🚀 go-pugleaf

[xpost nach ch.admin, weil der gleiche Fall dort auch besprochen
wird, fup dan-am]

Walter Krippes in de.admin.net-abuse.mail:

>>[MEGA LIVE SHOW etc.-Spammer]
>
>Vielleicht kann jmand mit "1Cust243.tnt4.cph3.da.uu.net" was
>anfangen. Oder k�nnte "descr: UUNET DAN" was mit D�nemark zu tun
>haben?

In einem der Spams (bei mir sind einige dutzend aufgeschlagen)
wird eine Telefonnummer mitgegeben:

--- cut ---
VICHTIG! 

F�r einen upgedateten Server-Link k�nnen Sie unseren 100%
ANONYMEN 24-Stunden Telefon-Antwort Service zu normalen
Telefonkosten erreichen, unter: +45 22456413
--- cut ---

+45 ist Daenemark. Unter der Nummer ertoent ein Tonband mit der
Ansage einer URL (ausnahmsweise fuehre ich die auf): xexe.cn.st. 

Dort wird nur ein Frame mit folgender URL eingebunden:

http://www.skyweb-tv.com/access6/index.html

Images werden von http://www.sex247live.com/ geladen, ein
Adressen-Eintrag-Formular linkt auf
http://www.eroticsworld.com/cgi-bin/taf/easyrefer.cgi

Diese drei Domains (skyweb-tv.com, sex247live.com,
eroticsworld.com) scheinen alle auf die gleiche/n Person/en zu
zeigen. Im weiteren Verlauf der Weiterleitungen stoesst man noch
auf die Domain livesexno1.com, bei welcher die einzige
verwertbare Mailadresse "anderssonp@excite.com" auftaucht. Die
postalischen Adressen scheinen alle substantiell identisch zu
sein, wobei ich mir nicht sicher bin, ob es sich um eine
gueltige Adresse handelt:

  Domain Name: LIVESEXN01.COM
  
  P.O. Box 362
  Tortola, Undef 2000
  BV
  Phone- 4540424541 
  Fax- 

Wenn man diese Telefonnummer analog der obigen aufschluesselt,
gibt das +45 40424541; die daenische Tonbandstimme kann ich zwar
nicht verstehen, aber es klingt doch sehr nach einem
Standardtext einer Voicemailbox.

Ganz am Ende der Fresspyramide steht ein Link auf einen Dialer:

http://0190-dialer.com/dialers/5-1-14-129.exe

Der Registrar fuer 0190-dialer.com, Corenic.net, liefert leider
keine Adresse zum Registranten (zudem muss man ueber die
Webseite gehen, um an die whois-Daten heranzukommen...).

Das .exe-File ist gerade mal 41.5 KBytes gross und gibt nichts
ueber sich Preis. Ein zweiter Dialer (fuer Benelux und andere
Laender) namens 013193.exe wird von greatplugins.com
heruntergeladen und enthaelt ein digitales Zertifikat,
ausgestellt von Verisign fuer eine "BTV Industries CSV". Gemaess
Windows NT 4.0 (mit IE 5.5) ist das Zertifikat gueltig (auf
Wunsch kann ich das exportierte Zertifikat gerne per Mail
senden). greatplugin.com ist auf BTV Industries registriert. 

Angaben ueber BTV Industries gemaess Zertifikat:

CN = BTV Industries CSV
L = 35443 MALA (Municipio De Haria)
S = Lanzarote , Canary Islands
C = ES

Schluessel-ID = 7B96 E4D1 43FD 6898 F338 CC6E 3BF2 0B82
Fingerprint (SHA1) = BD4F 569A 8EF1 78A2 12E1 3DE3 9D57 C8AF DB38 75E1


Also, Zusammenfassung:

 * Spam ueber da.uu.net-Dialup, Direktauslieferung an MX
   (1. Ebene der Bekaempfung).
 
 * Telefonnummer in Daenemark mit wechselnder Ansage von 
   URLs respektive:
 * Wechselnde Web-Forwarder in Spams (2. Ebene)
 
 * Ueber ein Netz an miteinander zusammenhaengenden Domains/
   Webseiten wird man auf eine von zwei Downloadseiten
   fuer 0190-Dialer gefuehrt (3. Ebene)
 * Einer der Dialer und eine der Domains zeigen auf BTV
   Industries.  

 * Die Domains der 2. Ebene sind alle bei ultraservers.net
   gehostet.
 * Die Domains der 3. Ebene sind verteilt: livesexno1.com 
   bei cistron.net, greatplugins.com bei exodus.net, mit 
   Nameservern bei candidhosting.com/alter.net
   
BTV Industries hat auch btvindustries.com und
btvindustries.co.uk registriert und verfuegt ebenfalls ueber ein
Geflecht von Hostern: Nameserver bei cwie.net
(www.wavecreek.com), Connectivity bei level3.net.

Die Webseite http://www.btvindustries.com/ enthaelt nur einen
Link auf eine anscheinend passwortgeschuetzte Seite sowie als
Kontaktmailadresse btvindustries@hotmail.com (sic!).

livesexno1.com liegt anscheinend in AS 16131 - koennte das
jemand nachpruefen, der mehr von Routing versteht als ich? ;)


>-- 
>"From" aktiv. PM's werden gelesen, Spammer gevierteilt.

Gut, und wie vierteilt man ein solches Geflecht?

 * Jemand, der daenisch spricht, sollte sich um die Nummern/
   Adressen in .dk kuemmern.
 * Bei http://www.ultraservers.net/ bekomme ich nur eine
   weisse Seite? Hat da jemand Erfahrungen mit gemacht?
 * Bei www.cistron.net bin ich mir nicht ganz sicher - good
   guys? Anscheinend bieten sie v.a. Dienste in den Nieder-
   landen an.
 * Wie ist Exodus' Abusehandling?


Fuer weiteres bin ich nu aber zu Muede ;)

HTH + Gruss,
Matthias

-- 
Swiss Internet User Group                  Jetzt Mitglied werden!
            http://www.siug.ch/about/mitglieder/