[Sammelthread]Viagra-Spam

[kjz1]

header:

01: Received: from vsmx001.vodafonemail.xion.oxcs.net
02: (vsmx001.vodafonemail.xion.oxcs.net [153.92.65.112])
03: 	by xxxxx (Postfix) with ESMTPS
04: 	for <xxxxx>; Tue,  7 Feb 2017 xx:xx:xx +0100 (CET)
05: Received: from mail.arcor.de (unknown [43.245.206.203])
06: 	by mta-5-out.mta.xion.oxcs.net (Postfix) with ESMTPA ID: [ID filtered]
07: 	Tue,  7 Feb 2017 xx:xx:xx +0000 (UTC)

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 160.153.128.30 ---> ip-160-153-128-30.ip.secureserver.net

Und wieder mal eine Kiste bei Godaddy gecrackt...

weiter auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]

IP: 185.48.56.196 ---> Sinarohost LTD, NL

Und wieder einmal erweist sich NL als sicherer Hafen für Ganoven. Die Spuren führen Richtung RU und als Kontaktadresse für den 'Hoster' gibt es ein Datacenter auf einer grünen Wiese in NL...

[stupsel]

Warum ist es um die Firma AdRom Media Marketing so ruhig geworden?
Ratten sind doch Ratten und bleiben Ratten. Das gilt auch hier.

Viagra, Cialis, Kamagra, Fintech, Nachtbrillen, Werkzeugsets, Heizung, Damen die dein Profil besucht haben, PKV-Vergleiche ... es kommt alles aus dem selben Potte. Es wird nur so getan als ob hier mehrere grosse Spammer am Werk sind.
Im Hintergrund läuft aber alles zusammen. Ein paar Firmen dazwischengeschaltet und schon kann man nicht mehr so leicht hinter die Kulissen schauen.
Hast du früher was von Adrom bekommen bekommst du es auch noch heute , nur eben nicht mehr direkt von denen und nicht mehr so leicht nachvollziehbar.

Ratten können sich anpassen und ausdehnen.

[truelife]

Und der Beweis für deine These ist wo zu finden? Ich lese hier nur Mutmaßungen ins Blaue hinein.

[stupsel]

Und der Beweis für deine These ist wo zu finden? Ich lese hier nur Mutmaßungen ins Blaue hinein.

Ich wollte nur helfen in die richtige Richtung zu lenken anstatt dass jemand Katz und Maus mit sich spielen läßt. Aber wer von euch kann da schon was dagegen machen

Den Lackschaden-Stift habe ich oben vergessen. Auch Kredite aus der Ukraine und Russland.
Und natürlich Radarwarner. Da gibts auch Infos über Fax dazu.

N* R* ist nicht tot ~ N* R* ist am Leben.

[Mindgespammt]

Die kriminelle Potenzapotheke Deutschland hat wieder zugeschlagen

header:

01: Return-Path: <info [at] deutsche-apo-25.com>
02: Received: from server29.newslettersupport723.de ([82.165.96.254]) by
03: ...
04: for <poor [at] spamvictim.tld>; Thu, 16 Feb 2017 xx:xx:xx +0100
05: From: "Potenzapotheke Deutschland" <info [at] deutsche-apo-25.com>
06: Subject: Online Versand Apotheke im Internet.
07: To: "xxx" <poor [at] spamvictim.tld>
08: Content-Type: multipart/alternative; boundary="xxx"
09: MIME-Version: 1.0
10: Date: Thu, 16 Feb 2017 xx:xx:xx +0100
11: Envelope-To: <poor [at] spamvictim.tld>

Text unter „reiner Text“

Hallo,

du wurdest zufällig ausgewählt für einen Sonderrabatt in Höhe von 40%

Die bestellte lieferfähige Ware wird innerhalb von 24 Stunden nach Zahlungseingang als Postpaket an die angegebene Lieferadresse versendet.

Gutschein-Code: 40prozentVIP

Direkt bei uns im Shop einlösen:

Webseite

Solltest Du irgendwelche Fragen haben, schreib uns bitte, wir beantworten sie Dir gern und versuchen, dies innerhalb von 48 Stunden zu tun.

Mit freundlichen Grüßen,
Kundenservice

Auszug aus dem Text mit vereinfachtem HTML

Hallo,

du wurdest zufällig ausgewählt für einen Sonderrabatt in Höhe von 45%

Die bestellte lieferfähige Ware wird innerhalb von 24 Stunden nach Zahlungseingang als Postpaket an die angegebene Lieferadresse versendet.

Gutschein-Code: 45prozentVIP

Der Link unter „Webseite“ geht zu ^whois:garten-newsletter5421512556.de/45prozentVIP?kundenid...
und dort geht die Weiterleitung zu ^whois:potenzapotheke-deutschland.de.
Gibt man ^whois:deutsche-apo-25.com direkt ein, so gibt es keine Weiterleitung, die Seite ist aber zu ähnlich zu der aktuellen Seite von ^whois:potenzapotheke-deutschland.de.
Dort hat man gegenüber der bisherigen Seite vom 22.1.17 kräftig aufgeräumt:
- die – geklauten – Bilder von Lager, Büros und Gebäuden sind verschwunden
- die getürkten Adressen sind verschwunden
- das Siegel vom TÜV Süd ist verschwunden
Dafür wird nun das zweite Siegel gleich doppelt und doppelt fies eingesetzt.

[joewein]

Sind alle vom selben Domain-Eigentuemer:

^whois:kamagra-aus-hamburg.de
^whois:potenz-apotheke-deutschland.de
^whois:potenz4.de
^whois:potenzapotheke-deutschland.de
^whois:potenzexperte.de
^whois:potenzmittel-berlin.de
^whois:potenzmittel-dortmund.de
^whois:potenzmittel-hamburg.de

Die (vermutlich gefaelschte) Strassenanschrift hat nicht mal eine Hausnummer und dezu eine Hamburger Telefonnummer fuer eine Anschrift in Stuttgart, na ja...

Googelt man nach "Created by LifeGuard at" wie im "Remarks:" Feld von WHOIS erwaehnt, dann kommt ganz oben ein einschlaegiger Spamhaus ROKSO Eintrag.

[joewein]

Domain-Weiterleitungen:

^whois:apotheke-deutschland-potenz.com => ^whois:potenzapotheke-deutschland.de
^whois:potenz-apotheke-nrw.com => ^whois:potenzapotheke-deutschland.de
^whois:apotheke-deutschland-nrw.com => ^whois:potenzapotheke-deutschland.de
^whois:deutsche-apotheke-hh-potenz.com => ^whois:potenzapotheke-deutschland.de
^whois:potenz-apotheke-deutschland.com => ^whois:potenzapotheke-deutschland.de
^whois:ajanta-apotheke.com => ^whois:potenzapotheke-deutschland.de
^whois:kamagraking.ch => ^whois:potenzapotheke-deutschland.de

[joewein]

Gibt man ^whois:deutsche-apo-25.com direkt ein, so gibt es keine Weiterleitung, die Seite ist aber zu ähnlich zu der aktuellen Seite von ^whois:potenzapotheke-deutschland.de.
Dort hat man gegenüber der bisherigen Seite vom 22.1.17 kräftig aufgeräumt:
- die – geklauten – Bilder von Lager, Büros und Gebäuden sind verschwunden
- die getürkten Adressen sind verschwunden
- das Siegel vom TÜV Süd ist verschwunden
Dafür wird nun das zweite Siegel gleich doppelt und doppelt fies eingesetzt.

Eines der Images auf der Seite ist sehr aufschlussreich:

<img class="img-responsive" itemprop="image" src="https://kamagraking.ch/static/images/products/" alt="">

Denn ^whois:kamagraking.ch leitet zu ^whois:potenzapotheke-deutschland.de weiter. Das laesst auf den selben Urheber schliessen.

[mbauer]

Geld möchte:

Spedition Berlin AB GmbH
IBAN: GB65MIDL40461352053470
BIC: MIDLGB22XXX

[Wuschel_MUC]

Die IBAN beginnt mit "GB", also sollst du das Geld auf ein britisches Konto überweisen.

Es könnte sinnvoll sein, die Bank (evtl. die British Midland Bank?) unter Angabe der Kontonummer vor ihrem merkwürdigem Kunden zu warnen.

Wuschel