Wie wenig unterscheidet Spam von Non-Spam!

[Chactory]

Hi zusammen!

Ich habe zwei fast identische Mails erhalten. Die erste wurde als Spam erkannt, die zweite mit unbekannter Einstufung ans Mailprogramm ausgeliefert.

1. Als Spam erkannt:

Code: Alles auswählen

Return-path: <zzv@hmailserver.com>
Delivery-date: Fri, 19 Apr 2013 03:35:04 +0200
Received: from [195.4.92.21] (helo=11.mx.freenet.de)
   by mbox36.freenet.de with esmtpa (ID exim) (Exim 4.80.1 #3)
   id 1UT0EB-0003Rp-VX
   for freenet@01019freenet.de; Fri, 19 Apr 2013 03:35:03 +0200
Received: from 227-2.108.dedicado.com.uy ([190.108.2.227]:2000 helo=localhost12)
   by 11.mx.freenet.de with smtp (port 25) (Exim 4.80.1 #3)
   id 1UT0E9-0000eq-8X; Fri, 19 Apr 2013 03:35:03 +0200
Received: from 74.103.227.120 by localhost12; Fri, 19 Apr 2013 08:29:59 +0600
Message-ID: <TJAVBFRFPNITJWPRBCMQLRR@yahoo.com>
From: "Nico Bergmann" <zzv@hmailserver.com>
Reply-To: "Nico Bergmann" <zzv@hmailserver.com>
To: martin.czerny@freenet.de
Subject: Nachricht
Date: Thu, 18 Apr 2013 23:28:59 -0300
MIME-Version: 1.0
Content-Type: multipart/alternative;
   boundary="--34409492120187125"

----34409492120187125
Content-Type: text/plain;
Content-Transfer-Encoding: 7Bit

Guten Tag,

Wir bieten Ihnen Kredite an.

- Kredit wählbar bis zu 100 000 Euro
- Angebot ist kostenlos
- Immer die aktuellsten Zinsen
- schufafreier Kredit ist möglich

http://just.as/z----b

Mit freundlichen Grüssen
INL. WEB LTD

E-Mail austragen unter:
http://just.as/zqMzYb/un.php?rm=7----8

izwcbq

----34409492120187125—

Filterungsgrund:

Als Spam eingestuft durch „Lernender Filter“
Spamwörter: unphp, F*hmailserver, LTD, Kredite, austragen, R*hmailserver, Kredit, just
Non-Spam-Wörter: F*Bergmann, freundlichen, bis, Tag, möglich, T*martin, Email

2. An das Mailprogramm ausgeliefert:

Code: Alles auswählen

Return-path: <ygy@techemail.com>
Delivery-date: Fri, 19 Apr 2013 04:05:40 +0200
Received: from [195.4.92.24] (helo=14.mx.freenet.de)
   by mbox64.freenet.de with esmtpa (ID exim) (Exim 4.80.1 #3)
   id 1UT0hT-0007Ny-0x
   for freenet@01019freenet.de; Fri, 19 Apr 2013 04:05:19 +0200
Received: from host-46-50-254-158.bbcustomer.zsttk.net ([46.50.254.158]:4375 helo=localhost12)
   by 14.mx.freenet.de with smtp (port 25) (Exim 4.80.1 #3)
   id 1UT0hQ-0006C8-QJ; Fri, 19 Apr 2013 04:05:17 +0200
Received: from 144.180.246.237 by localhost12; Thu, 18 Apr 2013 22:57:28 -0400
Message-ID: <BMNMSUDEATKELXOYUIZTTXXV@gmx.com>
From: "Matthis Weber" <ygy@techemail.com>
Reply-To: "Matthis Weber" <ygy@techemail.com>
To: nicole-umbreit@freenet.de
Subject: Nachricht
Date: Fri, 19 Apr 2013 04:59:28 +0200
MIME-Version: 1.0
Content-Type: multipart/alternative;
   boundary="--963493888354524208"

----963493888354524208
Content-Type: text/plain;
Content-Transfer-Encoding: 7Bit

Guten Tag,

Wir bieten Ihnen Kredite an.

- Kredit wählbar bis zu 100 000 Euro
- Angebot ist kostenlos
- Immer die aktuellsten Zinsen
- schufafreier Kredit ist möglich

http://twurl.nl/2----g

Mit freundlichen Grüssen
INL. WEB LTD

E-Mail austragen unter:
http://twurl.nl/2jqgag/un.php?rm=9----8

xgrs

----963493888354524208—

Möglicherweise hat der bereits aus anderen Spam-Mails bekannte Mailserver „hmailserver“ den Ausschlag für die Erkennung als Spam der ersten Mail gegeben.

Jetzt hat Spamihilator von beiden Mails gelernt − die zweite habe ich natürlich vor dem Lernen als Spam markiert. Ich gehe daher davon aus, daß solche Mails zukünftig blockiert werden.

Was erwartet wohl den naiven (und vielleicht gierigen) User, der tatsächlich auf einen der Links klickt? Im besten Fall ein Malwarebefall, im schlimmsten Fall eine Weiterleitung zu einer Website, auf der man dann richtig abgezockt wird.

Gruß,
Chactory

[larifaribummbumm]

Hallo Chactory,

na dann änder mal fix deine "Austragelinks", sonst klickt die noch jemand an ...und du bekommst noch viel mehr zum testen.

Grüße

[Chactory]

Hallo larifaribummbumm!

Vielen Dank für Deine Antwort! Meinst Du in den Code-Abschnitten? Die werden ja nicht in aktive Links umgewandelt. Jemand müßte sie bewußt per Copy-Paste in seinen Browser eintragen. Also, was ich meine ist, man kann die bösen Links innerhalb eines Code-Abschnitts nicht versehentlich klicken.

Gruß,
Chactory

[larifaribummbumm]

Hey,

ich meinte die "E-Mail austragen unter:hxxp://twxxx.nl/2jxxag/un.php?rm=9163xxxxx8" Adresse.

Der Link (die Zahl am Ende) ist personalisiert auf deine Email Adresse.

Ablauf:
-Du bekommst eine Mail-
-sie wird geöffnet und gelesen-
-erkennst sie als Spam-
-willst sie nicht haben-
-klickst auf "austragen"-

Die schickt dich, im Falle des Anklickens, auf eine Seite, die automatisch in eine Datenbank einträgt. Es könnte aber auch jeder andere diesen Link klicken und dir auf dem Wege "Freude" bereiten.

-Austragen gibt es gar nicht, aber nun bekommst du noch mehr...-
-Spamversender weiß nun, das es die Adresse gibt und du dir "jede" Emal ansiehst...-


Damit bist du sozusagen im "Recall" und bist ne Runde weiter..*grins*

Güße.

[Chactory]

Hallo larifaribummbumm!

Absolut verständliche und pointierte Erklärung!

Du hast natürlich mit Deiner Beobachtung völlig recht. Aber muß ich wirklich davon ausgehen, daß unsere Forenteilnehmer mir einen solchen Streich spielen würden? Nun, durch Deine Warnung aufmerksam gemacht, habe ich den Erkennungsschlüssel lieber modifiziert.

Ich habe mich übrigens noch nie aus einem Newsletter oder Spamverteiler ausgetragen. Wenn ein solcher Müll wiederholt kam, habe ich mir entweder die Mühe gemacht, ihn in den Newsletterfilter einzutragen und im Mailclient in den Müllordner verschieben zu lassen, oder ihn in die Feindeliste einzutragen.

Das wäre übrigens noch eine weitere Verbesserung des Newsletterfilters, wenn ich dort mit einer Einstellungsmöglichkeit voreinstellen könnte, ob ein Newsletter ans Mailprogramm weitergeleitet werden soll, oder nicht.

Gruß,
Chactory

[larifaribummbumm]

Hallo Chactory,

ob das jemand aus dem Forum machen würde? hmmm.
Ich glaube, dass jeder Inet Nutzer dieses Forum komplett lesen kann..
Und wenn wir ehrlich sind, es ist nicht das reale Leben... Und nicht einmal im realen Leben kann man den Menschen in den Kopf sehen...und selbst langjährige "Freunde" erwischt man immer wieder mal...Vertrauen kann man nur sich selbst- ohne Ausnahme-.
Aber ich will nicht abschweifen..

Ich bin inzwischen der Meinung, dass keinerlei Email in mein Email Programm gelangen sollte, wenn ich nicht den Absender als "Freund" zugefügt habe.
Das minimiert leider nur das Risiko einer Verseuchung, ist aber kein kompletter Schutz.
Was an Emails auf dem Server (z.B. bei einem Freehoster) liegt, ist für mich komplett sicher, was den (Viren)Schutz meines Rechners angeht.
Von da aus kann ich das runterziehen, was ich abschätzen kann und haben will.
Ab dem Zeitpunkt beginnt die Gefahr.
Spamihilator hat mich auf diesem Weg schon oft vor Verseuchungen gerettet.
Nicht zuletzt wegen der Vorschaufunktion.
Ich stelle in letzter Zeit enorm oft fest, dass es Zeit wird umzudenken..

[Chactory]

Hi!

... und selbst langjährige "Freunde" erwischt man immer wieder mal ... Vertrauen kann man nur sich selbst- ohne Ausnahme-.

Ja, wie man auch gerade an "Freund" Uli Hoeness miterleben kann. Im Gegensatz zu Dir traue ich nicht mal mir selber.

Spamihilator hat mich auf diesem Weg schon oft vor Verseuchungen gerettet. Nicht zuletzt wegen der Vorschaufunktion.

Die Vorschaufunktion ist ein wirklich sehr wertvolles Instrument! Ich glaube, daß Michel dieses Feature auf seiner Website deulicher hervorheben sollte!

Ich stelle in letzter Zeit enorm oft fest, dass es Zeit wird umzudenken..

Wie meinst Du das? In Richtung noch vorsichtiger?

Gruß,
Chactory

[larifaribummbumm]

Na ich meine, dass die Zeit und die Technik sich ändert.
"Früher" war es nur der nervige Spam, heute ist wohl fast jede unerwünschte Mail mit einem Sicherheitsrisiko behaftet.
Mit "umdenken" meine ich nicht nur den User, sondern auch die Provider und Geschäftsleute.
Ich sehe ja verstärkt, dass Userdaten geklaut werden, weil manche sich Ihrer Wichtigkeit nicht bewusst sind oder sie keine Kosten für Sicherheit einplanen.

Ich erlebe gerade das mein "Arzt" eine HP hat, über die man Rezepte und co. anfordern kann.
Die Seite ist seit rund 2 Monaten verseucht, aber auch nach Hinweisen wird die nicht offline genommen. Dann muss man mal feststellen, dass es keine Möglichkeit gibt, sowas online zu melden, damit diese abgeschaltet wird.
Erst über den Provider oder Polizei vor Ort kann man das melden.
Aber auch da passiert nix.
So verbreitet sich das, Daten werden geklaut und "keiner ist verantwortlich".

Ich würde Spamihilator inzwischen als "Sicherheitssoftware" bezeichnen.---

[Chactory]

Hallo larifaribummbumm!

Ja, jetzt verstehe ich, was Du meinst. Man hat früher die Spammails ziemlich verharmlost und kaum als die Kriminalität wahrgenommen, die sie wirklich darstellen.

Genauso habe ich es auch immer gesehen - Spamihilator steht bei mir ebenfalls unter Sicherheitssoftware.

Gruß,
Chactory

[michel]

Aber muß ich wirklich davon ausgehen, daß unsere Forenteilnehmer mir einen solchen Streich spielen würden?

Das vielleicht nicht, aber denk daran, dass es auch Suchmaschinen und andere Bots gibt, die unser Forum durchsuchen und sich von Link zu Link hangeln. Davon könnte auch einer quasi aus Versehen die Aktivierung auslösen. Das nur als kleiner Hinweis für die Zukunft.

Gruß
Michel

[Chactory]

Hallo michel!

Danke für Deinen Hinweis, Michel! Aber auch innerhalb der Code-Brackets? (Ich hatte übrigens dennoch die fraglichen Links bereits "entstellt".)

Gruß,
Chactory

[michel]

Hi!

Wenn ich einen Harvester programmieren würde, würde ich einfach nur nach allem suchen, das mit http:// oder www. anfängt (oder das ein @ enthält, wenn ich nach Mail-Adressen suche). Soweit ich weiß, arbeiten die meisten Harvester auch in dieser Art. Es ist also völlig egal, wo der Link steht.

Gruß
Michel

[Chactory]

Hallo michel!

Vielen Dank für Deine Erklärung!

Gruß,
Chactory