Heute ein weiterer Spammer, der der Meinung ist, dass seine zwei Dutzend Wörter viel besser aussehen, wenn er sie in 267 fettleibigen KiB Grafik verpackt, die durch die Base64-Codierung für den Mailversand zu rund 340 KiB Stopfmasse für das Postfach werden. Da hätte man aber wenigstens eine hübschere Schriftart nehmen können! Aber wenn der Spammer Geschmack hätte und sich Mühe geben wollte, wäre er nicht schnell dumm geworden und gegangen zu Spammer.
Die Spam sieht so aus:
Zu Risiken und Nebenwirkungen dieser Giftpillen – nein, das ist kein Naturheilmittel, sondern ein sehr gefährliches, als Arzneimittel wegen schwerer Nebenwirkungen schon lange nicht mehr zugelassenes, vollständig synthetisch hergestelltes Amphetamin-Derivat – fragen sie ihren Arzt oder ihren Bestattungsunternehmer. Einen halbwegs informativen Beipackzettel wird es nicht geben.
Die Grafik ist natürlich verlinkt, damit man sie anklicken kann. Wie beinahe immer in der Spam handelt es sich nicht um einen direkten Link, sondern um einen Link in eine Wegwerfdomain, die ruhig bei allen Blacklists dieser Welt bekannt werden kann.
$ lynx -mime_header http://www.teamgroup.gdn/gutengenerika/
HTTP/1.1 200 OK
Server: nginx/1.10.2
Date: Fri, 24 Feb 2017 12:05:46 GMT
Content-Type: text/html; charset=UTF-8
Content-Length: 1498
Connection: close
Last-Modified: Thu, 23 Feb 2017 22:57:29 GMT
ETag: "2383d-5da-5493a89a164a4"
Accept-Ranges: bytes
<HTML><HEAD><!-- MyCounter v.2.0 --> <script type="text/javascript"><!--
my_id = 135002; my_width = 2; my_height = 2; my_alt = "MyCounter - ñ÷¸ò÷èê è ñòàòèñòèêà"; //--></script> <script type="text/javascript" src="http://scripts.mycounter.ua/counter2.0.js"> </script><noscript> <a target="_blank" href="http://mycounter.ua/"><img src="http://get.mycounter.ua/counter.php?id=135002" title="MyCounter - ñ÷¸ò÷èê è ñòàòèñòèêà" alt="MyCounter - ñ÷¸ò÷èê è ñòàòèñòèêà" width="88" height="41" border="0" /></a></noscript> <!--/ MyCounter --> <!-- Yandex.Metrika counter -->
<script type="text/javascript">
(function (d, w, c) {
(w[c] = w[c] || []).push(function() {
try {
w.yaCounter35581560 = new Ya.Metrika({
id:35581560,
clickmap:true,
trackLinks:true,
accurateTrackBounce:true
});
} catch(e) { }
});
var n = d.getElementsByTagName("script")[0],
s = d.createElement("script"),
f = function () { n.parentNode.insertBefore(s, n); };
s.type = "text/javascript";
s.async = true;
s.src = "https://mc.yandex.ru/metrika/watch.js"
if (w.opera == "[object Opera]") {
d.addEventListener("DOMContentLoaded", f, false);
} else { f(); }
})(document, window, "yandex_metrika_callbacks");
</script>
<noscript><div><img src="https://mc.yandex.ru/watch/35581560" style="position:absolute; left:-9999px;" alt="" /></div></noscript>
<!-- /Yandex.Metrika counter -->
<META HTTP-EQUIV="REFRESH" CONTENT="1; URL=
http://www.deutschepharma.shop/drugs/lidadaidaihua">
</HEAD><BODY></BODY></HTML>
$ _
Schon wieder einer dieser Spammer, der gleich zwei trackende, in Javascript realisierte Zählerskripten in seine Weiterleitungsseite einbaut, damit er zwei voneinander abweichende Statistiken anschauen kann. Vermutlich trägt er auch zwei Uhren und ist sich deshalb nie so ganz sicher, wie spät es ist.
Die Reise führt jedenfalls in die Domain deutschepharma (punkt) shop. Zu schade, dass es für diese ganzen neuen TLDs keinen Whois-Service gibt. Aber sagen wir es mal so:
$ dig deutschepharma.shop | grep -v '^;' | sed '/^ *$/d' deutschepharma.shop. 68 IN A 46.161.14.39 $ whois 46.161.14.39 | grep '^country' country: RU $ _
Der Server steht in Russland. Das muss eine sehr „großdeutsche Pharma“ sein, die hier von Russland aus Handel mit illegalen Substanzen betreibt. Natürlich ist auf der Website des gefährlichen russischen Giftapothekers nicht von verbotenen, synthetisch hergestellten Rauschmitteln die Rede, sondern es wird etwas völlig anderes behauptet:
Es enthält keine künstlichen Stoffe, keine Hormone, genetisch modifizierten Inhaltsstoffe, keine Wurmlarven. Da es aus pflanzlichen Auszügen besteht, verursacht es keine Nebenwirkungen. Die Schlankheitskapseln sind wissenschaftlich erprobt, 100% natürlich […] Diese Schlankheitskapseln sind ein natürliches Präparat, das normalerweise keine Nebenwirkungen hat
Wer sich von solchen zynisch-verlogenen Spamapothekern beraten lässt, sollte auch schon an seine Bestattungsvorsorge denken.
[…] so, „Deutsche Pharma“… das hatte ich doch schon… richtig! Das war ja der Server mit der Website „Europäische Apotheke, der in Russland steht und wo man (und vor allem: frau) sich gefährliche Amphetamin-Derivate zum Abnehmen kaufen konnte, […]