Was denn? Kaffee? Nee, das würde mir nicht in einer Spam gesagt, denn in einer Spam wird mir niemals die Wahrheit gesagt.

Hallo!

Das ist schon wieder genau mein Name.

Der Spaß hört bei Jackpot City Casino niemals auf! Zudem erhalten Sie ein 100% Bonus bis zu $/£/€ 400, wenn Sie sich anmelden und Ihre erste Einzahlung tätigen.

Der Spaß im Betrugsstadtcasino hört niemals auf… außer, man ist dort Spieler. Es gibt Bonus, wenn man dort Geld ablegt. In Währungseinheiten. Oder in Credits. Bis zu vierhundert. Ob es sich dabei um US-Dollar, britische Pfund oder Euro handelt, ist völlig egal. So kann man schon vor dem ersten Spiel sehen, dass die auf dem Monitor angezeigte Zahl nichts mit den Banknoten zu tun hat, die man dafür hingelegt hat, dass diese Zahl angezeigt wird und beim Zocken immer kleiner wird.

Spielen Sie Video Slots, Poker, Blackjack, Roulette und viele weitere Spiele. Gewinnen Sie groß bei den tollen regulären Promotionen.

Computergrafik ist ganz was feines. Da kann das Ergebnis einer Datenverarbeitung, die vom Betreiber eines so genannten Casinos für Spieler völlig unentdeckbar manipulierbar ist, wie Spielkarten, Roulettekugeln oder Walzen aussehen. Wer dumm genug ist, lässt sich davon verblenden. Und alle angebotenen Casinospiele wären schon ohne Betrug nachteilhaft für den Spieler. Wer das nicht glaubt, kann sich gern den Palast eines alten Casinos anschauen, etwa in Baden-Baden. Diese ganze Pracht wurde gebaut mit den Verlusten der Spieler. Und sie repräsentiert nur einen kleinen Bruchteil der Verluste der Spieler.

Holen Sie sich Ihren Bonus heute noch! http://djjedi.friko.pl/rwm.htm

Also klicki, klicki zugreifen! Und nicht daran stören, dass die verlinkte Website dafür bekannt ist, schon einmal Schadsoftware verteilt zu haben! Gibt auch Bonus. In auf dem Bildschirm angezeigten Währungseinheiten.

Ich schreibe hier ja manchmal, wenn ich etwas zu einem Link in einer Spam schreibe, dass auf einen Klick eine „übliche Kaskade von Weiterleitungen“ folgt. Die Spammer setzen beinahe niemals direkte Links, sondern versuchen das eigentliche Linkziel so gut wie möglich zu verschleiern, um Spamfiltern die Arbeit schwerer zu machen. Hier ist die Demonstration mit dem heutigen Link, der übrigens relativ schnell zum Punkt kommt – wer eine Allergie gegen Kommandozeilenakrobatik hat, möge sich einfach abwenden:

$ lynx -dump -mime_header http://djjedi.friko.pl/rwm.htm
HTTP/1.1 200 OK
Server: nginx/0.7.67
Date: Thu, 16 Jun 2016 09:48:58 GMT
Content-Type: text/html
Connection: close
Last-Modified: Wed, 15 Jun 2016 20:16:19 GMT
Accept-Ranges: bytes
X-Powered-By: ModLayout/5.1

<script>document.location.replace("http://bigclubroyal.com/");</script><!-- FOOTER //]]>'"</script></iframe></noembed></embed></object></noscript>-->
<script type="text/javascript" src="/2deb000b57bfac9d72c14d4ed967b572.js?d=ZGpqZWRpLmZyaWtvLnBs"></script>
$ _

Erstmal gibt es eine in Javascript realisierte Weiterleitung zu bigclubroyal (punkt) com. Das zusätzlich ausgelieferte Stück Javascript mit dem sedezimalen Dateinamen existiert zurzeit übrigens nicht und ist dort wohl nur als Denkmal früherer Verwendungen des gleichen Codes verblieben. Ich vermute, dass es sich hier um eine vorübergehend für eine Handvoll Bitcoin eingeschleuste Schadsoftware gehandelt hat, die dann aber später wieder entfernt wurde. Sonst sehen eventuelle Besucher der Website ja diese hässlichen Warnungen, und das wäre doch schlecht fürs eigene kriminelle Geschäft…

Gut, mal schauen, wie es weitergeht:

$ lynx -dump -mime_header http://bigclubroyal.com/
HTTP/1.1 302 Found
Server: nginx/1.8.1
Date: Thu, 16 Jun 2016 09:54:42 GMT
Content-Type: text/html;charset=UTF-8
Content-Length: 6
Connection: close
Set-Cookie: userlike2=%F9%ED9%1D%14%23%21%D6%14%0E%C6%D3.%D5%CFa%D7t%EF%BF%03%A0_G%E5y%DA%D4%CA%F9W%FA%FA%EE%95%DA; expires=Wed, 06-Jul-2016 09:49:21 GMT
Cache-Control: no-store, no-cache,  must-revalidate
Expires: Thu, 16 Jun 2016 12:49:21 +0300
Location: http://bigluckywinners6.com

$ _

Die nächste Weiterleitung gibt es also über HTTP und nicht mehr über Javascript, aber es soll ja auch nicht mehr hinterhältig zusätzliches Javascript mit untergejubelt werden. Es geht zu den sechs großen, glücksbesegneten Gewinnern – vermutlich den Betreibern eines so genannten „Online-Casinos“ mit mafiösem Hintergrund. Oder vielleicht doch eher zu ein paar Affiliate-Lumpenkaufleuten, die ihren Müll ohne Spam nicht loswerden? Mal schauen:

$ lynx -dump -mime_header http://bigluckywinners6.com
HTTP/1.1 301 Moved Permanently
Cache-Control: private
Content-Length: 0
Content-Type: text/html
Location: https://www.jackpotcitycasino.com/?a=1709515357611636
Server: Microsoft-IIS/8.5
Set-Cookie: ASPSESSIONIDQQQSBSQS=AJJKDGAAFINOGEMDGBBIOKDJ; path=/
X-Powered-By: ASP.NET
Date: Thu, 16 Jun 2016 10:10:43 GMT
Connection: close

$ _

Ah, jackpotcitycasino (punkt) com ist das nächste Ziel – und diesmal könnte es das letzte sein, denn es wurde eine Affiliate-ID angehängt. Mal schauen (die folgende Pipe auf sed bricht die Ausgabe nach dem Ende der HTTP-Header ab, weil ich sehr viel HTML erwarte):

$ lynx -dump -mime_header https://www.jackpotcitycasino.com/?a=1709515357611636 | sed '/^\s*$/q'
HTTP/1.1 302 Found
Cache-Control: private
Content-Type: text/html; charset=utf-8
Location: /deutschland/
Server: Microsoft-IIS/8.5
X-AspNetMvc-Version: 5.2
X-AspNet-Version: 4.0.30319
Set-Cookie: DetectedDevice=IsMobile=False&IsTablet=False&MatchedDeviceID=1&OperatingSystem=&OperatingSystemVersion=&ReportDeviceID=generic; domain=jackpotcitycasino.com; path=/
Set-Cookie: Visit=BannerTag=52de0c70-250f-4425-8af7-7010b153b6ba&BrandCode=JC&CountryIdByIP=276&CurrencyIdByCultureId=200&CurrencyIdByIpId=200&DeviceTypeId=12&Foo=JC&ForwardedIpAddress=2986582089&IpAddress=2986582089&IsDivAVisible=True&IsTrafficInternal=False&MerchantExclusive=False&Variables=P2E9MTcwOTUxNTM1NzYxMTYzNg==; domain=jackpotcitycasino.com; path=/
Set-Cookie: ASP.NET_SessionId=hvghs2zc041djqkfxs0xzrgk; path=/; HttpOnly
Set-Cookie: FCVR=9d1840bd-1d5f-4538-ba07-995383a63909; expires=Sun, 14-Jun-2026 10:14:27 GMT; path=/
Set-Cookie: testValue=~/views/site/index.cshtml=~/views/site/index2016.cshtml; expires=Tue, 16-Jun-2026 10:14:27 GMT; path=/
Set-Cookie: UID=; expires=Tue, 16-Jun-2026 10:14:27 GMT; path=/
Set-Cookie: testName=; expires=Tue, 16-Jun-2026 10:14:27 GMT; path=/
X-Powered-By: ASP.NET
X-UA-Compatible: IE=edge
Date: Thu, 16 Jun 2016 10:14:27 GMT
Connection: close
Content-Length: 87006

$ _

In der Tat, das ist das Ziel. Und so sieht das „Casino“ aus:

In der Spam gab es zwar noch einen Bonus von bis zu 400 Credits, aber hier gibt es jetzt 1600 Dollar. Dass die auf dem Bildschirm angezeigte Zahl nichts mit richtigem Geld zu tun hat, ist ja schon vorher klar geworden. Wer richtiges Geld gegen eine solche, angezeigte Zahl eintauscht, weil er eine Spam bekommen hat… ach bitte! Zahl dein Lehrgeld lieber an mich als an asoziale und kriminelle Spammer und an „Casinos“, die mit Affiliate-Geldern asoziale und kriminelle Spammer finanzieren, du Naivling! Ich mache da nämlich etwas Anständiges mit, ich kaufe davon Kekse… 😉