Spam-Angriffe über ucp.php

[smart]

Liebe Community,
in den letzten Wochen erhalte ich täglich 1-2 Mails im folgenden Stil. Erst ging ich davon aus, dass jemand meine Domain als Absenderadresse verwenden würde, und ich somit die Unzustellbar-Mails zurück bekomme. Dann jedoch habe ich gesehen, dass das Script im Header der E-Mail die ucp.php ist. Kann mit jemand kurz Entwarnung oder Bestätigung geben?

Nachfolgend beispielhaft eine der E-Mails:

Return-path: <>
Delivery-date: Wed, 06 May 2009 22:21:38 +0200
Received: from mi005.mc1.hosteurope.de ([80.237.138.250])
by server999.webpack.hosteurope.de running ExIM using esmtp
id 1M1ncY-0001eh-Q3; Wed, 06 May 2009 22:21:38 +0200
Received: from server999.webpack.hosteurope.de ([80.237.130.37])
by mx0.webpack.hosteurope.de (mi005.mc1.hosteurope.de) using esmtp
id 1M1ncY-0004ip-6r
for info@meinedomain.de; Wed, 06 May 2009 22:21:38 +0200
Received: from her_exim by server999.webpack.hosteurope.de running ExIM using local
id 1M1ncY-0001ee-53; Wed, 06 May 2009 22:21:38 +0200
X-Failed-Recipients: poextsoge@kibermail.com
Auto-Submitted: auto-generated
From: Mail Delivery System <Mailer-Daemon@server999.webpack.hosteurope.de>
To: info@meinedomain.de
Subject: Mail delivery failed: returning message to sender
Message-Id: <E1M1ncY-0001ee-53@server999.webpack.hosteurope.de>
Date: Wed, 06 May 2009 22:21:38 +0200
X-HE-Virus-Scanned: yes
X-HE-Spam-Level: /
X-HE-Spam-Score: 0.3
X-HE-Spam-Report: Content analysis details: (0.3 points)
pts rule name description
---- ---------------------- --------------------------------------------------
0.0 UNPARSEABLE_RELAY Informational: message has unparseable relay lines
0.2 TW_HP BODY: Odd Letter Triples with HP
0.1 RDNS_NONE Delivered to trusted network by a host with no rDNS
Envelope-to: info@meinedomain.de

=====================================================

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

poextsoge@kibermail.com
SMTP error from remote mail server after RCPT TO:<poextsoge@kibermail.com>:
host mail.mymail-in.net [217.20.163.8]: 550 5.1.1 <poextsoge@kibermail.com>:
Recipient address rejected: User unknown in virtual mailbox table

------ This is a copy of the message's headers. ------

Return-path: <info@meinedomain.de>
Received: from nobody by server999.webpack.hosteurope.de running ExIM using local
id 1M1nc6-0001e7-PG; Wed, 06 May 2009 22:21:10 +0200
To: "=?UTF-8?B?RGlrZXBoZWxl?=" <poextsoge@kibermail.com>
Subject: =?UTF-8?B?V2VsY29tZSB0byAidGlhbW9pdGFsaWEuZGUi?=
X-PHP-Script: forum.meineseite.de/ucp.php for 93.190.142.78
From: <webmaster@meineseite.de>
Reply-To: <webmaster@meineseite.de>
Sender: <webmaster@meineseite.de>
MIME-Version: 1.0
Message-ID: <4cf879b49d0fe8147081b6b55a968485@forum.meineseite.de>
Date: Wed, 06 May 2009 22:21:10 +0200
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: PhpBB3
X-MimeOLE: phpBB3
X-phpBB-Origin:
X-AntiAbuse: Board servername - forum.meineseite.de
X-AntiAbuse: User_id - 1
X-AntiAbuse: Username - Anonymous
X-AntiAbuse: User IP - 93.190.142.78

phpBB ist stets up to date, gab auch keine Konflikte bei den Updates. Danke!

[Dr.Death]

Hallo,

schau mal nach ob Du ein paar "inaktive" User hast.

Es handelt sich hier z.B. um SPAMBOTS.
--> Spammer aus Russland

[oxpus]

Gut, dass ich genau diesen User mit dieser Email-Adresse erst gar nicht aktiviert hatte.
Leider eine mühsame Arbeit, jeden User selber freizuschalten und dafür zu prüfen, aber nur so kann man sich letztlich die Spammer weitgehend vom Hals halten.

[smart]

Danke!

Sind dutzende, bin ganz begeistert über die kreative Namenswahl...

[smart]

Leider eine mühsame Arbeit, jeden User selber freizuschalten

Leider ist das auch in einem Forum recht frustrierend, wenn man eben nicht sofort seine Frage loswerden kann, sondern erst noch auf Freischaltung warten muss...

Was ich mich frage ist, ob die Zunahme in den letzten Wochen damit zusammenhängt, dass ich den Bestätigungscode etwas erleichtert hatte (Rauschen 35+35), weil ich ihn bei einem Test selbst kaum entziffern konnte.

Welchen Rausch-Wert verwendet ihr?

[oxpus]

Das stimmt.
Die werden immer kreativer.

Aber auch in der Email-Auswahl.
Ein Provider Dragonia Alliance... (oder so ähnlich) aus GB wird auch oft für solche Accounts verwendet. Über den Whois-Eintrag der reg. IP-Adresse einfach zu ersehen.

Man könnte das beinahe beliebig fortsetzen, daher mein Rat:
Wenn IP, Email oder Name extrem "schattig" vorkommen lieber einmal mehr löschen, als später zugespammt zu werden.
Sollte es der Benutzer wirklich ernst meinen, kann er sich ja noch einmal registrieren oder per Email um Freigabe seines Accounts bitten.

So handhabe ich das jedenfalls bei mir und fahre bislang sehr gut damit.
Alles andere mit Spamaccounterkennung und weiteren Tools sind dagegen eher nur hilfreich, wo am Tag nicht "nur-mal-eben" jemand am Board registriert wird, sondern die Registrierung schon eher unter "Dauerbeschuss" steht.

Zur "Wartezeit":
Ich würde eine Wartezeit zwischen einer "ernstgemeinten" Registrierung und der Freischaltung aber schon eher ertragen, als dass ein Forum wegen übermässigen Spammissbrauch oder anderen (dann leider) erfolgreichen Hackversuchen komplett ausfällt. Ist aber nur meine Meinung.

[smart]

Natürlich, aber so weit ist es bei mir noch nicht. Bin bisher nur dagegen vorgegangen, um mein E-Mail-Postfach zu entlasten (wie gesagt, es sind nur 1-2 Mails am Tag, das steck ich locker weg... ) - und aus Besorgnis, dass sich dahinter vielleicht doch mehr verstecken könnte.

Werde in Zukunft einfach die inaktiven User noch besser im Auge behalten und im Zweifelsfall - wie von dir genannt - lieber einmal mehr raushauen als sich nachher rumzuärgern. Bei den Benutzernamen und den E-Mail-Adressen ist aber auch ein Doppelcheck schnell erledigt.

Wie hast du die Catcha-Grafik eingestellt?

[oxpus]

Captcha habe ich noch auf den Original-Werten gelassen, wollte das zunächst austesten.
Mit dem nächsten Release kommt ja noch was hinzu, dann wird schärfer gestellt.
IMHO kann man aber die Captcha-Einstellungen so 1:1 nicht mit anderen Boards vergleichen, denn es kommt ja auch darauf an, wie oft ein Board von Spambots oder anderen unliebsamen Gesellen betroffen ist.
Ein Board auf einem internen Server wird dagegen wohl kein Captcha brauchen, ein Board, wie z. B. dieses hier, müsste da schon deutlich schärfer ran.

Für die inaktiven User gibt es dazu ja den [RC1] User Reminder 1.0.3, der hier ganz automatisch alle Leichen bequem entsorgen hilft.

[smart]

...Wobei der natürlich die "Leser aber 0-Poster" nervt, die dann vielleicht gar nicht mehr kommen oder ihren Account löschen
Für mich also auch nicht die perfekte Lösung, denn auch ein 0-Poster ist ein interessierter User mehr.

So lange ich das noch "per Hand" unter Kontrolle halte, ist's ok...

[susi24]

super-
ich dacht schon ich spinne- eine ähnliche mail habe ich heute auch bekommen
allerdings *.nl nix ru

und/aber mit nl oder ru habe ich keinerlei user. weder aktiv noch inaktiv.