US Greencard Spam (hosted by 1&1)
Hans-Martin Mosner
den Kaffee auf, es muss einfach sein.
Seit dem 23.April werden eine Reihe von meinen Spamtraps (und ein paar reale Adressen) mit USA
Greencard Spam zugemüllt.
Ser Spammer wird von 1&1 aka Schlund aka Kundenserver aka Perfora.net gehostet.
Daran hat sich auch bis heute nichts geändert, obwohl ich micht seit ungefähr Mitte Mai in schöner
Regelmäßigkeit über den Spam beschwere...
Aber der Reihe nach:
23.April:
Spam von mout.perfora.net (IP 217.160.230.40 und 217.160.230.41).
Absender ist sup...@greencard-registration.com,
beworbene Website ist www.greencard-registration.com (IP 217.160.226.71),
Registriert bei Schlund, Tech-c der Registration ist "1&1 Internet Inc.", Domain wurde am 9.März
registriert.
Am Abend bemerke ich das, setze den Host auf die lokale Blacklist, und dachte, damit wäre der Fall
gegessen.
9.Mai: Ich versuch' es mal mit ab...@schlund.de. Scheint aber nicht wirklich was zu bringen.
Zwischendurch ruf' ich auch mal an und erfahre, dass perfora.net quasi Schlund selbst ist bzw. die
amerikanische Inkarnation. Na ja.
Spam-Versuche gehen ziemlich pausenlos weiter, bis auf einmal etwas passiert:
15.Mai:
Spam kommt immer noch von mout.perfora.net, aber der Spammer nennt sich jetzt
sup...@usgreencard-register.com. Gleiche IP, die Domain wurde am 12.Mai registriert, vielleicht
weil die alte Domain doch nicht mehr so gern genommen wurde?
19.Mai:
Nun gesellt sich als Absender in...@usgreencard-register.com hinzu. Auch von dem nehmen wir keine
Mails an, ich wüsste nicht, warum wir das tun sollten.
21.Mai:
Nachdem es im Log immer noch von Ablehnungen wimmelt, versuche ich es mit Mail an ab...@perfora.net.
Zwischendurch schicke ich jetzt immer mal eine Liste der Mail-Ablehnungen dorthin, vielleicht wacht
ja einer auf...
28.Mai:
Man versucht es mit he...@usgreencard-register.com, aber auch das bringt nicht viel mehr Erfolg.
29.Mai:
Na dann ist ja vielleicht mal wieder ein Domain-Wechsel dran. Heute heißt der Versender
sup...@unitedstates-greencard-registry.com. Auch diese Domain ist bei Schlund registriert,
und die IP liegt gleich nebenan: 217.160.226.72.
Registrierungsdatum ist der 27.Mai.
31.Mai:
Perfora wacht auf. "JG" vom "1&1 abuse department" schickt mir die erfreuliche Antwort:
> we sent a dissuasion to the concerning customer. In case of repeat we will
> pursue further actions according to our T&C.
Den Spammer schien es zunächst nicht zu jucken, bis auf einmal am 1.Juni Ruhe war.
"Gut gemacht", dachte ich. Weit gefehlt!
4.Juni:
Nach einer kleinen Verschnaufpause von 3 Tagen wird diesmal eine neue Domain bemüht:
sup...@usagreencard-register.com verschickt aber immer noch via perfora.net, und das kennen wir
doch schon, hilft alles nix, der Spam kommt nicht durch.
Schade eigentlich, da hat man sich nun am 1.Juni so viel Arbeit mit der Registrierung der Domain
gemacht, und alles für die Katz. IP ist übrigens immer noch 217.160.226.72.
11.Juni:
Nun heißt unser Freund sup...@greencardusa-register.com. Diese Domain wurde schon am 4.Juni
registriert (offenbar plant man jetzt etwas länger im Voraus). Es gibt auch eine neue IP:
217.160.226.70, gleich in der Nachbarschaft...
15.Juni:
Oha! Man nimmt jetzt zwei statt nur einer weichgekochten Nudel, um dem Spammer über die Finger zu hauen:
"JG" schreibt:
> our customer's webspace/webserver has been locked due to massive spam
> amount.
Der Spam geht aber trotzdem weiter...
19.Juni:
Bei Schlund scheint man bezüglich der Registrierung nun doch etwas Vardacht zu schöpfen - oder meint
der Spammer einfach nur, dass so was nicht beliebig lange gut gehen kann? Wie dem auch sein, die
neue Domain heißt usgreencardregister.com und ist diesmal bei GoDaddy registriert (seit 1.Juni
offenbar).
Die IP-Adresse ist 64.202.167.129, das liegt bei GoDaddy selbst, ist aber nur ein Redirector.
Die tatsächliche Site ist auf www.usagreencardcenter.com, und das wiederum ist registriert bei...
ABACUS America. Schon ziemlich lange allerding, so seit 1998. Und die Site liegt auch wieder auf der
IP 217.160.226.71, die uns inzwischen hinlänglich bekannt vorkommt.
21.Juni:
Noch ne neue Domain: greencard-registerusa.com nennt man sich jetzt. Registration am 14.Juni wie
gehabt bei Schlund, IP ist 217.160.226.71.
Außerdem bekomme ich auf meine letzte (diesmal auf deutsch gehaltene) Beschwerde auch eine deutsche
Antwort von "KC":
> die Domain usgreencardregister.com wird nicht von uns gehostet, bitte wenden
> Sie sich diesbezüglich an den zuständigen Provider.
>
> Der zur Domain usagreencard-register.com gehörige Vertrag wurde bereits vor
> geraumer Zeit deaktiviert. Die unten zitierten Mails wurden nicht im Rahmen
> dieses Vertrags versendet, entsprechende Maßnahmen zur Unterbindung wurden
> jedoch auch in diesem Fall getroffen.
Hmmm, mich deucht, dass da was falsch läuft. Wenn die gleiche Firma immer wieder verschiedene
Domains registriert, die dann wegen Spamming deaktiviert werden, warum macht man dann mit dieser
Firma für die neuen Domains wieder neue Verträge? Fragen über Fragen...
22.Juni:
Offenbar hat der amerikanische Zweig von 1&1 keine Lust mehr auf meine Beschwerden und hat dem Laden
gesagt, er soll woanders seinen Kram machen. Na, was bietet sich denn da so an? Ein chinesischer
Bulletproof Hoster vielleicht? Aber warum denn in die Ferne schweifen...
Heute kam der Spam von sup...@us-greencard-register.com - direkt eingeliefert von
moutng.kundenserver.de[212.227.126.183], und die Web Site liegt auf 212.227.109.199. Ist ja auch
irgendwie logisch, wenn man schon eine deutsche Zielgruppe hat, warum sollen die denn alle von einem
Schlund-Server auf der anderen Seite des Atlantiks bedient werden?
Die Domain wurde übrigens am 18.Juni registriert.
Da heute der 22. Juni ist, ist hier der voräufige Schluss der Geschichte.
Ich bin gespannt, wie es weitergeht.
Cheers,
Hans-Martin
Falls jemand von Schlund/Kundenserver/1&1/Perfora mitliest:
Ich wäre an einer Erklärung interessiert, was da eigentlich passiert. 8 Wochen Spamming ist schon
recht heftig...
Bernd Hohmann
> Falls jemand von Schlund/Kundenserver/1&1/Perfora mitliest:
> Ich wäre an einer Erklärung interessiert, was da eigentlich passiert. 8 Wochen Spamming ist schon
> recht heftig...
United Internet, mehr sage ich nicht
http://de.internet.com/index.php?id=2028525 für paar Zahlen.
Im Prinzip war das "früher" ganz einfach: Hoster war in Deutschland,
Kunde war in Deutschland. Zur Anwendung kam Deutsches Recht und wem das
Recht nicht Recht genug war, der hat einen horrenden Streitwert
simuliert und eine Unterlassungserklärung eingefordert.
Jetzt wird auch Zeug aus den USA in DE gehostet. Welches Recht im GAU
nun wann zur Anwendung kommt, ist mir ein Rätsel (bzw. scheint frei
verhandelbar zu sein, wobei derjenige mit dem meissten Geld das zu
seinen Gunsten auslegen kann)
Bernd
Peter Gomez
Hans-Martin Mosner schrieb:
> Seit dem 23.April werden eine Reihe von meinen Spamtraps (und ein paar
> reale Adressen) mit USA Greencard Spam zugemüllt. ...
Das Zeug haben wir auch bekommen. Auf meine englische Beschwerde an
abuse bei schlund.de sagt abuse bei perfora am 21.06.:
The account in question has been suspended.
Klingt erstmal nicht schlecht. Evtl. liegts daran, daß wir eine
öffentliche Verwaltung sind und ich dem Complaint ein CC an uce at
ftc.gov mitgegeben habe.
Gruss
Peter
Jens Mander
> Außerdem bekomme ich auf meine letzte (diesmal auf deutsch gehaltene)
> Beschwerde auch eine deutsche Antwort von "KC":
> > die Domain usgreencardregister.com wird nicht von uns gehostet,
> bitte wenden > Sie sich diesbezüglich an den zuständigen Provider.
> >
> > Der zur Domain usagreencard-register.com gehörige Vertrag wurde
> bereits vor > geraumer Zeit deaktiviert. Die unten zitierten Mails
> wurden nicht im Rahmen > dieses Vertrags versendet, entsprechende
> Maßnahmen zur Unterbindung wurden > jedoch auch in diesem Fall
> getroffen.
> Hmmm, mich deucht, dass da was falsch läuft. Wenn die gleiche Firma
> immer wieder verschiedene
> Domains registriert, die dann wegen Spamming deaktiviert werden,
> warum macht man dann mit dieser
> Firma für die neuen Domains wieder neue Verträge? Fragen über
> Fragen...
Ganz einfach: 1&1 hat wie alle größeren Webhoster ein automatisches
Anmeldeverfahren. Wie aus dem "Domainhopping" ersichtlich, kann man hier
wohl davon ausgehen, dass es sich um zahlreiche Einzelbestellungen mit
möglicherweise gefälschten Angaben handelt - also "Wegwerfaccounts". Mehr
als nach Bekanntwerden abklemmen ist da wohl nicht drin... siehst du das
anders?
--
Frisbitarianism is the belief that when you die, your soul goes up to
the roof and gets stuck.