[Sammelthread]Viagra-Spam

[schara56]

dto.: gespamt über Russland und gehostet in Russland - ein schönes Paket.

header:

01: Received: from 79-20-46-142.saransk-com.ru (HELO mail110.ovh.de) [46.20.79.142]
02:   by mx0.gmx.net (mx063) with SMTP; 31 Aug 2012 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu
^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> weiter zu
^whois: [Link nur für registrierte Mitglieder sichtbar. ]

Man beachte den Port 8080 anstelle von 80.

Eine Hausnummer (^whois:91.216.190.164)weiter sieht es auch ganz putzig aus:

    10x-viagra-rezeptfrei.info
    12x-viagra-kaufen.info
    12x-viagra-rezeptfrei.info
    14x-viagra-kaufen.info
    14x-viagra-rezeptfrei.info
    16x-viagra-kaufen.info
    16x-viagra-rezeptfrei.info
    18x-viagra-kaufen.info
    18x-viagra-rezeptfrei.info
    1x-viagra-kaufen.info
    1x-viagra-rezeptfrei.info
    20x-viagra-rezeptfrei.info
    24x-viagra-kaufen.info
    24x-viagra-rezeptfrei.info
    2x-viagra-kaufen.info
    4x-viagra-kaufen.info
    6x-viagra-kaufen.info
    8x-viagra-kaufen.info
    8x-viagra-rezeptfrei.info
    apotheketopillen.info
    bestellen-sie-1-viagra.info
    bestellen-sie-10-viagra.info
    bestellen-sie-12-viagra.info
    bestellen-sie-14-viagra.info
    bestellen-sie-16-viagra.info
    bestellen-sie-20-viagra.info
    bestellen-sie-24-viagra.info
    bestellen-sie-4-viagra.info
    bestellen-sie-8-viagra.info
    cialis-topillen-apotheke.info
    genericas-topillen-apotheke.info
    generika-topillen-apotheke.info
    kaufen-sie-10x-viagra.info
    kaufen-sie-12x-viagra.info
    kaufen-sie-14x-viagra.info
    kaufen-sie-18x-viagra.info
    kaufen-sie-1x-viagra.info
    kaufen-sie-20x-viagra.info
    kaufen-sie-4x-viagra.info
    potenzmittel-jetzt-kaufen.info
    rezept-frei-kaufen-jx.info
    rezeptfrei-viagra-kaufen.de
    sichere-top-apotheke.info
    sichere-viagra-apotheke.info
    topillen-apo.info
    topillen-online-apotheke.info
    topillen-testsieger.info
    topillen-trust.info
    topillen-vital.info
    topillenapotheke.info
    trust-topillen.info
    viagra-generika-bestellen.info
    viagra-generika-topillen-apotheke.info
    viagra-generikas-topillen-apotheke.info
    viagra-rezeptfrei-ordern.de
    viagra-top-apotheke.info
    viagra-topillen-apotheke.info
    www.14x-viagra-kaufen.info
    www.16x-viagra-kaufen.info
    www.18x-viagra-kaufen.info
    www.1x-viagra-kaufen.info
    www.26x-viagra-kaufen.info
    www.4x-viagra-kaufen.info
    www.potenzmittel-jetzt-kaufen.info
    www.rezept-frei-kaufen-jx.info
    www.rezeptfrei-viagra-kaufen.de

[Gaia]

Alter.. einen Müllmann ist man los, da kommt das Pillz-Pack über gmx und müllt mir mit Viagra-Spam das Postfach zu
Ich hoffe ich habe richtig anonymisiert, ich koche gerade vor Wut!

header:

01: Return-path: <24337561572 [at] 4m-fourum.de>
02: Delivery-date: Sat, 01 Sep 2012  
03: Received: from [195.4.92.25] (helo=15.mx.freenet.de)
04: 	by mbox24.freenet.de with esmtpa (ID: [ID filtered]
05: 	ID: [ID filtered]
06: 	for <me> ; Sat, 01 Sep 2012 
07: Received: from oxfo-bb-occam4-ws-170.dsl.maqs.net ([66.206.53.171]:1992
08: 	helo=mail80.bluewin.ch)
09: 	by 15.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1)
10: 	ID: [ID filtered]
11: Message-ID: [ID filtered]
12: Date: Sat, 01 Sep 2012 
13: Reply-To: "Info" <24337561572 [at] 4m-fourum.de>
14: From: Diskrete-Apotheke <35145.12603 [at] gmx.com>
15: MIME-Version: 1.0
16: To: <me>
17: Subject: Original und Generika Potenz-Mittel
18: Content-Type: text/plain;
19: 	charset="Windows-1252"
20: Content-Transfer-Encoding: 7bit
21: X-Priority: 2
22: X-purgate-ID: [ID filtered]
23: Delivered-To: me
24: Envelope-to: me
25: Delivered-To: me

Junge ich bin eine Frau und ich brauche den Pillz-Dreck wie Zahnschmerzen!!

Seit ungefähr 3 Wochen blockiere ich den Müll, scheinbar werden bei gmx Accounts im Tausenderpack erstellt.

[antispam2006]

Seit ungefähr 3 Wochen blockiere ich den Müll, scheinbar werden bei gmx Accounts im Tausenderpack erstellt.

Wie kommst du darauf? Wegen der Absenderadresse? Die kann man beliebig fälschen. Ich mag zwar GMX nicht besonders, aber in diesem Fall sind sie unschuldig, zumindest wenn ich mir den Header anschaue. Dort ist kein einziger Server von GMX involviert.

Gruß Antispam2006

[Gaia]

Ich habe mich mal etwas näher mit der IP 195.4.92.25 und die kann man freenet.de zuordnen. Mit GMX meinte ich die Absenderadressen, die schon nach gestellt stinken.
Die abuse-Abteilung von freenet bekommt nun eine etwas unfreundliche e-Mail, weil der Spam schon länger andauert (der aktuelle Spamrun ist nur ein Teil) und es scheint wohl niemanden zu interessieren.
Ich hege ja auch den Verdacht, dass hier eher freenet selbst die Spamschleuder ist, eventuell kann mal jemand von den erfahrenen Usern die Spammail auseinander nehmen.

[schara56]

...] die Spammail auseinander nehmen.

Der Relay / Versand der Spam kam aus den verunreinigten Staaten von Amerika und zwar von der IP ^whois:66.206.53.171 (MARQUETTE-ADAMS TELEPHONE COOPERATIVE, INC.)

07: Received: from oxfo-bb-occam4-ws-170.dsl.maqs.net ([66.206.53.171]:1992
08: helo=mail80.bluewin.ch)
09: by 15.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1)
10: ID: [ID filtered]

Dann erfolgte die Freenet-interne Weiterverarbeitung. Entgegengenommen hat die Spam die IP ^whois:195.4.92.25 (Freenet AG) und hat diese dann an den Host mit dem Namen ^whois:mbox24.freenet.de weiter gereicht - IP ^whois:195.4.93.24. Beide IPs gehören zu Freenet.

03: Received: from [195.4.92.25] (helo=15.mx.freenet.de)
04: by mbox24.freenet.de with esmtpa (ID: [ID filtered]
05: ID: [ID filtered]
06: for <me> ; Sat, 01 Sep 2012

[Mittwoch]

Mit GMX meinte ich die Absenderadressen, die schon nach gestellt stinken.

Ich nehme nicht an, dass die Drahtzieher des Spams bei GMX auch nur einen Account eingerichtet haben. Bekanntlich kann man Absenderangaben in E-Mails beliebig fälschen, und Spammer nehmen häufig als vermeintlichen Absenderhost die in dem Zielland des Spams am weitesten verbreiteten Freemail-Anbieter. Zum Einen wegen des dadurch vielleicht niedrigeren Spam-Scores, was allerdings eine untergeordnete Rolle spielen dürfte, zum Anderen auch wegen der sozialen Komponente. Da viele Menschen im Zielland in ihrem Bekanntenkreis sicherlich mindestens eine Person haben, die eine Freemail-Anbieter-Adresse nutzt, sinkt das Misstrauen gegenüber solcher Adressen.

Nun ja, Spammer wollen in der Regel keine Mailadresse haben, unter der sie für ihre Opfer erreichbar sind, 419er mal ausgenommen. In diesem Sinne spielt es keine Rolle, ob die als Absender angegebene Mailadresse tatsächlich bei dem Freemail-Hoster existiert. Solche Accounts aus der Taufe zu heben, wäre nur unnötiger Aufwand, bei dem man zusätzlich noch Datenspuren hinterlässt. Sehr unwahrscheinlich, dass Spammer dort Mailadressen in den von Dir genannten Dimensionen anlegen, um die nach und nach zu verbrennen.

Schönen Gruß
Mittwoch

[Gaia]

Danke schara56,
Also ist der Anbieter aus Wisconsin der Verursacher.
Ich gebe zu, dass ich von der Materie echt keine Ahnung habe, weil ich auch solche e-Mails nie öffne und das mit dem Header erst hier gelernt habe.
Ich nutze auch kein Mailprogramm, keine Kontaktlisten oder ähnliches, da ich kaum e-Mails schreibe und das Postfach nur zu Registrierungszwecken angelegt habe (komischerweise ist freenet.de einer der Anbieter, wo die e-Mail-Adresse immer akzeptiert wird).
Ich habe nach den 2 IPs neugierhalber gegoogelt und bin bei utrace auf das selbe Ergebnis gekommen. Ich glaube ich muss mich wohl oder übel doch mal mehr mit diesem Gebiet beschäftigen.
Danke auch Dir Mittwoch, Deine Argumentation ist schlüssig und bestätigt den Verdacht, den ich schon hatte.

Entschuldigung an GMX, für gefälschte Absenderadressen kann der Anbieter nun wirklich nichts.

[schara56]

Gespamt über den Sudan und final gehostet in Russland

header:

01: Received: from unknown (HELO mail73753.kicker.de) [41.202.166.132]
02:   by mx0.gmx.net (mx063) with SMTP; 09 Sep 2012 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> ^whois: [Link nur für registrierte Mitglieder sichtbar. ] -> ^whois: [Link nur für registrierte Mitglieder sichtbar. ]:8080

[kjz1]

Hier ebenso wieder aktiv:

header:

01: Received: from 94-52-138-81.next-gen.ro (HELO mail58.kicker.de)
02: [94.52.138.81]
03:   by mx0.gmx.net (mx002) with SMTP; 09 Sep 2012 xx:xx:xx +0200

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

als Redirekt auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 83.220.33.5 ---> GARS TELECOM, Russia

Auch bei Spamhaus bestens bekannt:

[Link nur für registrierte Mitglieder sichtbar. ]

Ref: SBL139882
83.220.33.5/32 is listed on the Spamhaus Block List (SBL)
2012-09-05 23:07:25 GMT | SR29 | garstelecom.ru
Spammer hosting @83.220.33.5 (bestellung.swissapotheke.de et al)

9/05/2012:
Same spammer is still hosted here, and is still spamming. Uses redirector sites to mask URL in spam, to prevent filtering.

Post hätte gerne:

[Link nur für registrierte Mitglieder sichtbar. ]

[Gaia]

header:

01: Return-path: <42712805426 [at] b-jacobs.de>
02: Delivery-date: Fri, 07 Sep 2012  +0200
03: Received: from [195.4.92.28] (helo=18.mx.freenet.de)
04: 	by mbox24.freenet.de with esmtpa (ID: [ID filtered]
05: 	ID: [ID filtered]
06: 	for me; Fri, 07 Sep 2012 xx:xx:xx +0200
07: Received: from wester151.lnk.telstra.net ([203.45.162.165]:3165
08: 	helo=mail72.bluewin.ch)
09: 	by 18.mx.freenet.de with esmtp (port 25) (Exim 4.76 #1)
10: 	ID: [ID filtered]
11: Message-ID: [ID filtered]
12: Date: Thu, 06 Sep 2012 xx:xx:xx -0700
13: Reply-To: "Info" <42712805426 [at] b-jacobs.de>
14: From: Versad-Swiss-Apo <4.82616 [at] gmx.net>
15: MIME-Version: 1.0
16: To: 
17: Subject: Hilfe bei Errektions_Problemen
18: Content-Type: text/plain;
19: 	charset="Windows-1250"
20: Content-Transfer-Encoding: 7bit
21: X-purgate-ID: [ID filtered]
22: Delivered-To: me
23: Envelope-to: me
24: Delivered-To: me

Frisch aus dem Postfach gefischt, der Verursacher sitzt in Canberra/Australien.

Nachtrag:
Die Kundenbetreuung von freenet.de hat mir geantwortet und ich habe doch noch extra Möglichkeiten zu filtern. Habe nun die Einstellungen angepasst und ich hoffe der Dreck wird nun gleich gefiltert.