X-GMX-Antivirus: 0 (no virus found)
25: X-GMX-Antispam: 5 (BackTrace mail analyze);
26:  Detail=5D7Q89H36p4L00VTXC6D4q0N+AH0PUCnGL2vqOgpaBYL16oitsMrgDt/NQNpSCZF7bt5n
27:  WT2HM1IO6qc1SXehke7WXpn7uYtFIzYTT79LyzfVJHDMqSnYw==V1;

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ]?promotion=12345&aff_id=12345
Gespamt über Russland und gehosted bei Vanilla Cash in CZ.
Fieser reply-to kombiniert mit fast kreativem HELO.

[schara56]

header:

01: Received: from l49-150-83.cn.ru (HELO assur.rtl.de) [178.49.150.83]
02:   by mx0.gmx.net (mx079) with SMTP; 21 Nov 2011 xx:xx:xx +0100

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu (wie gehabt) ^whois: [Link nur für registrierte Mitglieder sichtbar. ]?promotion=12345&aff_id=12345
Gespamt über Russland und gehosted in CZ.

[schara56]

header:

01: Received: from 130-204-43-27.2073414493.ddns.cablebg.net (HELO
02: 	cornelsen-1.mx.heinlein-support.de) [130.204.43.27]

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu ^whois: [Link nur für registrierte Mitglieder sichtbar. ]?promotion=12345&aff_id=12345
Gespamt über Bulgarien und gehostet in CZ.

[kjz1]

Das dürften alte Bekannte sein:

header:

01: Received: from single-dating-chat.com (HELO single-dating-chat.com)
02: [95.211.44.123]
03:   by mx0.gmx.net (mx107) with SMTP; 24 Mar 2012 xx:xx:xx +0100
04: Received: from singledating ([95.211.44.123])
05: 	by single-dating-chat.com
06: 	; Sat, 24 Mar 2012 xx:xx:xx -0700

Sehr geehrte Kunden
Als treuen und zuverlässigen Bestandskunden möchten wir Ihnen
heute ins unserem Newsletter mitteilen DAS ENDLCIH DIE NEUEN PRODUKTE
EINGETROFFEN SIND:.
Die Vorteile des neuen Shops noch einmal auf einen Blick
- jede Menge neue Produkte in Hülle und Fülle
- Gewohnt günstige Preise
- Diskreter und schneller Versand, Weltweit
- Viel Zahlungsmöglichkeiten
- Mit gewohnt gutem Support
- Garantierte TOP Quallität
Nun wollen wir sie aber nicht länger hinhalten und ihnen unseren neuen
Shop auch zeigen.

Zum neuen Shop
Wir wünschen Ihnen viel Erfolg mit unseren Produkten.
Ihre Bernd Wallhaus
Wenn Sie unseren Newsletter nicht mehr erhalten möchten bitte hier klicken

im HTML-Teil dann:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 94.75.247.167 ---> LeaseWeb, Amsterdam

Nun ja, Leasewb ist ja als Schwarzhut allererster Güte bekannt.

Die URL leitet natürlich weiter auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 77.109.85.142 ---> h142.ru-host.biz/EDPnet-Russia

[kjz1]

Und noch einer:

header:

01: Received: from host-88-132-10-183.prtelecom.hu
02: (host-88-132-10-183.prtelecom.hu [88.132.10.183])
03: 	by spammotel.com (Postfix) with ESMTP ID: [ID filtered]
04: 	for xxxxx; Wed, 21 Mar 2012 xx:xx:xx -0400 (EDT)
05: Received: from  (192.168.1.179) by linkedin.com (88.132.10.183) with
06: Microsoft SMTP Server ID: [ID filtered]

Ähnlichkeiten im Header zu der Zeus-Malware-Gang sind natürlich rein zufällig....

Buy from us and save LOWEST LEVITRA PRICESBest offeron the internet!!Buy
VIAGRA Online - Save!!! convey to your home Quick and securely.Click Here

im HTML-Teil dann:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 188.40.159.25 ---> world-businessideas.ru/FASTVPS-LTD/Hetzner

Also hostet Hetzner jetzt auch schon die Russen-Mafia? Respekt, dann hat man es weit gebracht...

[kjz1]

Und wieder mal uralte Bekannte:

header:

01: Received: from mail1152.ovh.de ([91.221.137.73])
02: 	by mx.kundenserver.de (node=mxbap0) with ESMTP (Nemesis)
03: 	ID: [ID filtered]

IP: 91.221.137.73 ---> OM-Service Company LTD, Ukraine

header:

01: Received: from host158-134-static.113-2-b.business.telecomitalia.it
02: (HELO mail4846.ovh.de) [2.113.134.158]
03:   by mx0.gmx.net (mx046) with SMTP; 30 Aug 2012 xx:xx:xx +0200

Moinsen Paulus,

mir ist gerade eingefallen das du den Link auch haben wolltest. Hier, dies
ist der Ort an dem Adi und Annemirl in letzter Zeit so günstig einkaufen.

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Ich habe mit Engelszungen auf ihn eingeredet, dann hat er es mir verraten.
Ich freue mich schon aufs Grillen. Lieben Gruß an Enya.

Levin

Bonjorno ,

Warst du schon einmal in einer Internet-Apotheke? Echt geile Pillen die
zweifellos auch deinen Pipihahn auf die Sprünge helfen.

Günstig kaufen, schnelle Lieferung. Anonym
er, einfacher und bequemer geht es nicht.

Mit überteuerten Preisen ist jetzt ein für alle Mal Schluss. Normale
Apotheken können da nicht mithalten, besorge dir jetzt hier im Shop.

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Beide Twitter-Weiterleitungen führen zu:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 83.220.33.5 ---> GARS TELECOM, Moscow, Russia

Da arbeitet anscheinend mal wieder jemand der Russenmafia zu.

Post hätte gerne:

[Link nur für registrierte Mitglieder sichtbar. ]