Re: massive Spam-Welle über googlegroups

[Chr. Maercker]

Martin Τrautmann wrote:
> On Wed, 29 Sep 2021 07:55:13 +0200, Martin Τrautmann wrote:
>> Habt auch ihr heute Nacht um 0:51 massenhaft Spam bekommen? Etliches
>> davon kam am Filter vorbei.

Hier keine einzige. Filter hat auch nicht zugeschlagen, obwohl die Mails
Kriterien enthalten, die bei mir geradewegs Richtung Orkus führen.

>> Die Sendezeit scheint gefälcht zu sein, aber alles kam über google und
>> eine Pseudomitgliedschaft auf
>> jocelyngable6...@googlegroups.com

Drücken die beteiligten Mailserver nicht ihre eigenen Zeitstempel auf?
Dann müsste zumindest der, wo sich Dein Postfach befindet, die echte
Zeit eingetragen haben.

> Die Anmeldung in die Gruppe kam gestern um 19 Uhr:
> jocelyn...@gmail.com added you to the jocelyngable69tawr-yas-1-28
> group.

> Verwendet wurde eine nicht t-online-Adresse, die mir wohl mit dem
> Telefonanschluss automatisch zugewiesen wurde. Ich nutze die nie.

Evtl. ein Hinweis, dass diese Mailbox gecrackt wurde? Schlägt der Spam
komplett in dieser nie genutzten Mailbox auf?

> Die Spams sind weitgehend leer, endlose <br>-Folgen. Und folgt eine Art
> Script-Versuch. Keine Ahnung, bei welcher Software das Schaden anrichten
> soll:
>
> <object><script><title>036dy0Quttb8Hl6Hg9F6ThdN7mxr4SYL13ExdN9yo3Zm6wh4jafy=
> nRpZRPzR7uiiGO0HZX7ME98W5x8FzqYK8fivLSaCREXo7KnNkuRmydVwQerKgdzuqvzM8AQEmTs=
> 1MdpXFi2GD6EZ1VJkn3wujcWBM1LoApuLnC7kIQ6FTTjNj0HPupbShHxtqouHv8NrsZClgmpaPS=
> MDM0YP1n5wPg3eZvdEGJl7TKTa71bWPhUtcDvqqxnweD7nFggHwiwUvT2qmPYyrWU2Zk8O2JHud=
> oEPXs2FaMJwrnQ4UPiYM9Dj

Könnte das (Base64-)codierter Quelltext sein? Und Gibt es ein </script>
Tag am Ende?

--


CU Chr. Maercker.

[Chr. Maercker]

Andreas Kohlbach wrote:
>> <object><script><title>036dy0Quttb8Hl6Hg9F6ThdN7mxr4SYL13ExdN9yo3Zm6wh4jafy=
>> nRpZRPzR7uiiGO0HZX7ME98W5x8FzqYK8fivLSaCREXo7KnNkuRmydVwQerKgdzuqvzM8AQEmTs=
>> 1MdpXFi2GD6EZ1VJkn3wujcWBM1LoApuLnC7kIQ6FTTjNj0HPupbShHxtqouHv8NrsZClgmpaPS=
>> MDM0YP1n5wPg3eZvdEGJl7TKTa71bWPhUtcDvqqxnweD7nFggHwiwUvT2qmPYyrWU2Zk8O2JHud=
>> oEPXs2FaMJwrnQ4UPiYM9Dj
>

> (BASE64) Dekodiert macht es auch keinen Sinn. Ich bekommen:
>
> ◈~◈◈D.◈◈◈^◈◈◈zNM◈lk◈&
> ◈q1t◈r◈vfx◈◈
>
> Vielleicht Javascript, wo man die Zeile einpfegen müsste.

In diese Richtung vermute icht. So ähnlich, wie Teile von URLs gerne
ASCII-codiert werden, damit sie nicht als solche erkannt werden.
Aber OK BASE64 isses also nicht. Evtl. sogar reiner Fake, um
Antispam-Engines irre zu führen, genau so wie uns. ;-)
--


CU Chr. Maercker.

[Andreas Kohlbach]

Ich hatte neulich einen reichen Prinzen aus Nigeria, der es mit BASE24
(ist mir nie vorher untergekommen) versuchte.
--
Andreas