Re: [SAde] Wie filtert man solche Mails am Besten heraus?

Wolfram Schroeder <[email protected]> Mon, 06 Oct 2003 21:52:39 +0200
Newsgroups	gmane.mail.spam.spamassassin.devel.de
Message-ID	<[email protected]>
Daniel Luttermann schrieb:
> Hallo,

Yo Daniel,

1) usedjeep.com und die anderen, die Du gefunden hast, in Deine Liste 
unerwünschter URLs aufnehmen, diese dann irgendwo veröffentlichen,
2) Regel für "as wildly as you like" - schau Deinen alten Spam und die 
existierenden Regeln durch, um Gemeinsamkeiten zu finden und eine Idee 
für Punkte zu bekommen,
3) "take me away" statt "remove me", je nach Deiner Site, schau die 
existierenden Regeln für "remove me" durch,
4) eine Header-Regel auf received-Zeilen mit der von Dir genannten IP 
machen etwa header Received =~ /211\.36\.56\./,
5) evtl. "found on msn or yahoo", je nach Deiner Site.

Ich weiß nicht, ob die Angabe eines Generators ein allgemeines 
Spam-Zeichen ist, aber darauf machst Du eine RAWBODY-Regel, so wie es 
ausschaut, kannst Du die ganze Zeile wörtlich reinkopieren.

Ich verstehe die Satzkonstruktion "Want to pork plain wrong people" 
nicht, aber vielleicht ist "to pork" neu-Englisch für Du weißt schon was.

Außerdem versuch mal, die Mail an [email protected] und [email protected] 
zu forwarden mit einem netten (!) Hinweis. Damit machst Du aber evtl. 
Deine Regel auf die IP kaputt ;-)

Grüße,
Wolfram

> seit einigen Wochen erhalte ich immer wieder solche eMails, welche von
> SA 2.55 bzw. 2.60 "nur" mit einem Spam- Score von 0.9 bis max. 1.5
> bewertet werden. Die Sender- Domain wechselt sehr häufig zwischen
> @horfinc.com, @usedmotorcars, @name-harris, @name-jones usw., ebenso
> die Sender (marc@, tom_jones@ usw.).
> 
> Der Body der eMails ist in etwa gleich. Der Header enthält immer
> wieder eine IP aus dem Bereich 211.36.56.x
> 
> Bei der Verwendung von RBL kann ich den Score- Wert schon beeinflussen
> aber welche alternativen Ansätze hätte ich, diverse andere Merkmale
> solcher eMails zu beeinflussen? Ist es möglich, bei vorkommen von
> "MSHTML Generator" o. ä. den Score- Wert entsprechend anzuheben?
> 
> Hier einmal ein Auzug dieser eMails (Spam-Score ist über 5, da ich
> einaml eine Abfrage über Spamcop.net versucht habe und für Spamcop
> einen Wert von 3.0 vorgesehen habe):
> 
> Return-Path: <cris-SknCRDuPEfVWk0Htik3J/[email protected]>
> Delivered-To: spam-quarantine
> X-Envelope-To: <xxxxxx>
> X-Envelope-From: <cris-SknCRDuPEfVWk0Htik3J/[email protected]>
> X-Quarantine-id: <spam-a010ff2a9a1b4dce49c6466740196102-20031006-035016-00821-01>
> Received: from localhost (localhost [127.0.0.1])
>         by xxxxxx (Postfix) with ESMTP id 56784757
>         for <xxxxxx>; Mon,  6 Oct 2003 03:50:10 +0200 (CEST)
> Received: from afwdallmx.t-online.com [194.25.134.47]
>         by localhost with POP3 (fetchmail-6.2.1)
>         for xxxxxx (single-drop); Mon, 06 Oct 2003 03:50:10 +0200 (CEST)
> Received: from sx4.j-connect.com ([211.36.56.252]) by mailin06.sul.t-online.de
>         with esmtp id 1A6KRW-0W163s0; Mon, 6 Oct 2003 03:45:46 +0200
> From: "Cris" <cris-SknCRDuPEfVWk0Htik3J/[email protected]>
> Message-Id: <2003060140.304FC48893DB-A7gQh+4gdaMMRHSAxyZ1NwC/[email protected]>
> To: xxxxxx
> Subject: The games up
> Date: Sun,  Oct 18:40:53 5 -0700
> MIME-Version: 1.0
> Content-Type: multipart/alternative;
>        boundary="----=_NextPart_000_ACCD_F64A5ED6.8E25F244"
> X-Seen: false
> X-Spam-Status: Yes, hits=5.5 tag1=3.0 tag2=5.0 kill=5.0 tests=HTML_50_60,
>  HTML_MESSAGE, RCVD_IN_BL_SPAMCOP_NET, RCVD_IN_SBL
> X-Spam-Level: *****
> 
> This is a multi-part message in MIME format.
> 
> ------=_NextPart_000_ACCD_F64A5ED6.8E25F244
> Content-Type: text/plain;
>         charset="iso-8859-1"
> Content-Transfer-Encoding: 7bit
> 
> 
> Want to pork plain wrong people found on msn and yahoo wanting to act as wildly as you like 
> You never can tell.
> take me away
> 
> ------=_NextPart_000_ACCD_F64A5ED6.8E25F244
> Content-Type: text/html;
>         charset="iso-8859-1"
> Content-Transfer-Encoding: 7bit
> 
> <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
> <HTML>
> <HEAD>
> <META content="text/html; charset=iso-8859-1" http-equiv=Content-Type>
> <META content="MSHTML 5.00.3516.2800" name=GENERATOR>
> <STYLE>
> </STYLE>
> </HEAD>
> <BODY>
> <DIV>
> <CENTER>
> <H2>Want to pork plain wrong people found on msn and yahoo wanting to act as wildly as you like </H2>
> <A HREF="http://www.usedjeep.com/wioc05/cx246.html">
> <H2>You never can tell.</H2>
> </A>
> <BR>
> 
> <BR>
> 
> <BR>
> 
> <BR>
> 
> <A HREF="http://www.usedjeep.com/end.html">
> <H5>take me away</H5>
> </A>
> </CENTER>
> </DIV>
> </BODY>
> </HTML>
> 
> ------=_NextPart_000_ACCD_F64A5ED6.8E25F244--
> 
> 




-------------------------------------------------------
This sf.net email is sponsored by:ThinkGeek
Welcome to geek heaven.
http://thinkgeek.com/sf