🚀 go-pugleaf

Peter Guhl wrote:
> 
> Auf unseren Mailservern habe ich begonnen, klar erkennbar dynamische
> IP-Ranges als Absender abzuklemmen. Nur gibt es nicht viele ISP, die
> das kenntlich machen (z.B. mit dyn.example.com). Gibt es eine
> zuverl�ssige Informationsquelle �ber solche IP-Ranges?

Auch wenn es weniger dynamische IP-Bereiche als verwurmte Windoofkisten
betrifft: letztere sowie offene Proxies sind sehr oft am HELO zu
entlarven. Beispielsweise benutzt einer der Raubkopien-Spammer im
Dunstkreis um oemcd.biz die konstanten HELOs "addr.com" und
"carmax.com". Findet man nun anhand A- und MX-Lookups die tats�chlichen
Netze von "addr.com" heraus und blacklistet alle IPs au�erhalb dieser
Netzbereiche, von denen Zustellversuche mit HELO "addr.com" kommen,
zappeln schon mal Tausende Wurmdoofkisten in der Liste.

Weiterhin kann man alles schon beim ersten Versuch listen, was mit
HELO == Empf�nger-IP versucht einzuliefern, au�erdem alle IPs, von
denen innerhalb von 24 Stunden mehr als f�nf verschiedene HELOs kommen.

Richtige SMTP-Server �ndern ihr HELO n�mlich nur dann, wenn sie
umkonfiguriert werden. Dies passiert �blicherweise nicht zu oft,
zumindest nicht �fter als f�nfmal pro Tag, wobei jedes Mal ein Schwung
Spam versandt wird. Folglich kann es sich bei HELO-Fakern nur um
getunnelte SMTP-Sessions �ber offene Proxies oder Spam-Trojaner handeln.
Und bei diesen ist es IMHO legitim, sie schon beim ersten Versuch zu
blocken, da von verwurmten Windoofkisten ja nicht nur Spams, sondern
auch W�rmer kommen.

> Es scheint DNS-
> Blacklists zu geben - aber welche davon sind empfehlenswert?

dul.dnsbl.sorbs.net - wobei diese einige Dialup-Netze nicht listet und
ich nicht wei�, ob sie nicht einige Nicht-Dialup-Netze doch enth�lt.

Die xbl.spamhaus.org tut's aber inzwischen so gut, dass man sogar die
Spamcop-Liste nicht mehr ben�tigt. Da einige Spammerbanden wieder
eigene Infrastruktur mit festen IP-Adressen nutzen, empfiehlt sich auf
jeden Fall auch die sbl.spamhaus.org - diese f�ngt mehr ab als man
glaubt. Und wer es in die SBL schafft, hat �blicherweise sehr viel
Dreck am Stecken oder merkt �ber lange Zeit �berhaupt nichts.

Meine client.dnsbl.docsnyder.de enth�lt haupts�chlich die erw�hnten
"HELO-S�nder" sowie andere Vollpatienten, die zu den t�glich etwa 20000
Spam-Zustellversuchen an meine Spamtrap-Subdomains beitragen und von
denen keine legitime Mail zu erwarten ist.

/.
DocSnyder.

-- 
Friss, Spammer: <info@swf2fla.biz> <sales@swf2fla.biz> <get@swf2fla.biz>
<job@swf2fla.biz> <mail@swf2fla.biz> <ads@swf2fla.biz> <buy@swf2fla.biz>
<management@swf2fla.biz> <webmaster@swf2fla.biz> <support@swf2fla.biz>
<trilv@swf2fla.biz> <office@swf2fla.biz> <service@swf2fla.biz>