---

Det kan godt være jeg er lidt ot, men så må I lige lede mig den rigtige
vej...

Jeg har problemer med at en af mine domæner bliver brugt som afsender til en
masse spam. Jeg har sikret mig at der ikke er nogle af mine servere der
bliver misbrugt til at relaye med.
Det er ved at være et stort problem syntes jeg da jeg bliver bombarderet med
retuneret mail. på en uge er der kommer over 65.000 tilbage.

Jeg kan også se på min statestik at den er steget fra 1-2 mails til omkring
40-50. hvert 5. minut.

Er der nogen der har en ide til hvordan jeg kan stoppe dette misbrug af mit
domæne???

Med venlig hilsen

Esben

Ps. Jeg har vedhæftet en af de mange returned mails herunder:


------------------------------ start -----------------------------
Return-Path: <>
Delivered-To: d_williams_hv@staldinventar.dk
Received: (qmail 9957 invoked from network); 24 Mar 2004 12:32:25 -0000
Received: from fitch5.uni2.net (130.227.52.108)
by 0 with SMTP; 24 Mar 2004 12:32:25 -0000
Received: from atl_exc.hobbsgroup.com (mail.hobbsgroup.com
[209.211.198.100])
by fitch5.uni2.net (8.12.6/8.11.6) with ESMTP id i2OCWPTA025649
for <d_williams_hv@staldinventar.dk>; Wed, 24 Mar 2004 13:32:25
+0100
Received: by atl_exc.hobbsgroup.com with Internet Mail Service (5.5.2653.19)
id <G0XAMYJ2>; Wed, 24 Mar 2004 07:33:59 -0500
Message-ID:
<FFD88E53B962D311B3CE00508B4A8FBD075B9793@atl_exc.hobbsgroup.com>
From: System Administrator <postmaster@hobbsgroup.com>
To: d_williams_hv@staldinventar.dk
Subject: Undeliverable: (5)You are selected(13)
Date: Wed, 24 Mar 2004 07:33:58 -0500
MIME-Version: 1.0
X-Mailer: Internet Mail Service (5.5.2653.19)
X-MS-Embedded-Report:
Content-Type: multipart/mixed;
boundary="----_=_NextPart_000_01C4119C.47A57494"

This message is in MIME format. Since your mail reader does not understand
this format, some or all of this message may not be legible.

------_=_NextPart_000_01C4119C.47A57494
Content-Type: text/plain

Your message

To: betancourt@avains.com
Subject: (5)You are selected(13)
Sent: Wed, 24 Mar 2004 08:05:25 -0500

did not reach the following recipient(s):

betancourt@avains.com on Wed, 24 Mar 2004 07:33:55 -0500
The recipient name is not recognized
The MTS-ID of the original message is: c=us;a= ;p=hobbs group,
llc;l=ATL_EXC0403241233G0XAMYJF
MSEXCH:IMS:Hobbs Group, LLC:HOBBS:ATL_EXC 0 (000C05A6) Unknown Recipient



------_=_NextPart_000_01C4119C.47A57494
Content-Type: message/rfc822

Message-ID: <076f01c411a0$f8488986$757cb997@stangl-2000.de>
From: Dina Williams <d_williams_hv@staldinventar.dk>
To: betancourt@avains.com
Subject: (5)You are selected(13)
Date: Wed, 24 Mar 2004 08:05:25 -0500
MIME-Version: 1.0
X-Mailer: Internet Mail Service (5.5.2653.19)
X-MS-Embedded-Report:
Content-Type: text/plain

Congrats - if you want a LARGER P E N l S, this is your lucky day!

You were picked out to receive a complimentary bottle of our new NGain+
growth-formula.
Your tracking id is: poszcecobikbrb (Use it for any further correspondance
with us)


To claim your gift, simply purchase one of our products here
<http://zloyvhdppooyb.fng112.info/p1/?id=dia1900> . If you are not satisfied
in any way, return it within 30 days and we will refund your cash without
any hassles.


0ffer is valid for 48 hours upon receipt of this notice, so claim it now
<http://bsbtnhcecajb.fng112.info/p1/?id=dia1900> !
No more <http://snscqxdoty.fng112.info/oz.html>


------_=_NextPart_000_01C4119C.47A57494--

---

Esben Laursen wrote:
>
> Er der nogen der har en ide til hvordan jeg kan stoppe dette misbrug af mit
> domæne???

Det kan du næsten lige så godt opgive på forhånd. For
at håndtere falske bounces vil jeg foreslå, at du gemmer
Message-ID på alle dine udgående emails i 2-5 uger. Og
bounces, som ikke indeholder et af dine gemte Message-ID
smider du bare væk uden at bekymre dig yderligere om dem.

--
Kasper Dupont -- der bruger for meget tid paa usenet.
For sending spam use mailto:aaarep@daimi.au.dk
/* Would you like fries with that? */

---

"Kasper Dupont" <kasperd@daimi.au.dk> skrev i en meddelelse
news:4061B339.83126C28@daimi.au.dk...
> Esben Laursen wrote:
> >
> > Er der nogen der har en ide til hvordan jeg kan stoppe dette misbrug af
mit
> > domæne???
>
> Det kan du næsten lige så godt opgive på forhånd. For
> at håndtere falske bounces vil jeg foreslå, at du gemmer
> Message-ID på alle dine udgående emails i 2-5 uger. Og
> bounces, som ikke indeholder et af dine gemte Message-ID
> smider du bare væk uden at bekymre dig yderligere om dem.
>

Der er jo bare træls at nogen misbruger mit domæne og firma navn til at
fremsende reklamer, det er jo ikke ligefrem god reklame for mig...

--
Esben

---

Esben Laursen wrote:
>
> Der er jo bare træls at nogen misbruger mit domæne og firma navn til at
> fremsende reklamer, det er jo ikke ligefrem god reklame for mig...

Modtageren kan jo nemt se, at de ikke kommer fra dig.

--
Kasper Dupont -- der bruger for meget tid paa usenet.
For sending spam use mailto:aaarep@daimi.au.dk
/* Would you like fries with that? */

---

"Esben Laursen" <hyber@NOSPAM-PLEASE.hyber.dk> wrote:

>Jeg har problemer med at en af mine domæner bliver brugt som afsender til en
>masse spam. Jeg har sikret mig at der ikke er nogle af mine servere der
>bliver misbrugt til at relaye med.
>Det er ved at være et stort problem syntes jeg da jeg bliver bombarderet med
>retuneret mail. på en uge er der kommer over 65.000 tilbage.

Mine erfaringer fra dengang jeg var ude for det samme, er dokumenteret
på http://www.dybdal.dk/spam/ (på engelsk).

Den korte udgave er: du kan sandsynligvis ikke gøre noget for at
stoppe det, det aftager med lidt held snart, og selv længe efter at de
er holdt op med spamme med dit domæne som afsender, vil du
lejlighedsvis modtage bounces.
--
Jesper Dybdal, Denmark.
http://www.dybdal.dk (in Danish).

---

"Jesper Dybdal" <jdunetnospam@u10.dybdal.dk> skrev i en meddelelse
news:jag3609ijtk1rn6iemk7nfpn3m1bnhro5q@dtext.news.tele.dk...
> "Esben Laursen" <hyber@NOSPAM-PLEASE.hyber.dk> wrote:
>
> >Jeg har problemer med at en af mine domæner bliver brugt som afsender til
en
> >masse spam. Jeg har sikret mig at der ikke er nogle af mine servere der
> >bliver misbrugt til at relaye med.
> >Det er ved at være et stort problem syntes jeg da jeg bliver bombarderet
med
> >retuneret mail. på en uge er der kommer over 65.000 tilbage.
>
> Mine erfaringer fra dengang jeg var ude for det samme, er dokumenteret
> på http://www.dybdal.dk/spam/ (på engelsk).
>
> Den korte udgave er: du kan sandsynligvis ikke gøre noget for at
> stoppe det, det aftager med lidt held snart, og selv længe efter at de
> er holdt op med spamme med dit domæne som afsender, vil du
> lejlighedsvis modtage bounces.

Nej der er lidt trist.

Jeg syntes ikke at de kommer fra samme server, faktisk kan jeg ikke finde 2
mails fra samme server... Jeg er ikke helt sikker på at jeg kikker det
rigtige sted.. Kan du ikke lige peje hvor der er jeg finder det? Jeg har
vedhæftet et par headers..

########### første header #############

Return-Path: <>
Delivered-To: a.nelson_ro@staldinventar.dk
Received: (qmail 26407 invoked by uid 1009); 25 Mar 2004 23:15:43 -0000
Received: from by filsrv by uid 1007 with qmail-scanner-1.20st
(clamuko: 0.67. spamassassin: 2.63.
Clear:RC:0(130.227.52.107):SA:0(0.0/5.0):.
Processed in 2.470147 secs); 25 Mar 2004 23:15:43 -0000
Received: from fitch4.uni2.net (130.227.52.107)
by linuxtech.dk with SMTP; 25 Mar 2004 23:15:40 -0000
Received: from ohmx01.mgw.rr.com (ohmx01.mgw.rr.com [65.24.0.111])
by fitch4.uni2.net (8.12.6/8.11.6) with ESMTP id i2PMJcZS009683
for <a.nelson_ro@staldinventar.dk>; Thu, 25 Mar 2004 23:19:39 +0100
Received: from localhost (localhost)
by ohmx01.mgw.rr.com (8.12.10/8.12.8) id i2PMJLBs020331;
Thu, 25 Mar 2004 17:19:21 -0500 (EST)
Date: Thu, 25 Mar 2004 17:19:21 -0500 (EST)
From: Mail Delivery Subsystem <MAILER-DAEMON@ohmx01.mgw.rr.com>
Message-Id: <200403252219.i2PMJLBs020331@ohmx01.mgw.rr.com>
To: <a.nelson_ro@staldinventar.dk>
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status;
boundary="i2PMJLBs020331.1080253161/ohmx01.mgw.rr.com"
Subject: Returned mail: see transcript for details
Auto-Submitted: auto-generated (failure)
X-Spam-Checker-Version: SpamAssassin 2.63 (2004-01-11) on filsrv
X-Spam-Status: No, hits=0.0 required=5.0 tests=none autolearn=ham
version=2.63
X-Spam-Level:

This is a MIME-encapsulated message

--i2PMJLBs020331.1080253161/ohmx01.mgw.rr.com

The original message was received at Thu, 25 Mar 2004 17:19:17 -0500 (EST)
from [132.248.233.33]

----- The following addresses had permanent fatal errors -----
<bonghack@columbus.rr.com>
(reason: 550 5.1.1 unknown or illegal alias: bonghack@columbus.rr.com)

----- Transcript of session follows -----
.... while talking to ms-mta-01-fn.columbus.rr.com.:
>>> DATA
<<< 550 5.1.1 unknown or illegal alias: bonghack@columbus.rr.com
550 5.1.1 <bonghack@columbus.rr.com>... User unknown
<<< 554 5.5.0 No recipients have been specified.
--i2PMJLBs020331.1080253161/ohmx01.mgw.rr.com
Content-Type: message/delivery-status

Reporting-MTA: dns; ohmx01.mgw.rr.com
Received-From-MTA: DNS; [132.248.233.33]
Arrival-Date: Thu, 25 Mar 2004 17:19:17 -0500 (EST)

Final-Recipient: RFC822; bonghack@columbus.rr.com
Action: failed
Status: 5.1.1
Remote-MTA: DNS; ms-mta-01-fn.columbus.rr.com
Diagnostic-Code: SMTP; 550 5.1.1 unknown or illegal alias:
bonghack@columbus.rr.com
Last-Attempt-Date: Thu, 25 Mar 2004 17:19:21 -0500 (EST)

--i2PMJLBs020331.1080253161/ohmx01.mgw.rr.com
Content-Type: text/rfc822-headers

Received: from stanton18.freeserve.co.uk ([132.248.233.33])
by ohmx01.mgw.rr.com (8.12.10/8.12.8) with SMTP id i2PMIjBv018255
for <bonghack@columbus.rr.com>; Thu, 25 Mar 2004 17:19:17 -0500
(EST)
Message-ID: <1a0101c412bb$7dd1ed14$0ba68197@stanton18.freeserve.co.uk>
From: "Abby Nelson" <a.nelson_ro@staldinventar.dk>
To: bonghack@columbus.rr.com
Subject: (791)Be a better lover(3)
Date: Thu, 25 Mar 2004 22:53:21 +0000
MIME-Version: 1.0
Content-Type: text/html;
charset="us-ascii"
Content-Transfer-Encoding: 8bit
X-Virus-Scanned: Symantec AntiVirus Scan Engine

--i2PMJLBs020331.1080253161/ohmx01.mgw.rr.com--


############ anden header #################

Return-Path: <>
Delivered-To: elaineidouglasmf@staldinventar.dk
Received: (qmail 26728 invoked by uid 1009); 25 Mar 2004 23:20:11 -0000
Received: from by filsrv by uid 1007 with qmail-scanner-1.20st
(clamuko: 0.67. spamassassin: 2.63.
Clear:RC:0(130.227.52.107):SA:0(3.2/5.0):.
Processed in 1.981004 secs); 25 Mar 2004 23:20:11 -0000
Received: from fitch4.uni2.net (130.227.52.107)
by linuxtech.dk with SMTP; 25 Mar 2004 23:20:09 -0000
Received: from [65.213.243.130] ([65.213.243.130])
by fitch4.uni2.net (8.12.6/8.11.6) with SMTP id i2PMO7ZS010488
for <elaineidouglasmf@staldinventar.dk>; Thu, 25 Mar 2004 23:24:08
+0100
Received: from netgate-gw.cpacki.com by [65.213.243.130]
via smtpd (for mail-relay2.uni2.dk [129.142.7.105]) with SMTP;
Thu, 25 Mar 2004 17:24:08 -0500
Received: from localhost (localhost)
by netgate-gw.cpacki.com (8.9.3/8.8.7) with internal id QAA27009;
Thu, 25 Mar 2004 16:27:45 -0500
Date: Thu, 25 Mar 2004 16:27:45 -0500
From: Mail Delivery Subsystem <MAILER-DAEMON@computerpackages.com>
Message-Id: <200403252127.QAA27009@netgate-gw.cpacki.com>
To: <elaineidouglasmf@staldinventar.dk>
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status;
boundary="QAA27009.1080250065/netgate-gw.cpacki.com"
Subject: Returned mail: <chicago@computerpackages.com>...
aliasing/forwarding loop broken
Auto-Submitted: auto-generated (failure)
X-Spam-Checker-Version: SpamAssassin 2.63 (2004-01-11) on filsrv
X-Spam-Status: No, hits=3.2 required=5.0 tests=HTML_20_30,HTML_MESSAGE,
HTML_TAG_BALANCE_A,HTML_TAG_BALANCE_BODY,ONLINE_PHARMACY
autolearn=no
version=2.63
X-Spam-Level: ***

This is a MIME-encapsulated message

--QAA27009.1080250065/netgate-gw.cpacki.com

The original message was received at Thu, 25 Mar 2004 16:27:43 -0500
from rockvillefw01.cpacki.com [10.70.0.14]

----- The following addresses had permanent fatal errors -----
<chicago@computerpackages.com>

----- Transcript of session follows -----
554 <chicago@computerpackages.com>... aliasing/forwarding loop broken
--QAA27009.1080250065/netgate-gw.cpacki.com
Content-Type: message/delivery-status

Reporting-MTA: dns; netgate-gw.cpacki.com
Received-From-MTA: DNS; rockvillefw01.cpacki.com
Arrival-Date: Thu, 25 Mar 2004 16:27:43 -0500

Final-Recipient: RFC822; <chicago@computerpackages.com>
Action: failed
Status: 5.4.6
Last-Attempt-Date: Thu, 25 Mar 2004 16:27:45 -0500

--QAA27009.1080250065/netgate-gw.cpacki.com
Content-Type: message/rfc822

Return-Path: <elaineidouglasmf@staldinventar.dk>
Received: from rockvillefw01.cpacki.com (rockvillefw01.cpacki.com
[10.70.0.14])
by netgate-gw.cpacki.com (8.9.3/8.8.7) with SMTP id QAA27008
for <chicago@computerpackages.com>; Thu, 25 Mar 2004 16:27:43 -0500
Received: from [62.81.136.9] by rockvillefw01.cpacki.com
via smtpd (for netgate-gw.cpacki.com [10.70.0.1]) with SMTP; Thu,
25 Mar 2004 17:23:43 -0500
Message-ID: <e08c01c41347$a924f1ce$71090d87@stangl-waermetechnik.at>
From: "Elaine I. Douglas" <elaineidouglasmf@staldinventar.dk>
To: chicago@computerpackages.com
Subject: online healthcare store sympilcojg
Date: Fri, 26 Mar 2004 15:29:18 +0000
MIME-Version: 1.0
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1158
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
Content-Type: text/html
Content-Transfer-Encoding: 8bit

<html>
<body>
<body bgcolor="white" text="black" alink="blue" vlink="blue">
><h4>
Hi again,


Hygge

Esben

---

"Esben Laursen" <hyber@NOSPAM-PLEASE.hyber.dk> wrote:

>Jeg syntes ikke at de kommer fra samme server, faktisk kan jeg ikke finde 2
>mails fra samme server... Jeg er ikke helt sikker på at jeg kikker det
>rigtige sted.. Kan du ikke lige peje hvor der er jeg finder det? Jeg har
>vedhæftet et par headers..

Det er nok desværre sådan at dine eksemplarer stammer fra udnyttelse
af åbne proxier (eller virusinficerede maskiner) som ikke røber den
IP-adresse brevet oprindelig kommer fra.

Den interessante del er det oprindelige brevs headere (jeg erstatter
"@" med "(a)" hele vejen for ikke at skaffe spam til evt. uskyldige):

>Received: from stanton18.freeserve.co.uk ([132.248.233.33])
> by ohmx01.mgw.rr.com (8.12.10/8.12.8) with SMTP id i2PMIjBv018255
> for <bonghack(a)columbus.rr.com>; Thu, 25 Mar 2004 17:19:17 -0500
>(EST)
>Message-ID: <1a0101c412bb$7dd1ed14$0ba68197@stanton18.freeserve.co.uk>
>From: "Abby Nelson" <a.nelson_ro(a)staldinventar.dk>
>To: bonghack(a)columbus.rr.com
>Subject: (791)Be a better lover(3)
>Date: Thu, 25 Mar 2004 22:53:21 +0000

ohmx01.mgw.rr.com lyder plausibel nok, brevet kommer fra
132.248.233.33 - som enten er den oprindelige afsendermaskine eller en
maskine som på en eller anden vis relayer e-post uden at tilføje en
header der viser hvor det kom fra.

132.248.233.33 tilhører "Universidad Nacional Autonoma de Mexico":

inetnum: 132.248/16
status: assigned
owner: Universidad Nacional Autonoma de Mexico
ownerid: MX-UNAM1-LACNIC
address: Direccion General de Computo Academico
address: Circuito escolar exterior
address: Ciudad Universitaria
country: MX
owner-c: NU4-ARIN
inetrev: 132.248/16
nserver: DNS1.UNAM.MX
nsstat: 20040324 AA
nslastaa: 20040324
nserver: DNS2.UNAM.MX
nsstat: 20040324 AA
nslastaa: 20040324
nserver: DNS3.UNAM.MX
nsstat: 20040324 AA
nslastaa: 20040324
nserver: DNS4.UNAM.MX
nsstat: 20040324 AA
nslastaa: 20040324
created: 19890331
changed: 20030206
source: ARIN-LACNIC-TRANSITION

nic-hdl: NU4-ARIN
person: Nic Unam
e-mail: nic(a)UNAM.MX
address: Universidad Nacional Autonoma de Mexico
address: CU, Mexico DF
address: CP 04510
country: MX
phone: (525) 622 8110
source: ARIN-LACNIC-TRANSITION


>Return-Path: <elaineidouglasmf(a)staldinventar.dk>
>Received: from rockvillefw01.cpacki.com (rockvillefw01.cpacki.com
>[10.70.0.14])
> by netgate-gw.cpacki.com (8.9.3/8.8.7) with SMTP id QAA27008
> for <chicago(a)computerpackages.com>; Thu, 25 Mar 2004 16:27:43 -0500
>Received: from [62.81.136.9] by rockvillefw01.cpacki.com
> via smtpd (for netgate-gw.cpacki.com [10.70.0.1]) with SMTP; Thu,
>25 Mar 2004 17:23:43 -0500
>Message-ID: <e08c01c41347$a924f1ce$71090d87@stangl-waermetechnik.at>
>From: "Elaine I. Douglas" <elaineidouglasmf(a)staldinventar.dk>
>To: chicago(a)computerpackages.com
>Subject: online healthcare store sympilcojg
>Date: Fri, 26 Mar 2004 15:29:18 +0000

Begge Received-headere ser plausible ud (den øverste fortæller at
brevet er modtaget over et internt netværk fra 10.70.0.14, som har
tilføjet den nederste). Så brevet kommer nok fra 62.81.136.9.

Opslag af 62.81.136.9 giver:

inetnum: 62.81.136.0 - 62.81.136.15
netname: DULCESA
descr: Food industry
country: ES
admin-c: VSP5-RIPE
tech-c: VSP5-RIPE
status: ASSIGNED PA
mnt-by: AUNA-MNT
notify: cnomprod(a)retevision.es
changed: cnomprod(a)retevision.es 20030313
source: RIPE

route: 62.81.0.0/16
descr: Retevision SA
origin: AS8761
notify: techauna(a)auna.es
mnt-by: AUNA-MNT
changed: techauna(a)auna.es 20010615
source: RIPE

person: Vicente Sigalat Puig
address: Camino viejo de Oliva, 50
address: 46700 Gandia
address: Valencia
phone: +34 96 296 50 11
fax-no: +34 96 296 50 12
e-mail: sigalat(a)dulcesa.es
nic-hdl: VSP5-RIPE
notify: jsantedm(a)retevision.es
mnt-by: AUNA-MNT
changed: agonsale(a)retevision.es 19991213
source: RIPE

Alt tyder desværre på at dine spams kommer via nogle særdeles spredte
maskiner der kan snydes til at sende post, og som ikke tilføjer en
header der siger hvor posten kom fra. Så er der nok ikke meget andet
at gøre end at vente til det går over.
--
Jesper Dybdal, Denmark.
http://www.dybdal.dk (in Danish).

---

"Jesper Dybdal" <jdunetnospam@u10.dybdal.dk> skrev i en meddelelse
news:dhs860dbjad0ddbe483n0oth95ko4gkmhl@dtext.news.tele.dk...
> "Esben Laursen" <hyber@NOSPAM-PLEASE.hyber.dk> wrote:

<snip>

> Alt tyder desværre på at dine spams kommer via nogle særdeles spredte
> maskiner der kan snydes til at sende post, og som ikke tilføjer en
> header der siger hvor posten kom fra. Så er der nok ikke meget andet
> at gøre end at vente til det går over.

Det var også det jeg var bange for..

Desværre har det ikke aftaget endnu, jeg modtager stadig omkring 7-8 mail i
minuttet. Jeg har dog konfigureret min mail server til at smide dem væk, men
jeg bruger jo stadig båndbrede på dem =(

Trist, men såen er det jo....

Tak for hjælpen

--
Esben