>Das macht also schon Sinn, wenn ein Versender
>vergisst sich zu identifizieren oder kommt
>anderweitig irgendwie nicht klar. Der Spam bleibt
>sowieso draussen. In den letzten drei Tagen
>haette ich rund 150 Spamnachrichten auf die eine
>GMX Adresse bekommen. Diese GMX Adresse habe ich
>auf mayl.de umgeleitet. Nur drei echte
>Spamnachrichten landeten im Ordner
>"Unidentifiziert", also nicht mal in der Inbox
>(also eigentlichen Mailbox, wenn man das mal
>verstaendlich ausdruecken moechte).

Das Problem ist, daß das System den Spam an bestimmten Merkmalen erkennt.

Dabei darf es sich nicht zu sehr auf den Inhalt verlassen. Denn eine Aufforderung den Link zu klicken muss nicht zwangsläufig bedeuten, daß es Spam ist. Kann genausogut von nem Produktsupport kommen, der den Link zu nem Update schickt etc. .

Daher wird sich Mayl auf den Header stürzen. Die meisten Spam Mailer versenden die Mails mit fehlerhaften Headern etc. . Und danach muss Mayl zwangsläufig suchen. Wenn der Spam aber z.B. über einen regulären Freemailer verschickt wird wie z.B. GMX ist der Header etc. einwandfrei. Nur auf Grund bestimmter Textpassagen darf Mayl nicht filtern, das ist zu unsicher. Auf GMX kann man ja prima mit Hilfe von JAP zugreifen. Also sollte von daher kein wirkliches Problem bestehen was Anonymität angeht.

Ich kann ja mal eine kleine Demonstration schreiben wenn du magst, wie klasse das funktioniert *g*.

>Du hast keine Chance gegen das System, damit der
>User bei Abruf seiner Mails schon den Spam
>erhaelt. Es sei denn du kennst einen seiner
>Mailpartner, dann koennte es vielleicht klappen.

Oder ich klick einfach auf den Link.

>Aber was soll das bringen, wenn ich 1 Million
>Spamnachrichten als Spammer verschicken will ? So
>muesste ich von jedem Mayl-User einen Mailpartner
>kennen, den er durchlaesst. Diese duerften in den
>meisten Faellen wohl unterschiedlich sein

Oder für jeden klicken.

>Auch nutzt es nichts, wenn man den Absender des
>Empfaengers faelscht (z.B. user@mayl.de). Diese
>Mails werden sowieso geblockt. Daher kann ein
>Mayl-User sich selber auch keine Mails schicken.
>Also vom eigenen Account aus, was ja ohnehin
>keinen Sinn ergibt

Die Frage ist in dem Punkt aber wie erkennt Mayl das der Absender gefälscht ist. Es gibt nur 2 Möglichkeiten meiner Ansicht nach (man möge mich berichtigen, Mailserver sind garantiert nicht mein Spezialgebiet):

Mayl kann Return-Path und From: vergleichen und es kann checken ob der Mailserver von dem aus die Mail stammt "in Ordnung ist". Einmal ob es ein Open Relay ist und einmal ob es sich bei dem Mailserver um den MX der angegebenen From: Domain handelt.

Bislang setzen die Spammer darauf sich nen Open Relay zu suchen und verschicken über den ihre Mails - das wars. Prinzipiell möglich ist es aber auch, daß der Spam Mailer als MTA agiert und die Mails direkt beim Ziel abliefert. Dann wäre für Mayl nicht nachzuvollziehen ob die Mail wirklich vom ursprünglichen Server stammt oder nicht. Mayl muss sich da auf den Header verlassen und wenn der gut gefakt ist, wird es nie piepsen und die Mail in den Unidentifiziert packen. Danach muss man dann wie gesagt nur noch klicken. Der IE macht es uns programmiertechnisch sogar einfach. Man bindet den IE als Active X Komponente ein. Dann schreibt man nur noch eine kleine routine das den Posteingang in GMX abgrast und jeweils automatisch auf die Freigabe URL klickt.

Das is vom Aufwand her minimal.

>jo stimmt, das wäre irgendwie schlecht, dann
>bräuchte der spammer sich da nur nen account zu
>machen und seine eigenen mails für alle
>freischalten *g*.

Eben.

Achja - nur um die erste Antwort zu untermauern. Habe grade wieder ne Spam Mail mit gefaktem Header bekommen:

</font><blockquote>Code:</font><hr /><pre style="font-size:x-small; font-family: monospace;">Return-Path: &lt;5v6psklz5@hotmail.com&gt;
Delivered-To: haak.a@yaw-warner.de
Received: (qmail 28139 invoked by alias); 5 Apr 2003 16:42:11 -0000
Delivered-To: dialer@yaw.at
Received: (qmail 28135 invoked by uid 204); 5 Apr 2003 16:42:11 -0000
Received: from 5v6psklz5@hotmail.com by yaw-warner.de by uid 201 with qmail-scanner-1.15
(f-prot: 3.12. spamassassin: 2.43. Clear:SA:1(7.6/5.0):.
Processed in 2.748566 secs); 05 Apr 2003 16:42:11 -0000
Received: from unknown (HELO fj) (210.83.139.110)
by 195.143.217.82 with SMTP; 5 Apr 2003 16:42:07 -0000
Received: from [211.138.91.21] (envelope-sender &lt;5v6psklz5@hotmail.com&gt
by [210.83.139.110] with ESMTP
for &lt;mkflame@aol.com&gt;; Sat, 05 Apr 2003 23:50:06 +0800
Received: from hy.iqvm.org [138.217.139.15]
by 210.83.139.110 SMTP id G93X615w0UC9QO
for &lt;mkflame@aol.com&gt;; Sat, 05 Apr 2003 14:41:10 -0100
Message-ID: &lt;p-h2fu53d8f$s--n$z809@3869d.z.d2q&gt;
From: &quot;Luther Cross&quot; &lt;5v6psklz5@hotmail.com&gt;
To: mkflame@aol.com
Cc: &lt;fgif358652@aol.com&gt;,
&lt;tbrown4849@aol.com&gt;,
&lt;dialer@yaw.at&gt;,
&lt;volcnogrl6@aol.com&gt;,
&lt;lnick8147@aol.com&gt;
Subject: *****SPAM***** Viagra, Soma, Fioricet, Prescribed Online for Free, Shipped Overnight x
Date: Sat, 05 Apr 03 14:41:10 GMT
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Internet Mail Service (5.5.2650.21)
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=&quot;9.59__1_A2_C9FB45ECA&quot;
X-Spam-Status: Yes, hits=7.6 required=5.0
tests=BIG_FONT,CLICK_BELOW,DIET,EXCHANGE_SERVER,
FORGED_HOTMAIL_RCVD,FROM_HAS_MIXED_NUMS,
HTML_FONT_COLOR_BLUE,HTML_FONT_COLOR_RED,LOW_PRICE,
MIME_HTML_NO_CHARSET,MISSING_MIMEOLE,MISSING_OUTLOOK_NAME,
SPAM_PHRASE_08_13,SPAM_REDIRECTOR
version=2.44
X-Spam-Flag: YES
X-Spam-Level: *******
X-Spam-Checker-Version: SpamAssassin 2.44 (1.115.2.24-2003-01-30-exp)
X-Spam-Report: 7.60 hits, 5 required;
* -0.1 -- Came via Internet Mail Service plugin
* 0.3 -- From: contains numbers mixed in with letters
* 0.4 -- BODY: Lose Weight Spam
* 0.3 -- BODY: Lowest Price
* 0.3 -- BODY: Asks you to click below
* 1.4 -- BODY: Spam phrases score is 08 to 13 (medium)
[score: 11]
* 0.3 -- BODY: FONT Size +2 and up or 3 and up
* 0.3 -- BODY: HTML font color is red
* 0.2 -- BODY: HTML font color is blue
* 0.7 -- RAW: Message text in HTML without specified charset
* 0.4 -- URI: Uses open redirection service
* 1.5 -- Forged hotmail.com 'Received:' header found
* 0.5 -- Message has X-MSMail-Priority, but no X-MimeOLE
* 1.1 -- Message looks like Outlook, but isn't
Status: R
X-Status: N
X-KMail-EncryptionState:
X-KMail-SignatureState: </pre>[/QUOTE]Man achte oben auf den Return-Path ... "Return-Path: &lt;5v6psklz5@hotmail.com&gt;" und auf die Zeile des ersten Mailservers:

"Received: from hy.iqvm.org [138.217.139.15] by 210.83.139.110 SMTP id G93X615w0UC9QO for &lt;mkflame@aol.com&gt;; Sat, 05 Apr 2003 14:41:10 -0100"

Man merkt schön, das es nicht stimmen kann. 210.83.139.110 ist imho gar nicht erreichbar und GARANTIERT KEIN Hotmail Server. Allerdings kann man das ebenfalls problemlos fälschen - und Mayl muss sich zwangsläufig darauf verlassen.

</font><blockquote>Zitat:</font><hr /> Zitat:
--------------------------------------------------------------------------------
Original erstellt von Andreas Haak:
Darf es nicht.

Beispiel:
2 eMail Adressen auf Mayl.de. Angenommen ich schicke an beide eine Email. Dann muss ich 2 Authentifizierungsmails bekommen. Ich muss ja für beide Freigabelisten der User freigeschaltet werden. Oder werde ich mit einem Klick für alle freigeschaltet? Das wäre für Spammer ja noch besser.
--------------------------------------------------------------------------------

jo stimmt, das wäre irgendwie schlecht, dann bräuchte der spammer sich da nur nen account zu machen und seine eigenen mails für alle freischalten *g*.
</font>[/QUOTE]Nene, so geht das nicht. Jeder User fuehrt seine eigene "Freigabeliste", also von wem er Mails empfangen will oder auch nicht. Domains koennen nicht freigeschaltet werden, wo die Mails gleich in die Mailbox landen wuerden. Das wuerde auch nichts bringen, da viele Spammer eine Absenderadresse "spammerschwein@web.de" waehlen wuerden. Mayl User gibt "web.de" allgemein frei und bekommt den ganzen Schrott. Man hat also auch daran gedacht [img]smile.gif[/img]

Ach faellt mir noch ein, der Spammer kann "ruhig" automatisch auf die Rueckmails mit dem Ident Link klicken lassen. Erhaelt das System fuenf Klicks auf genau die gleiche Mail (natuerlich unterschiedlicher Mayl - User -NICHT auf einen Account bezogen !), so wird das sofort untersucht, da Spamverdacht besteht. Also auch keine Loesung

Maly untersucht nicht nur die Mailheader, jedoch auch nicht die Texte selber auf bestimmte Woerter (das kann auch schnell ins Auge gehen). Da spielen ganz andere Dinge eine Rolle, die jedoch auch nicht unbedingt "rausposaunt" werden. Weiss nicht mal ich genau [img]smile.gif[/img]

Gruss Eisi

Sie können nichts anderes untersuchen. Herkunftsserver, Header und Mailtext. Was anderes geht einfach nicht.

Wer sagt das die Mails gleich sein müssen? Bei HTML Mails kann man prima schrott als "Kommentare" unterbringen, die in der Mail nicht angezeigt werden, dafür aber prima dem System glaubend machen, daß es eine andere Mail ist.

Nur HTML Mails können sie auch nicht blocken, dann würde es massig Beschwerden hageln. So Dienste wie web.de oder auch AOL versenden teilweise Mails als "nur HTML". Von daher ist dies auch keine Lösung.

Das System hat massig Lücken. Es ist nur solange sicher wie es kaum verbreitet ist. Aber sobald der Dienst bei einer breiten Masse auf Begeisterung stößt, werden auch die ersten Spammer das System umgehen.