Probleme mit einem Typ von Spam

[highend]

Spamihilator-Version: 1.0
Betriebssystem: Windows 7
Architektur: 32-Bit
E-Mail-Programm: Outlook 2010
Installierte Plugins: Standard + Charset

Wurde eine Fehlermeldung vom System erzeugt? Wenn ja, welche (genaue Beschreibung)?
Nein

Lässt sich der Fehler reproduzieren? Wenn ja, wie?
Bisher schon. E-Mail eines solchen Typs wird als Non-Spam klassifiziert.

Ist eine andere Sicherheitssoftware außer Spamihilator auf dem System installiert? Wenn ja, welche?
Nein.

Wurde kürzlich ein Update oder eine Neuinstallation von Spamihilator durchgeführt?
Nein

Hast du das Forum bzw. die FAQ schon nach ähnlichen Problemen duchsucht?
Ja

Guten Morgen,

ich verwende Spami erst seit 2-3 Tagen und habe mich im Forum vorher schlau gelesen, wie man die Filter am besten einstellen sollte.

Zuerst meine verwendeten Filter + Reihenfolge + ihr Verhalten:
S = Spam | NS = No-Spam | c = continue (fahre fort) | e = end (beende)
Newsletter-Plugin: S:c | NS:e
Regelfilter: S:c | NS:e
DCC-Filter: S: e | NS: c
Link-Filter: S: e | NS: c
Charset Plugin: S: e | NS: c
Spam_Wort-Filter: S: e | NS: c
Lernender Filter: S: e | NS: e

Jetzt der Typ Spam, der bisher immer durchkommt:

Beispiele Betreffzeilen:
Potenzpil+/le/n immer online kau/fe-n
Po;:n.mi'tel r..eptfrei bes;ell;n
Pot_e!nzmittel kostenlos im Inter-net bestel/l/en
usw.

Inhalte:

Hallo
Diskret, Bestellung+von Hilfsmitteln online und schnell.
http://banish.swissliebeshelfer.in
---

Hallo
Die besten Lifestyle Produkte fuer.gute_ Sex u;d frivo:le *piele.
http://malicote.mehrkraftimbett.de
---

Hallo
Bleibt ;.+e+E!rektion;ha;t?
http://heironimus.mehrkraftimbett.de

usw.

Trotz umdeklarieren aller solcher E-Mails im Trainingsbereich auf SPAM und lernen lassen, kommt die gleiche Art von Mail jedesmal wieder durch. Der Lernende Filter kann dem Ganzen also scheinbar nicht so viel abgewinnen.

Die Reihenfolge und das Verhalten hab ich mir bei http://www.chactory.de/k_spamihilatorfilter.htm abgeschaut.

Der DCC Filter ist zur Zeit auf 1300 eingestellt. Ein Mittelwert aus den Usermeinungen.

Mit welchem Filter (evtl. auch ein Zusatzfilter) werde ich dieser Art von Spam Herr, wenn der Lernende Filter (der schon ca. 20 von diesen Mails lernen "durfte") dabei scheinbar versagt und der DCC Filter nach Möglichkeit nicht weiter runtergestellt werden soll (da ansonsten zuviele andere Mails als Spam deklariert werden, die eigentlich keine sind)?

Danke und Gruß,
Highend

[edit] Habe die Links entschärft, Chactory [/edit]

[anbuva]

Hallo highend!

ja, diese Art kenne ich. Diese bekomme ich derzeit auch und rutschen einfach durch (einfach zu viele Varianten). Wollte ich auch schon posten (Du warst schneller). Hier ist wohl unser Experte Chactory gefragt (an ihn wäre meine Frage auch gegangen). Ich denke mit einer guten "Regex" sollte man das schon hinbekommen.

Gruß
anbuva

[Chactory]

(Melde mich morgen - bin zu müde ... *yawn*)

[highend]

Nachdem ich mir jetzt so einige E-Mails davon im Detail angesehen habe, würde mir im Moment nur eine halbwegs sinnvolle Sache dazu einfallen:

Regel Filter benutzen.

* Alle Bedingungen erfüllen:
1. Andere -> charset enthält iso-8859-1
2. Nachrichtentext enthält (Regex) ^Hallo$
3. Nachrichtentext enthält (Regex) ^(https?)://[-A-Z0-9+&@#/%?=~_|$!:,.;]*[A-Z0-9+&@#/%=~_|$]$

Erläuterungen:
Diese Form des Charsets hab ich persönlich in keiner einzigen anderen E-Mail und sie wird immer für diese Art des Spams benutzt.
Der Spam beginnt immer mit einem "Hallo" auf einer einzelnen Zeile und er enthält immer einen Link auf einer einzelnen Zeile.

Der eigentliche Nachrichtentext lässt sich kaum sinnvoll verarbeiten, außer es gibt eine Möglichkeit das Auftreten von Zeichen per Regex zählen zu lassen und bei Überschreiten einer Grenze als Spam zu markieren.

Normalerweise würde man das über "word boundaries" etwas vereinfachen können, aber viele der verwendeten Zeichen sind selber welche.
Standardregex für das Auffinden solcher Sonderzeichen wäre z.B.: "[^a-z0-9]". case-insensitive arbeiten die Regexes in Spami ja meines Wissens eh?

Da ich bisher keinen Regelfilter erstellt habe und auch noch nie mit der Regexsprache von Spami gearbeitet habe: Sind die regulären Ausdrücke so syntaktisch korrekt und ist die Verwendung von charset mit Inhalt in der Nachrichtenkopfzeile so einwandfrei?

Ich versuche es mal mit diesem Filter und schau mir an, ob er was erwischt...

[anbuva]

Hallo highend!

da bin ich mal gespannt, was Deine Ergebnisse sagen werden. Spami und das Forum leben und profitieren ja von seinen Usern und deren Ideen und Entwicklungen.

Gruß
anbuva

[highend]

Die Nachrichten kommen trotzdem durch, es muss also ein "syntaktisches" Problem sein.

Gibt es irgendeine Möglichkeit, sich anzeigen zu lassen, welche der 3 genannten Kriterien auf eine Mail hätten zutreffen müssen / zugetroffen sind?

[anbuva]

Hallo highend!

mir nicht bekannt bzw. nicht möglich. Wäre aber eine schöne Idee. Gerade wenn eine Regel viele verschiedene Bedingungen enthält.

Gruß
anbuva

[anbuva]

Hallo!

mittlerweile haben die Spammer eine neue (aber blöde und für mich positive) Strategie. Die letzten Mails wurden jetzt durch den Misnamed-Filter abgefangen. Sie hätten mal bei ihrer alten Variante bleiben sollen; die gingen bei mir durch
Trotzdem wird das natürlich nicht von Dauer bleiben. Diese Varianten werden sicherlich weiterhin und in alter Form wieder auftauchen, wo die Regex vorteilhaft wäre.

Gruß
anbuva

[Quellcore]

[Quellcore]

Hallo highend!

Ich würde einen leicht anderen Ansatz wählen:
Eine neue RegExp für Potenzmittel/Potenzpillen basteln, die auch mit den Verstümmlungen klarkommt.
Da ich ja schon eine im Einsatz habe, muss ich diese nur noch ein wenig (oder auch mehr) tweaken.
Ich melde mich, wenn ich durch bin mit dem Testen.

Gruß
Quellcore

[highend]

[anbuva]

Hallo Quellcore!

ich habe jetzt noch einmal meinen Papierkorb kurz durchforstet und muss mich korrigieren. Tatsächlich wurden doch schon mehrere dieser Art in der Vergangenheit durch andere Filter abgefangen. Auch z. B. vom DCC und SpamWort-Filter. Letzter aber wegen anderer Wörter in dieser Mail. Wenn ich den Inhalt bzw. den Betreff vergleiche, kommt auf jeden Fall immer das Wort "Po...pi...en" vor. Eben nur in verschiedenen Varianten. Das ist wohl auch das Problem, warum dann einige eben doch wieder durch die Filter bei mir flutschen.
Ich könnte meine Filter natürlich ein wenig "verschärfen", aber das möchte ich eigentlich nicht. Der DCC hat bei mir extra einen etwas höheren Schwellenwert.
Wäre hier nicht als Möglichkeit der Spamwort-Filter zu sehen? Ich könnte mir vorstellen, dass wir hier damit keine Regel extra mehr brauchen, da wir im Wortfilter ja schon ein ähnliches Wort finden können, was nur noch optimiert werden müsste. Das könnte dann ja schon eine Lösung sein (und/oder eine Erweiterung von Chactory Spampoints-Liste).

Gruß
anbuva

[anbuva]

Hallo highend!

Du hattest auch Mails, wo das von mir oben erwähnte Wort (auch in veränderter Form) nicht vorkam? Auch nicht im Betreff? Hm, dann würde meine letzte Überlegung im Bezug zum Wortfilter nicht mehr ganz passen bzw. nur für mich im Augenblick zutreffen. Jetzt muss ich mal darauf achten, ob ich auch andere Mails bekomme, die ohne das Wort bei mir durchgehen. Dann müsste ich vielleicht tatsächlich noch mal an meinen Einstellungen im Spami schrauben.

Gruß
anbuva

[Quellcore]

[anbuva]

Hallo Quellcore!

eine geeignete Regex dafür wäre toll. Das würde mir und anderen ja schon helfen. Wie der Regex-Ausdruck dann aussehen müsste, wäre ein anderes Problem

Gruß
anbuva