SEO-SPAM: Unnütz und Irreführend

Schon mal eine Rechnung für was bekommen, was nie passiert ist und nie passieren wird ?

Guckt Euch das mal an :

Spam zum Abschluß eines unnützen SEO VertragsDa wird einem suggeriert, daß man eine Rechnung nicht beglichen hätte. Tatsächlich bestand aber nie ein Vertrag. Sowas nennt man dann „versuchten Betrug“. Das Kleingedruckte in Hellgrau auf Weiß klärt dann zwar auf, daß das ja nur ein Angebot wäre, aber wenn man das nicht annimmt, besteht die Chance, daß genau dieses Angebot verfällt 😀 Nach Art und Aufmachen ist das Schreiben geeignet einen falschen Eindruck einer Sache zu liefern, was den Tatbestand des versuchten Betrugs erfüllen dürfte. Das Kleingedruckte da wird die Firma nicht retten 🙂 ( Falls es diese überhaupt gibt)

Nach § 263 StGB macht sich strafbar: „Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er durch Vorspiegelung falscher oder durch Entstellung oder Unterdrückung wahrer Tatsachen einen Irrtum erregt oder unterhält.“

Der Rest von der EMail war dann natürlich auch genau in der Machart, wo unwahre Sachen groß und fett hervorgehoben, aber Einschränkungen extraklein dargestellt werden. Wäre das eine Deutsche Firma gewesen, wärs bei der Polizei gelandet, oder noch besser, beim Abnahmanwalt 😉

Ich habe da mal nachgesehen und in der EMail einen Link zu einer Subdomain „meines Domainnamens“ gefunden, was die Antispamfilter gleich als tolles Indiz für Spam genutzt haben:

http://www.domainde.domapillar.win/unsubscribe.php

Der Inhaber der Second Level Domain ist eine „Firma“ aus Hong Kong, die oh Wunder, einen Whoisparkingservice benutzt. na sowas, wieso tut eine seriöse Firma das wohl 😉 Spamassassin kennt da gleich eine Menge Regeln, die das zuverläßig als das outen was es ist: Spam 😀

 Pkte Regelname Beschreibung
 ---- ---------------------- --------------------------------------------------
 1.7 URIBL_BLACK Contains an URL listed in the URIBL blacklist
 [URIs: domapillar.win]
 1.9 URIBL_ABUSE_SURBL Enthält URL in ABUSE-Liste (www.surbl.org) -
 changed from JP to ABUSE bug 7279
 [URIs: domapillar.win]
 2.5 URIBL_DBL_SPAM Contains a spam URL listed in the DBL blocklist
 [URIs: domapillar.win]
 0.0 HTML_MESSAGE BODY: Nachricht enthält HTML
 0.1 URIBL_SBL_A Contains URL's A record listed in the SBL blocklist
 [URIs: www.domainde.domapillar.win]
 0.6 URIBL_SBL Enthält URL in SBL-Liste (http://www.spamhaus.org/sbl/)
 [URIs: www.domainde.domapillar.win]
 0.0 LOTS_OF_MONEY Huge... sums of money
 0.0 UNPARSEABLE_RELAY Informational: message has unparseable relay lines
X-Spam-MARK-Flag: YES
Subject: *SPAM* -> domain.de Expiration SEO

Die Masche ist natürlich alles andere als neu und wird immer wieder aus der Mottenkiste geholt. Ich habe erst gedacht, die wollten mir teuer die Domain auf einen AmiRegistrar umziehen, so ablenkend ist das formuliert. Das wird auch gern rumgemailt, daß eine Domain ausläuft und man die doch aktiv verlängern müßte. Das ist aber in Deutschland mit deutschen Registraren unüblich, d.h. die verlängern sich automatisch. Das wird von deutschen Registraren auch für andere TLDs so gehandhabt, weil die Kunden das für .DE Domains so gewohnt sind, womit ein versehentliches Auslaufen der Domain nie passieren wird.

Also wie immer: Ab in die Digitale Mülltonne damit.

12 KB langer Spamkommentar

„Hey, @everyspammingmotherfuckeroutthere,

even 12 KB long  comments aren’t giving you any place here, to promote your fucking fake URL 😀 Just forget it.“

Wenn es was nützen würde, würde ich das jeden Tag schreiben, aber es nutzt ja leider nichts 🙂 Bemerkenswert ist diesmal nur die Länge von mehr als 12 KB reinem Text als Kommentar auf einen alten TOP 1 Google Post. Und nicht ein Wort hatte was mit dem wofür der Typ werben wollte zu tun. Denkt Euch mal 12 KB Text aus, der nur nachfragt, wie man auf den Text gekommnen ist, was das fürne Blogsoftware  das ist und all den ganzen Mist den der Typ sich zusammengebastelt hat 😀 Ist auch ne Art Leistung, ich werde Sie aber nicht honorieren, außer um drüber abzulästern 😉

Oh ich sehe grade, der Bot war mehr als zwölfmal mit dem gleichen langen Kommentar da 🙂 Was fürn Fail.

Ist das eigentlich ne Ehre, wenn man in mehreren Sprachen zugespammt wird ? Hat man dann mehr Reichweite gehabt, als nur in seinem Heimatland oder ist das den Bots egal ?

HAHA, einer hat den Kommentar als Texttemplate da gelassen 😀

{I have|I’ve} been {surfing|browsing} online more than {three|3|2|4} hours today, yet I never fouund any interesting article like
yours. {It’s|It is} pretty worth enough for me. {In my opinion|Personally|In my view}, if all {webmasters|site owners|website owners|web owners} andd bloggers
made good content as you did, the {internet|net|web}
will be {much more|a lot more} useful han ever before.|
I {couldn’t|could not}{resist|refrain from} commenting.
{Very well|Perfectly|Well|Exceptionally well} written!|
{I will|I’ll} {right away|immediately} {take hold of|grab|clutch|grasp|seize|snatch} your {rss|rss feed} as I {can not|can’t}
{in finding|find|to find} yor {email|e-mail} subscription {link|hyperlink} or {newsletter|e-newsletter} service.

Da wird dann randomisiert bei jeder Auswahl ein Teil genommen, damits zufällig ist und von den Spamfiltern nicht sofort gefunden wird. Ich kann Euch sagen: Hat nicht funktioniert 😀

Aus all den negativen Spams kann man natürlich schön ablesen, welche Artikel grade bei Google zumindest auf Seite 1 gelandet sind, nicht alle sind auch in den TOP 3, aber einige schaffen es dann doch auf Platz 1 🙂 Ist fast besser als ein externes Ranking, weil man fast tagesgenau sehen kann, welches Thema grade hip ist bei den Bots und damit bei Google 😀

Das Anastasia Botnetz

Spams gibt ja immer und meisten steckt heute ein Botnetz dahinter. Das Netzwerk, das unsere Mailserver derzeit am meisten nervt, ist das von mir so genannte Anastasia Botnetz.

Es ist allerdings leicht am Absender zu identifizieren, der immer das Wort Anastasia am Anfang hat:

2017-08-02 01:44:59 H=(ip-38-239.tricom.net) [186.150.38.239] rejected MAIL <Anastasiabj@tricom.net>: identified as Anatasia Botnet
2017-08-02 01:45:43 H=(ocit-41.189.55.239.aviso.ci) [41.207.201.171] rejected MAIL <Anastasiafab@aviso.ci>: identified as Anatasia Botnet
2017-08-02 01:45:46 H=([115.164.85.255]) [115.164.85.255] rejected MAIL <Anastasiabcbr@puretechnutrition.com>: identified as Anatasia Botnet
2017-08-02 01:47:05 H=([51.36.222.115]) [51.36.222.115] rejected MAIL <Anastasiacoe@incco.com.gt>: identified as Anatasia Botnet
2017-08-02 01:47:27 H=(131-108-125-254.infortek.net.br) [131.108.125.254] rejected MAIL <Anastasiarcae@infortek.net.br>: identified as Anatasia Botnet
2017-08-02 01:47:32 H=160.red-81-39-134.dynamicip.rima-tde.net [81.39.134.160] rejected MAIL <Anastasiaxte@woburnapartments.co.nz>: identified as Anatasia Botnet
2017-08-02 01:47:54 H=([161.132.100.51]) [161.132.100.51] rejected MAIL <Anastasiamm@rhinohandyman.com>: identified as Anatasia Botnet
2017-08-02 01:48:56 H=([186.235.188.234]) [186.235.188.234] rejected MAIL <Anastasiacljgf@pedicur.ru>: identified as Anatasia Botnet
2017-08-02 01:49:06 H=([202.90.136.58]) [202.90.136.58] rejected MAIL <Anastasiaxw@directiva.com.br>: identified as Anatasia Botnet
2017-08-02 01:49:44 H=([175.101.251.27]) [175.101.251.27] rejected MAIL <Anastasiadihu@it-is-it.com>: identified as Anatasia Botnet
2017-08-02 01:50:25 H=(host-177-232-80-119.static.metrored.net.mx) [177.232.80.119] rejected MAIL <Anastasiaazy@metrored.net.mx>: identified as Anatasia Botnet
2017-08-02 01:50:31 H=([27.123.171.127]) [27.123.171.127] rejected MAIL <Anastasiabviyu@hrcbmdfw.org>: identified as Anatasia Botnet
2017-08-02 01:50:32 H=85.233.11.37.dynamic.jazztel.es [37.11.233.85] rejected MAIL <Anastasiayurg@jazztel.es>: identified as Anatasia Botnet
2017-08-02 01:51:18 H=(static.vnpt.vn) [113.161.8.21] rejected MAIL <Anastasiafir@static.vnpt.vn>: identified as Anatasia Botnet
2017-08-02 01:52:20 H=fixed-187-189-92-55.totalplay.net [187.189.92.55] rejected MAIL <Anastasiahw@fixed-187-189-92-55.totalplay.net>: identified as Anatasia Botnet
2017-08-02 01:52:26 H=(static.vnpt.vn) [14.183.242.229] rejected MAIL <Anastasiaud@static.vnpt.vn>: identified as Anatasia Botnet
2017-08-02 01:52:34 H=(static-ip-cr18152012787.cable.net.co) [181.52.127.87] rejected MAIL <Anastasiaxcs@cable.net.co>: identified as Anatasia Botnet
2017-08-02 01:53:09 H=(host-177-232-87-110.static.metrored.net.mx) [177.232.87.110] rejected MAIL <Anastasiarclg@metrored.net.mx>: identified as Anatasia Botnet
2017-08-02 01:53:20 H=red.connectbd.com [202.79.16.10] rejected MAIL <Anastasiavpuup@red.connectbd.com>: identified as Anatasia Botnet
2017-08-02 01:53:42 H=([161.132.100.51]) [161.132.100.51] rejected MAIL <Anastasiaualik@grouptower.com>: identified as Anatasia Botnet
2017-08-02 01:54:30 H=([123.23.241.122]) [123.23.241.122] rejected MAIL <Anastasianwz@ubsystems.com>: identified as Anatasia Botnet
2017-08-02 01:55:05 H=(187.253.122.253.cable.dyn.cableonline.com.mx) [187.253.122.253] rejected MAIL <Anastasiadabgp@cableonline.com.mx>: identified as Anatasia Botnet
2017-08-02 01:57:59 H=(static.vdc.com.vn) [113.190.40.226] rejected MAIL <Anastasiailk@vdc.com.vn>: identified as Anatasia Botnet
2017-08-02 01:58:21 H=([191.99.126.26]) [191.99.126.26] rejected MAIL <Anastasiafsg@zarlock.com>: identified as Anatasia Botnet
2017-08-02 01:59:32 H=([41.216.32.42]) [41.216.32.42] rejected MAIL <Anastasiaecous@vertexconsultancy.co.in>: identified as Anatasia Botnet
2017-08-02 01:59:42 H=(181-174-59-224.telebucaramanga.net.co) [181.174.59.224] rejected MAIL <Anastasiajinv@simtecno.com.br>: identified as Anatasia Botnet
2017-08-02 02:00:19 H=([31.145.75.194]) [31.145.75.194] rejected MAIL <Anastasiaonl@juste.com.tw>: identified as Anatasia Botnet

Das dies nur ein kleiner Ausschnitt von nur einer einzigen Maschine ist, deutet das Ausmaß des Botnetzes an.

Für alle die einen EXIM Mailserver betreiben, hier die Regel um die Spams gezielt auszufiltern:

acl_check_mail:

# Hosts are required to say HELO (or EHLO) before sending mail.
...
drop message = identified as Anastasia Botnet
     condition = ${if match{$sender_address}{\N^Anastasia.*\N}{1}{0}}

Natürlich ist die Regel sehr grob, auch eine echte Anastasia.Kulikovwa@mail.ru würde ausgefiltert werden, aber im Gegensatz zu zum Botnetz, könnte die Dame zum Telefon greifen und einfach anrufen, daß die Mails nicht ankommen. Davon abgesehen sind 0.01% falsche Treffer eine echt gute Quote, mit der ich persönlich leben kann 🙂

Selbstverständlich könnte man die Regeln entsprechend verfeinern:

 condition = ${if match{$sender_address}{\N^Anastasia.{2,5}@.*\N}{1}{0}}

Diese Anpassung entspricht dem Muster, daß nach Anastasia noch bis zu 5 zufällige Zeichen kommen vor dem @.

Da es ähnliche Regelsätze für andere Mailserver gibt, könnt Ihr da natürlich jetzt Eure eigenen Anpassungen machen.