Spam und was dahintersteckt

[Tom]

Hello,

sicher werdet Ihr das auch kennen. Ich bekomme dauernd diese merkwürdigen Spam-Mails. Merkwürdig, weil ich mir bisher keinen Reim darauf machen kann, welchen Zweck der Quellcode verfolgt.

Ausschnitt:

cornea-->al
 te<!--binocular-->en<!--mcguire-->s!<br></font>- <!--=
feminism--><font face=3D"Arial" size=3D"3">A<!--trait-->dd<!--=
cuddly-->itio<!--concision-->nal me<!--transient-->mbe<!--=
bellboy-->rsh<!--fencepost-->ip
 to Hu<!--sperry-->stl<!--absentminded-->er and Avn 10<!--=
cotangent-->0% <!--hercules-->F<!--aggressor-->R<!--=
dive-->EE.<br>- L<!--slack-->ive te<!--aircraft-->en c<=
!--cream-->hat<br>- An<!--remote-->d ..<!--lawgiving-->..M=
u<!--norman-->ch..<!--holbrook-->.M<!--bulblet-->uch
 Mo<!--pont-->re..<!--vase-->...<br><br><!--coralberry--=

Kann mir eine(e) von Euch da Aufschluss geben?

Grüße

Tom

[Cheatah]

Hi,

sicher werdet Ihr das auch kennen. Ich bekomme dauernd diese merkwürdigen Spam-Mails. Merkwürdig, weil ich mir bisher keinen Reim darauf machen kann, welchen Zweck der Quellcode verfolgt.

ein (weiterer) plumper Versuch, Spam-Erkennungs-Mechanismen zu umgehen. So ist z.B. in

te<!--binocular-->en<!--mcguire-->s!<br></font>- <!--=

die Zeichenfolge "teens" nicht enthalten; in der HTML-Darstellung jedoch schon.

Cheatah

[Tom]

Hello,

ein (weiterer) plumper Versuch, Spam-Erkennungs-Mechanismen zu umgehen. So ist z.B. in

te<!--binocular-->en<!--mcguire-->s!<br></font>- <!--=

die Zeichenfolge "teens" nicht enthalten; in der HTML-Darstellung jedoch schon.

Du meinst also, dass die nur auf die Unvollkommenheit von Spamfiltern setzen damit? Manchmal hab ich schon gedacht, die wahre Botschaft steckt verschlüsselt in den Kommentaren. Wenn man sie nun nur an unendlich viele Adressaten schickt, kann man jede Kommunikation (mit seinem Spion) verstecken. Der NSA und die Geheimdienste haben da doch überhaupt keine Chance mehr, Gedankenaustausch zu unterdrücken :-|

Grüße

Tom

[Cheatah]

Hi,

Du meinst also, dass die nur auf die Unvollkommenheit von Spamfiltern setzen damit?

richtig, das meine ich.

Manchmal hab ich schon gedacht, die wahre Botschaft steckt verschlüsselt in den Kommentaren.

Mag sein. Allerdings ist mir bisher nur die Variante "te<fda7bhuj>en<riot76nkl>s" begegnet, die recht eindeutig ohne tieferen Sinn war.

Wenn man sie nun nur an unendlich viele Adressaten schickt, kann man jede Kommunikation (mit seinem Spion) verstecken. Der NSA und die Geheimdienste haben da doch überhaupt keine Chance mehr, Gedankenaustausch zu unterdrücken :-|

Kommt vielleicht deswegen kein vernünftiges Anti-Spam-Gesetz zustande? :-)

Cheatah

[xwolf]

Hi,

Kommt vielleicht deswegen kein vernünftiges Anti-Spam-Gesetz zustande? :-)

Wozu ein Gesetz gegen etwas?
Das funktioniert doch eh nicht.

Lieber ein paar weniger Gesetze und mehr Freiheiten für die Nutzer: http://xwolf.blogger.de/stories/9172/

Ciao,
  Wolfgang

[Armin G.]

Tach auch,

te<!--binocular-->en<!--mcguire-->s!<br></font>- <!--=

die Zeichenfolge "teens" nicht enthalten; in der HTML-Darstellung jedoch schon.

Du meinst also, dass die nur auf die Unvollkommenheit von Spamfiltern setzen damit?

Dies ist in gewisser Weise ein doppelter Umgehungsversuch:

a) wie bereits gesagt ist die Zeichenfolge "teen" nicht enthalten (obwohl sie angezeigt wird), so dass die Filter dies nicht erkennen koennen.

b) zum anderen sind in den Kommentaren andere "unverfaengliche" Worte und Namen untergebracht. Dies ist ein Versuch sogenannte Bayes-Filter auszutricksen, die darauf basieren statistische Haeufigkeiten von Woerten zu ermitteln. Durch die "unverfaenglichen" Woerter soll der Bayes-Filter denken dies waere eine legitime Mail.

Gruss,
Armin

[Orlando]

Hi Armin,

Durch die "unverfaenglichen" Woerter soll der Bayes-Filter denken dies waere eine legitime Mail.

kennen Spam-Filter, egal, ob mit oder ohne Bayes-Methode denn überhaupt HTML? Ich glaube eher nicht, bin mir aber nicht sicher.

Grüße,
 Roland

[Armin G.]

Tach auch,

kennen Spam-Filter, egal, ob mit oder ohne Bayes-Methode denn überhaupt HTML? Ich glaube eher nicht, bin mir aber nicht sicher.

Nicht das ich wuesste. Aber das brauchen sie ja auch nicht. Was allerdings hier zu dem Problem fuehrt:

Du hast folgende Zeichenkette:

Por<!-- Eingang -->no und Via<!-- Buecherschrank -->gra

Was wird in einem HTML-faehigen client dargestellt?

Porno und Viagra

Was liest der Filter?

Por Eingang no und Via Buecherschrank gra (oder irgendwas in der Art, so genau weiss ich das nicht)

Grammatik kann er nicht, die seltsamen Worte duerften ihm auch nicht unbedingt auffallen. "Eingang" und "Buecherschrank" werden vermutlich als "gute" Woerter eingeordnet, da die auch in alltaeglichen Mails vorkommen. Und schon ist der Filter ueberlistet (zumindest ist das die Idee hinter diesen Verschleierungstricks)

Gruss,
Armin

[Sven Rautenberg]

Moin!

Hi Armin,

Durch die "unverfaenglichen" Woerter soll der Bayes-Filter denken dies waere eine legitime Mail.

kennen Spam-Filter, egal, ob mit oder ohne Bayes-Methode denn überhaupt HTML?

Das hängt davon ab, wie sie programmiert sind.

Es ist ja grundsätzlich kein Problem, als Vorfilter erstmal sämtliche HTML-Kommentare aus dem Text herauszufiltern, wenn der Mime-Typ auf text/html steht. Oder es allgemein so zu machen, egal welcher Mimetyp (wenn man den IE als Anzeigemodul nimmt... ;->).

Das Resultat sind dann wieder die echten Worte, die der Benutzer auch sieht.

Dumm wäre nur, wenn sich die Spammer irgendwann reguläre, optische Effekte von HTML zunutze machen. Man könnte ja kritische Begriffe zeichenweise in eine Tabelle packen, die nur eine einzige Zeile besitzt.

Es gibt aber jedenfalls keine Tarnmethode, die man nicht entdecken und kompensieren könnte. Als Konsequenz werden dann halt irgendwann alle Mails in den Spamfiltern hängen bleiben, die irgendwie HTML benutzen. Und das ist ja auch nicht besonders schlecht.

- Sven Rautenberg

[Armin G.]

Tach auch,

Dumm wäre nur, wenn sich die Spammer irgendwann reguläre, optische Effekte von HTML zunutze machen. Man könnte ja kritische Begriffe zeichenweise in eine Tabelle packen, die nur eine einzige Zeile besitzt.

Nun bring die nicht auch noch auf Ideen...

Gruss,
Armin

[Sven Rautenberg]

Moin!

Dumm wäre nur, wenn sich die Spammer irgendwann reguläre, optische Effekte von HTML zunutze machen. Man könnte ja kritische Begriffe zeichenweise in eine Tabelle packen, die nur eine einzige Zeile besitzt.

Nun bring die nicht auch noch auf Ideen...

Gegenmaßnahme: HTML-Tags auch rauslöschen. :)

- Sven Rautenberg

[Orlando]

Hi Sven,

Gegenmaßnahme: HTML-Tags auch rauslöschen. :)

das ist genau das, was anständige E-Mail-Clients ausmacht. Deswegen würde es mich ja wundern, wenn diverse Filter darauf hereinfallen würden. OjE natürlich ausgenommen :-)

Grüße,
 Roland