Spam per Domain (Whois) Filtern?

[SPages1]

Hallo,
ich habe eine Filter Idee - vielleicht gibt es diese auch schon ich habe sie nur noch nicht gefunden?

Die Idee
Phishing Angriffe werden meist mit Domains ausgeführt die heute oder maximal ein zwei Tage vorher Registriert wurden. Wäre es also vielleicht nicht auch sinnvoll ein Filter zu haben der eine Whois Abfrage macht und Domains die in den letzten ein zwei Tagen Registriert wurden schon mal als mögliche Spam kennzeichnet?

Ein paar aktuelle Beispiele von mir ...

domain: BAR-KREDIT.RU
nserver: ns1.r01.ru.
nserver: ns2.r01.ru.
[...]
created: 2015.07.31
paid-till: 2016.07.31
free-date: 2016.08.31
source: TCI

oder

Domain Name: KRANKENKASSE-KOSTEN.COM
Registrar: ENOM, INC.
Sponsoring Registrar IANA ID: 48
Whois Server: whois.enom.com
[...]
Updated Date: 30-jul-2015
Creation Date: 30-jul-2015
Expiration Date: 30-jul-2016


SPages

[Chactory]

Hallo SPages!

Bitte entschuldige, dass ich Dir erst heute antworte, aber leider musste Michel erst noch die Forensoftware reparieren, man konnte auf einmal nicht mehr überall antworten ...

Die Idee zu diesem Filter finde ich sehr interessant! Ich glaube übrigens, dass damit nur extrem selten falsch-positive Filterungen vorkommen würden. Ich habe Michel gefragt, ob er derzeit eine Möglichkeit sähe, so etwas zu programmieren, doch er hält die Programmierung eines solchen Filters nicht für einfach und hat derzeit aus beruflichen Gründen keine Zeit, es zu probieren. So wird also eine der vielversprechendsten Filterideen der letzten Jahre leider erstmal liegenbleiben müssen.

Herzliche Grüße,
Chactory

[larifaribummbumm]

Hallo,
also ich denke auch, das wird nix.
Eine Filterfunktion über ein Whois ist sicher möglich, bietet aber viele mögliche Fehlerquellen, welche ausserhalb des Programmes "Spamihilator" liegen.
Die Abfragen müssten über mindestens einen Ausweich-abfrage Server laufen..
Und ich denke, die Kommunikation dauert auch zu lange.
Am Ende ist der tägliche Spam doch eher "nicht einordbar".
Ich bekomme regelmäßig Spam, der mit gefälschten Absender winkt..
Von daher, nicht machbar, solange es kein besseres, sicheres Standartprotokoll für dem weltweiten Mailversand gibt. Das aktuelle ist längt überholt und halt fehlerhaft.
Ich bin der Meinung, ein Filter kann Mails checken, und rausfiltern, dennoch MUSS jeder Nutzer auch diese Mails kurz sichten. Das reicht in der Regel schon beim Betreff, oder der "angeblichen" Absendeadresse.
Ein großer Teil des Spams wird auch von Bot "Zombi" Netzen geschaffen, die auf legalen Servern und Absendeadressen basiert.
Es gibt nur eine wirkliche Chance, der Virenscan durch alle weltweiten Provider...Der findet aber nicht statt...

[Chactory]

Hallo larifaribummbumm!

Warte, Lari, der Witz (und gleichzeitig das Problem) dieser Filteridee ist ja gerade, die Mail selbst überhaupt nicht zu überprüfen, sondern nur den Link, den sie präsentiert. Deinen darauf bezogenen Einwand kann ich nachvollziehen. Wenn ich programmieren könnte, würde ich es gerne einfach einmal ausprobieren!

Gruß,
Chactory

[larifaribummbumm]

hmm, ok stimmt schon.

Da ich Spamihilator ja etwas anders nutze, als andere, denke ich oft nur von der Wand bis zur Tapete.
Im Grunde geht es um einen weiteren Filter, wie es ihn schon mehfach als Erweiterung von Spamihilator gibt. Jeder ist in seiner Wirkungsweise anders.
Ich denke jedoch, Spam ändert sich immer wieder, daher hinken Filter immer hinterher.
Selbst bei meiner Trefferquote sind es nicht 100%..

Daher:
dennoch MUSS jeder Nutzer auch diese Mails kurz sichten. Das reicht in der Regel schon beim Betreff, oder der "angeblichen" Absendeadresse.

Das bietet Spamihilator ist bester Form...

[Chactory]

Hallo Lari!

Wie um Himmels Willen kommst Du überhaupt auf diese phantastische Erkennungsrate? (Bei Kuchendiagrammen bekomme ich immer Hunger ... )

Ja, das finde ich auch - im Trainingsbereich kann man die Mails übersichtlich und sicher sehen.

Gruß,
Chactory

[larifaribummbumm]

Die Abfrage von Whois-Daten ist allerdings bei den meisten oder allen Whois-Services unerwünscht und oft nur über eine Webseite möglich.
Ich erinnere mich aber an mehrere Programme, die das trotzdem können. Das könnte aber sehr hohen Traffic/ Rechenverbrauch erzeugen und würde wohl nur mit einer Zusammenarbeit der Betreiber funz´n..
Zudem dann auch Ping und Trace..

Das gibt doch das Server DCC ? Plugin..was ich von der Idee her toll, aber auch fehlerhaft finde.

Da hilft doch sicher auch der Linkfilter...oder dein Regelfilter... Wenn Link vorhanden, wenn Domain ist nicht xx.DE, dann Mülltonne

Probleme habe ich nur mit SPam, welche einen gefälschten Absender haben, z. B. PayP.... Und die bekomme ich mit einer Filterregel raus.
Bei mir kommt keine Mail ins Mailprogramm, die nicht erwünscht ist. Als letzten der Filter habe ich ja noch den Unkassifizierte Mail Filter...
Somit auch kein Tracking mit death Pixel oder so.

[Chactory]

Hallo Lari,

mit Deinen Einwänden zeigen sich doch mehr Hürden für einen solchen Whois-Filter, als gedacht. Die Idee selbst ist bestechend. Schade! Aber im Moment haben wir sowieso niemanden, der so etwas programmiert. Mir ist das zu hoch ...

Der Linkfilter hilft sogar sehr gut, aber manchmal erst, wenn Spamihilator im Trainingsbereich von erkanntem oder manuell markiertem Spam gelernt hat. Und ja, mein Regelfilter hat eine solche Regel, die alle Top-level-domains außer einigen wenigen einfach sperrt, mit extrem geringer Falsch-positiv-Rate.

Wie geht nochmal Deine Pay-Pal-Regel?

Lari, das Tracken mit einem einzigen Pixel ist kein großes Problem mehr, seit sogar Outlook standardmäßig keine Images mehr nachlädt.

Gruß,
der späte Chactory

[larifaribummbumm]

Hallo,
schön, das es dich noch gibt!

Würde gerne noch das mit dem Server DCC erklären:
Onlinespamfilter arbeiten mit einer Blacklist.
Diese kommt zu Stande, dass u.A. User unerwünschte Emails als "unerwünscht" makieren und dann an die Datenbanken übertragen.
Nun ist es aber so, dass manche User z. B. Newsletter bestellen, irgendwann keinen Bock mehr drauf haben und diese als Spam makieren, statt sich abzumelden.
Das Ergebniss ist, dass auch große Versender regelmäßig in der Blockliste landen und stundenlange Erklärungen und Aufwendungen haben, um wieder aus diesen Listen entfernt zu werden.

Bedeutet: Man darf andere User eigentlich nicht entscheiden lassen, was Spam ist und was nicht.
Eine Spammail ist ja personalisiert einzustufen.
Meine Einstellungen würden bei anderen auch nicht klappen...

Daher MUSS jeder Mail als Spam oder NonSPam vom Nutzer bewertet werden.

[larifaribummbumm]

http://www-old.spamihilator.com/forum/viewtopic.php?f=37&t=9061&start=15

überarbeitet:

Name: Paypal Regel 1

Nachricht an das Email Programm weiterleiten.

Alle Bedingungen erfüllen.

"Absender" enthält "service@paypal.de"
"Empfänger" enthält (Regex) "meine bei PP registrierte Emailadresse"
"Nachrichtentext" enthält "meinen Vor + Nachnamen (wie er in einer Originalmail geschrieben steht"

service@paypal.de oder *@paypal.de ist nicht in den Freundes/ Feindeslisten drin.
Gleiche Regel nochmal, aber mit "paypal@e.paypal.de" (wegen anderer Absendeadresse).
Amazonregel, gleich, aber mit "*@amazon.de".
Anwendbar auch auf T-com, 1+1 und andere....

Ich denke, im Grunde ist das wie deine Signaturregel, jedoch mit festen Zuweisungen der Absender...

[larifaribummbumm]

"mit Deinen Einwänden zeigen sich doch mehr Hürden für einen solchen Whois-Filter, als gedacht. Die Idee selbst ist bestechend. "

Da kommt noch hinzu, dass durch veralterte Protokolle die Absender leicht verfälscht werden können.
Sonst würden soviele PP oder Tcom Mails nicht in viele Postfächer durchdringen.

Die grundsätzliche Idee ist gut, aber halt nur wieder ein zusätzlicher Filter, welcher fehlerhaft arbeiten wird, da man keine definitive, funktionierende Datenbank hat.

Ich habe auch die Reihenfolge so eingestellt, dass Mails solange getestet werden, bis sie erkannt werden. Am Ende blockiere ich die NonSpam trotzdem noch (bewusst)....

[Chactory]

Hallo Lari!

allo, schön, das es dich noch gibt!

[larifaribummbumm]

"Hast Du noch eine weitere Bedingung, die enthält, dass alle anderen Mails, die „paypal“ enthalten, ausgesiebt werden? "

Nein, aktuell nicht.
Klappt ja auch nur, solange die Verbindung zwischen Email und realem Namen nicht bekannt ist.
IP könnte noch ne Möglichkeit sein, ob das anwendbar ist, ist fraglich.
Es muss was sein, was in jeder echten mail vorkommt und passend zum Anwender ist.
Also auch nicht als Regel für "die Masse der Nutzer" zu machen...

"aber warum nicht? "
Weil ICH entscheide, was Spam ist und was nicht.
Freunde gehen durch, alles andere ist geblockt und wird von mir auf Wunsch zurückgeholt.
Freundesliste 1.250 Einträge
Feindesliste 11.500 Einträge (aber fast ausschließlich Domains!)

Wenn von unbekannten was kommt, entscheidet zu 99% der Spamwortfilter.

[larifaribummbumm]

Anlage...

[Chactory]

Hallo Lari!

reunde gehen durch, alles andere ist geblockt und wird von mir auf Wunsch zurückgeholt. [...] Freundesliste 1.250 Einträge, Feindesliste 11.500 Einträge (aber fast ausschließlich Domains!)