nicht angemeldet
Was ich meinte ist dass der Zielhost nicht wissen kann, ob derjenige der jetzt die Email von einer bestimmten Domain überträgt, tatsächlich hierfür autorisiert ist, oder eben nicht.
Glaubst Du, dass irgendein Mailserver eines echten Providers an einer 24h-DSL- oder Modemleitung hängt? Außer ein paar Halbstarken, die sich von einem "Server" unterm Kinderzimmertisch früheren Bartwuchs erhoffen, verschickt niemand Mails direkt an das Zielsystem, man geht immer über den Mailserver des Providers.
Schlussfolgerung für den eigenen Mailserver: Von einer Einwahlleitung aus kommt keine Mail (eigene Relaisnutzer ausgenommen, aber die identifizieren sich mittels SMTP Auth).
Falls nicht, woher glaubst Du, weiß ich, dass da lauter dynamische IP-Adressen in der Heise-Liste stehen? Es gibt da einige offensichtliche Übereinstimmungen.
Du weißt es weil da eben dynamische Adressen drinstehen ;-)
Es stehen viele dynamische Adressen drin, aber nicht ausschließlich. Diese Liste entsteht durch Analyse empfangener Mails, es ist eine Liste von Hosts, die Spam an Heise versandt haben, keine Liste dynamischer IPs. Und gerade weil es eine Liste ist, die auf tatsächlich empfangenen Spammails basiert, zeigt sie besonders deutlich, wie hoch der Anteil an dynamischen Adressen gegenüber echten SMTP-Servern ist.
Auf keinem infizierten Rechner wird ein SMTP-Server installiert.
Bist Du Dir da so sicher? Die installieren natürlich keinen "richtigen" SMTP-Server,
Warum schreibst Du SMTP-Server, wenn Du weißt, dass es keine SMTP-Server sind?
Ein echter SMTP-Server, der als Relais fungiert, macht keinen Sinn, denn woher sollen die Spammer wissen, auf welchem der Millionen potentieller Opfer sie ihren Server installiert haben?
Genau. Diese Adressen werden für viele 1000 USD gehandelt.
Mit potentiellen Opfern meine ich infizierte PCs. Deren (IP-)Adressen sind nicht handelbar, weil sie sich gemeinhin spätestens nach 24 Stunden ändern. Potentiell, weil niemand gezielt von einem Spammer dazu ausgesucht wird, seinen trojanischen Mailer aufzunehmen. Es ist reine Glückssache, wie weit sich ein Trojaner verbreitet.
Aber im Prinzip macht ein Schädling auf einem Client-PC auch nichts anderes [als ein offenes Relais].
Falsch, wie soll die Spamzentrale wissen, wo gerade jemand sein trojanisches Mailrelais per Modem mit dem Internet verbindet? Der Trojaner muss also erst einmal eine Verbindung zur Zentrale herstellen. Dann kann er aber auch gleich asynchron arbeiten, wie unten beschrieben.
Hinzu kommt, dass die Übermittlung von zig Hundertausend Zieladressen per SMTP auch nicht gerade ideal ist.
Hm? Wie denn sonst?
Stell Dich nicht dümmer, als Du bist. Listen mit Mailadressen und Werbetexte kann man auch per HTTP, FTP oder irgendeinem selbstgestrickten Protokoll übertragen und sich dabei gzip oder bzip2 zu Nutze machen. Es könnte dem Eigentümer des infizierten PCs sonst auffallen, wenn seine Kiste drei Stunden mit dem Empfang von (wegen SMTP unkomprimierten) 500.000 Mailadressen beschäftigt ist.
Ein einfacher Werbetrojaner schleicht sich auf dem PC eines Ahnungslosen ein, stellt eine Verbindung zu seinem Herrn her, holt Mailadressen und Werbetexte ab und beginnt mit dem Versand, direkt an die Zielsysteme, da ihm die Zugangsdaten, die der Ahnungslose für den Mailserver seines Provider hat, nicht unbedingt bekannt sein können.
Auf diese Weise...
- bleibt der Spammer dank nicht ständiger Verbindung die meiste Zeit im Verborgenen,
- er belastet seine eigenen Systeme nicht mit dem tatsächlichen Mailversand, wie es bei einem "trojanischen SMTP-Server" der Fall wäre,
- der Trojaner kann sein Werk bei Bedarf drosseln, um den Besitzer des infizierten PCs nicht durch auffällig geringen Datendurchsatz zu alarmieren,
- der Spammer braucht sich nicht darum zu kümmern, welcher Trojaner in seinen 10 Minuten Onlinezeit bereits welche Mailadressen beglückt hat, da er jedem Trojaner einen Satz Adressen gibt, die dieser in den nächsten Tagen selbständig abarbeiten kann,
- und es funktioniert alles auch aus einem privaten Netzwerk heraus und/oder vielleicht sogar durch eine Firewall.
Der Nachteil ist, dass ein heimischer PC anhand des Domainnamens meistens leicht erkannt werden kann. Ein effektiver, nicht zu umgehender Schild gegen von Spammern infizierte PCs (und Viren sowieso). Davon rede ich die ganze Zeit.
Es werden auch gerne schlecht gesicherte Server [...mit] fester IP aus einem "vertrauenswürdigeren" Netzabschnitt natürlich erheblich interessantere Ziele darstellen.
Falsch, solche Server sind die schlechtere Wahl, denn ihre nicht ohne weiteres austauschbare IP-Adresse findet sich innerhalb weniger Stunden in schwarzen Listen wieder, womit dieser Server für den Spamversand beinahe wertlos ist. Du hast die gleichlautende Aussage von Heise selbst zitiert:
In der von Dir verlinkten Liste steht unter anderem:
Spamversender verringern die Wirksamkeit von Blacklists, indem sie
eine grosse Anzahl nur voruebergehend mit dem Internet verbundener
"Zombie"-PCs fuer ihre Zwecke missbrauchen.
Außerdem muss man solche offenen Relais erstmal aufspüren. Wozu soll der Spammer zum Berg laufen, wenn der Berg mit Hilfe eines Ahnungslosen von ganz allein zum Spammer kommen kann?
Wer im übrigen irgendeinen fremden Netzabschnitt als "vertrauenswürdig" einstuft, dem ist sowieso nicht mehr zu helfen.