Bekijk Volledige Versie : Nieuwe klant verstuurd spam / wat te doen?
Een klant die sinds 5 min. aktief is verstuurd spam.
Ik ben nu de mappen aan het leeghalen
Hier een stukje uit de exim map:
Ik heb IP: 81.91.228.131 direct in de firewall gegooid.
bongo@bnty14.nl = is het email adres van de klant.
1Ln8hd-0007c8-KY-H
mail 8 12
<manson.james@centrum.cz>
1238147417 0
-helo_name User
-host_address 81.91.228.131.54337
-host_auth login
-interface_address 89.105.196.240.25
-received_protocol esmtpa
-body_linecount 13
-max_received_linelength 327
-auth_id bongo@bnty14.nl
-host_lookup_failed
Afsluiten op basis van je Algemene Voorwaarden?
Is al meteen gebeurd Randy.
De klant mailde mij dat hij de login gegevens kwijt was.
Ik was toevallig met een script bezig en ik kreeg geen mail binnen, ik ben toen gelijk gaan kijken.
Alles heeft nog geen 5 min. geduurd.
Ik heb ook /var/spool/exim/input leeg gegooid ik ben nog aan het zoeken..
Update:
Het IP is: 41.222.193.10
Hij zal wel meerdere slachtoffers uitzoeken..
systemdeveloper
27/03/09, 23:04
Het is weekend... ga eens langs bij hem ;)
dreamhost_nl
28/03/09, 18:14
41.222.193.10 is in Benin. Lijkt me moeilijk langsgaan... :P
Handig toch zo'n proxy's :)
Klopt het was Benin en aangevraagd via een proxy.
Ik heb passende maatregelen genomen om dit de volgende keer tegen te gaan.
Wij hebben pas ook last gehad van eenzelfde soort gast.
Er werden steeds nieuwe klanten aangemaakt met een hosting pakket, de laatste keer met een dedicated server.
IP is elke keer 41.191.85.9 en 41.223.250.4. Op basis daarvan worden klanten met deze IP-reeks (41.x) niet automatisch toegelaten.
De gegevens die deze gast gebruikte waren elke keer de gegevens van bedrijven die alle gegevens (naw en betalingsgegevens) op hun site hadden staan. In eerste instantie leek er niets aan de hand (geloofwaardige gegevens), maar als je een klant "Blom van Blom" krijgt wordt het minder geloofwaardig.
Ik zal het sterker vertellen:
Ik had het account op non actief gezet en toen kreeg ik mail van hem dat hij niet meer in kon loggen.
Ik heb een mail terug gestuurd met het verzoek om mij te bellen voor de login gegevens.
Nog geen 10 min. later belt die.. ik had natuurlijk mijn antwoord apparaat al aangezet van te voren. (zie bijlage van de fritz!box)
Helaas had die niets ingesproken maar ik kreeg wel een mail dat hij een antwoord apparaat aan de lijn had gehad.
Nog geen 5 min. later vraagt die weer een account aan, 10 min later had hij het SIDN formulier al terug gestuurd per email ondertekend en wel.
Het belletje ging weer rinkelen bij mij,, nadat ik eerst een grondige check had gedaan kwam ik erachter dat het dezelfde persoon was.
Ik heb hier daarna niets meer op uit gedaan, en het account natuurlijk niet geactiveerd.
Aan de gegevens die ze opgeven zie je niets aan, zelfs het Nederlandse KvK en BTW nummer hebben ze doorgeven bij de aanvraag.
Het .nl domein waar de spam van verstuurd werd had ik ook meteen verwijderd/opgezegd.
Ik snap de link niet waarom je mailt dat iemand moet bellen en je daarna het antwoordapparaat aanzet :s
Geert-Jan sorry ik was vergeten te schrijven dat ik in de mail had gezet dat nummer herkenning aan moest staan, dit omdat het telefoon nummer opgeslagen wordt.
Bij de aanvraag had hij een Nederlands bedrijf opgegeven, ik had al wel gecontroleerd of het nummer bij dat bedrijf hoorde en ik moest 100% bewijs hebben dat het uit Benin kwam.
En daarbij ik ga niet met een spammer in discussie, daar heb ik helemaal geen zin in en dat doe ik ook niet.
Ik heb nu een stapel papieren klaar liggen met bewijs en die worden bewaard.
Ik heb de laatste tijd ook weer diverse discutabele bestellingen gekregen, altijd hetzelfde type bestellingen. Een bedrijf (KvK-nummer en alles wordt netjes opgegeven, per fax of mail ontvang je netjes alle papieren) doet een bestelling maar altijd vanaf email adressen die niet aan de bedrijven terug te linken zijn.
Meestal vraag ik dan vooruitbetaling alvorens ook maar iets te registreren of activeren en blijft het vervolgens oorverdovend stil .. (en betaald wordt er natuurlijk ook niet).
Ik heb de laatste tijd ook weer diverse discutabele bestellingen gekregen, altijd hetzelfde type bestellingen. Een bedrijf (KvK-nummer en alles wordt netjes opgegeven, per fax of mail ontvang je netjes alle papieren) doet een bestelling maar altijd vanaf email adressen die niet aan de bedrijven terug te linken zijn.
Meestal vraag ik dan vooruitbetaling alvorens ook maar iets te registreren of activeren en blijft het vervolgens oorverdovend stil .. (en betaald wordt er natuurlijk ook niet).
Idem hier. Altijd compleet ingevulde bestelformulieren incl bedrijfsgegevens.
Bij controle blijkt vaak het bedrijf al te zijn uitgeschreven bij de kvk.
Wanneer de kvk gegevens e.d. wel kloppen zijn het met name de "vreemde" domeinnamen die worden aangevraagd en de e-mail adressen waarvan gebruikt wordt gemaakt die het hem doen.
In dergelijke gevallen vraag ik altijd naar een kopie van een identiteitsbewijs, vervolgens hoor je nooit meer wat...
Idem hier. Altijd compleet ingevulde bestelformulieren incl bedrijfsgegevens.
Bij controle blijkt vaak het bedrijf al te zijn uitgeschreven bij de kvk.
Wanneer de kvk gegevens e.d. wel kloppen zijn het met name de "vreemde" domeinnamen die worden aangevraagd en de e-mail adressen waarvan gebruikt wordt gemaakt die het hem doen.
Vergelijkbaar verhaal, met als toevoeging:
* diverse extra's die besteld worden (extra traffic, dataverkeer, SSL certificaat etc)
* men doet vrijwel altijd een poging om direct per ideal te betalen, wat altijd tot failures leidt.
* IP's: 81.91.235.* , 41.223.*.* en 41.222.*.*
Vergelijkbaar verhaal, met als toevoeging:
* diverse extra's die besteld worden (extra traffic, dataverkeer, SSL certificaat etc)
* men doet vrijwel altijd een poging om direct per ideal te betalen, wat altijd tot failures leidt.
* IP's: 81.91.235.* , 41.223.*.* en 41.222.*.*
Dat van die ip adressen kan ik beamen, en kan er zelfs nog een lijst aan toevoegen:
78.159.117.*
208.184.6.*
140.174.9.*
81.91.227.*
83.229.97.*
dreamhost_nl
30/03/09, 12:26
Hier idem voor : 208.184.6.*
Bestelling van een Nederland bedrijf met een go2.pl e-mail adres... sure... :S
Weer een dergelijke bestelling, dit maal vanaf ip 81.91.228.125
Gebruikte e-mail adres: benson247@yahoo.com
Weer een dergelijke bestelling, dit maal vanaf ip 81.91.228.125
Gebruikte e-mail adres: benson247@yahoo.com
Country (per IP registrar): BJ [Benin]
Country IP Range: 81.91.224.0 to 81.91.239.255
Hier heb ik Benin voor mijn eigen websites geblokkeerd
Is het geen idee om een eigen blacklist te maken en deze aan een centrale database te koppelen?
systemdeveloper
07/05/09, 15:23
Country (per IP registrar): BJ [Benin]
Country IP Range: 81.91.224.0 to 81.91.239.255
Hier heb ik Benin voor mijn eigen websites geblokkeerd
Is het geen idee om een eigen blacklist te maken en deze aan een centrale database te koppelen?
LOL, dat wilde ik ook net typen... even een api-call met het ip en/userdata en dan een status terug krijgen... maar dat is vast alleen aan de cops voorbehouden :(
Country (per IP registrar): BJ [Benin]
Country IP Range: 81.91.224.0 to 81.91.239.255
Hier heb ik Benin voor mijn eigen websites geblokkeerd
Is het geen idee om een eigen blacklist te maken en deze aan een centrale database te koppelen?
Dergelijke lijsten bestaan al voor CSF firewall.
Kunnen we daar geen integratie/koppeling voor maken?
LOL, dat wilde ik ook net typen... even een api-call met het ip en/userdata en dan een status terug krijgen... maar dat is vast alleen aan de cops voorbehouden :(
Wat is het verschil met de spam blacklists dan? Daar zet men ook ip adressen in of complete ip blocks.
Hier zou je (ongeveer) hetzelfde doen.
Kom je niet pas in gevaar als dat echt te koppelen is aan een persoon? (dus bijv. het ophangen van een foto in je winkel met daaronder dit is een winkeldief)
systemdeveloper
07/05/09, 15:31
Wat is het verschil met de spam blacklists dan? Daar zet men ook ip adressen in of complete ip blocks.
Hier zou je (ongeveer) hetzelfde doen.
Kom je niet pas in gevaar als dat echt te koppelen is aan een persoon? (dus bijv. het ophangen van een foto in je winkel met daaronder dit is een winkeldief)
Mja, je gaat snel identificerende gegevens vastleggen. Iemand die 100 keer als 'jan jansen' iets aanvraagt van 100 verschillende ip's wil je ook hebben tenslotte. Overigens zal het mij worst wezen of dat een legale of 'grijze' oplossing is. :)
Mja, je gaat snel identificerende gegevens vastleggen. Iemand die 100 keer als 'jan jansen' iets aanvraagt van 100 verschillende ip's wil je ook hebben tenslotte. Overigens zal het mij worst wezen of dat een legale of 'grijze' oplossing is. :)
Maar "Jan Jansen" is waarschijnlijk geen "Jan Jansen" en zou dus imho geen identificerend gegeven zijn. Tenzij je ook adressen en woonplaatsen gaat vastleggen.
Bestaat zo'n (DNS) blacklist trouwens al voor vrolijke vrienden die alle ip adressen afgaan op je netwerk met allerlei urls om te hopen dat ze zodoende een software pakket tegenkomen met een lek?
Een compleet land blokkeren is heel makkelijk met ip2country
Link: http://phpweby.com/software/ip2country
In je script zet je het volgende:
include_once('ip2country.php');
if ($ip2c->get_country_code() == BJ) {
print "Sorry Disabled";
exit;
} else
if ($ip2c->get_country_code() == NG) {
print "Sorry Disabled";
exit;
} else
In dit geval is Nigeria en Benin geblokkeerd in het script waar je de PHP code hebt staan.
Je kan ook IP reeksen blokkeren.
De kan de PHP code overal inplakken waar je geen rare gasten wilt hebben.
Ramon Fincken
07/05/09, 17:20
Nice, gewoon een 404 serveren of naar localhost redirecten is ook leuk om te doen bij landen waarvan je weet dat je daar geen aanvragen van wil hebben.
ik ga in ieder geval die pagina/code eens bekijken. Je code mist volgens mij nog wat stukjes, maar dat staat op die link keurig uitgelegd.
nog wat van die neppers :censored:
41.223.251.47
81.91.228.131
41.222.192.87
41.223.251.78
Is het geen idee om een eigen blacklist te maken en deze aan een centrale database te koppelen?
Die heb ik wel, en is ook online en alleen in te zien wanneer jezelf bent toegevoegd in de whitelist met je IP.
Alleen ben ik er nooit echt mee begonnen omdat het niet mag. Althans niet de manier zoals ik hem heb draaien.
Zit een API bij die je kan inbouwen en die de DB checked. Je krijgt dan een mailtje met meldingen over die user, en aan de hand daarvan kan je dan zelf actie ondernemen.
Script is overigens meer gericht op wanbetalers dan op een IP black list. Maar een IP kan je zo toevoegen natuurlijk.
Je code mist volgens mij nog wat stukjes
Het wijst zich vanzelf, door include een van ip2country.php kijkt het script of je PHP4 of PHP5 hebt.
Voor PHP5 kun je ook doen: include_once('ip2country.php5.php');
ip2country.php5.php is niets anders dan een class die connect met de database waarvoor iedere maand een update is.
Met dit stukje code check je uit welk land de bezoeker komt:
if ($ip2c->get_country_code() == BJ) {
print "Sorry Disabled";
exit;
} else
Als de country code gelijk aan BJ is dan stopt die bij exit; zo niet dan gaat die naar else
Onder else staat dan je pagina of script.
$ip2c staat in de function van ip2country.php5.php
De regel print "Sorry Disabled"; kun je naar eigen smaak invullen, dus ook een redirect.
Sorry voor de slechte uitleg, ik ben geen scripter van beroep.
Andere oplossingen zullen er vast wel zijn maar ik ben hier tevreden mee tot nu toe.
<?php
include_once('ip2country.php');
$landen = array("BJ", "NG", "NL");
if (in_array($ip2c->get_country_code(), $landen)) {
echo "byebye zwaai zwaai";
exit;
}
?>
Kun je apart includen boven elke pagina, heb je geen else nodig
Hier idem voor : 208.184.6.*
Bestelling van een Nederland bedrijf met een go2.pl e-mail adres... sure... :S
Haha, ze gaan niet echt nauwkeurig te werk!
dreamhost_nl
08/05/09, 14:22
<?php
include_once('ip2country.php');
$landen = array("BJ", "NG", "NL");
if (in_array($ip2c->get_country_code(), $landen)) {
echo "byebye zwaai zwaai";
exit;
}
?>
Kun je apart includen boven elke pagina, heb je geen else nodig
Hmm, ik denk dat je nog maar weinig Nederlandse klanten zal krijgen zo... ;)
Hmm, ik denk dat je nog maar weinig Nederlandse klanten zal krijgen zo... ;)
Ironie ;-). Ik had een land nodig om de array te vullen haha.
ALexanderH
07/06/09, 01:08
Hier nep bestellingen van 81.91.228.125 en 208.184.6.52 en met gmail adressen melden ze zich aan. Kunnen dit soort niet adressen gewoon geblocked worden in core routers ?
Jammer dat dit soort zaken toch gebeuren
Triloxigen
09/06/09, 12:25
Hier nep bestellingen van 81.91.228.125 en 208.184.6.52 en met gmail adressen melden ze zich aan. Kunnen dit soort niet adressen gewoon geblocked worden in core routers ?
Ik neem aan dat je dat niet serieus meent?
Maar het gebeurt net zo goed vanaf Nederlandse IP's, veel vanuit internetcafe's.
Vergeet proxy en tor users niet!
GuusDeGraeve
23/06/09, 00:27
Hiermee zou je al een deel kunnen oplossen wat proxy users betreft:
function getRealIpAddr()
{
if (!empty($_SERVER['HTTP_CLIENT_IP'])) //check ip from share internet
{
$ip=$_SERVER['HTTP_CLIENT_IP'];
}
elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) //to check ip is pass from proxy
{
$ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
}
else
{
$ip=$_SERVER['REMOTE_ADDR'];
}
return $ip;
}
zojuist een bestelling binnen:
zelfde IP, andere email.
Voorzien van volledige adres en contactgegevens van een bedrijf uit Woerden...
81.91.228.131
mrszam1920@gmail.com
PerryKniest
01/09/09, 20:31
Ik van hetzelfde bedrijf uit Woerden ook net een bestelling gehad. (grootste pakket)
<mrszam1920@gmail.com>
IP: 81.91.228.131
Host: 81.91.228.131
Datum van verzenden: 01.09.2009 // 20:18:22
Vrijdag 4september 2009 een valse bestelling op naam van een bedrijf uit Hengelo.
Ik kwam erachter vanwege 419-spam in de logs van de mailserver.
Ik heb even het moment van bestellen teruggezocht en dmv een google search op het ipadres kwam ik in dit topic terecht.
Aan de referer te zien komen ze vanuit een topic op sitedeals.nl
41.222.192.87 - - [04/Sep/2009:08:56:13 +0200] "GET /bestellen HTTP/1.1" 200 6158 "http://www.sitedeals.nl/hostingdeals/*****" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; DS_popularglitter; desktopsmiley_2_1_936809267133768_84_59; .NET CLR 2.0.50727)"
Emailadres van de bestelling was: nnnuuuu@gmail.com
De 419-mailtjes hebben josephkeke@mail.ru als return address.
Direct na het posten in dit topic is er weer een bestelling gedaan:
mrszam1920@gmail.com
(NAW gegevens van ander bedrijf uit Hengelo)
Zojuist een spammer gesuspend op een server van een klant van ons. Domein dat gekoppeld was aan dit account staat ook op naam van bovenstaand mailadres.
Ook vanaf het 41.* IP adres. Viel me trouwens op dat de mails verstuurd werden via squirrelmail (liep 2 versies achter op deze server).
Als we het niet vertrouwen bellen we het altijd even na. Zeker met gmail, hotmail e.d. adressen. Het gaat daarnaast ook nog door een database met spam IP's, scheelt sowieso al een hoop troep.
Inmiddels meerdere van deze niet gewenste bestellingen gehad en tot zover ik weet zijn ze er allemaal door de handmatige controle uitgehaald. Bij elke bestelling controleer ik of de postcode adres combinatie klopt, of het kvk nummer overeenkomst indien opgegeven, telefoonnummer of indien niet in telefoongids alleen netnummer controleren op juiste locatie en als laatste het ipadres nog even controleren.
ccchosting
06/10/09, 15:13
Gelukkig vissen wij deze aanvragen er met vrij gemak uit en komen ze bijna niet door onze bestel proces heen.
Wat ik wel asociaal vindt is dat wanneer men er wel doorheen komt ook nog de gore lef hebben om support te vragen!
Gelukkig vissen wij deze aanvragen er met vrij gemak uit en komen ze bijna niet door onze bestel proces heen.
Wat ik wel asociaal vindt is dat wanneer men er wel doorheen komt ook nog de gore lef hebben om support te vragen!
haha ja dat is lefhebben.. "hallo meneer, ik krijg m'n mailscript niet werkend.. hij blijft hangen bij 1000 mails" :thumbdown:
Volgens mij had ik er vandaag en gisteren zo een..Hij ging als volgt te werk:
Ik werd gisteren gebeld door deze persoon, hij was geïnteresseerd in een forward & mail accountje om de domeinnaam voor zijn bedrijfje vast te leggen en te kunnen mailen onder domeinnaam. Hij vroeg of hij dit telefonisch kon regelen. Want hij wilde er snel gebruik van kunnen maken en vroeg hoe lang het zou duren voordat het domein actief zou zijn. Ik verwees hem naar het bestelsysteem op m'n website, als hij daar alles in zou vullen kwam het vanzelf goed.
Natuurlijk geen bestelling ontvangen..
Vandaag: weer dezelfde persoon aan de lijn. Hij stak precies hetzelfde verhaal af als gisteren. Hij had niet in de gaten dat ik hem ook gisteren al had geholpen en hamerde weer op het feit dat hij snel online wilde zijn. Wederom verwees ik hem naar mijn website alwaar hij het bestelsysteem kon gebruiken om een en ander spoedig te laten verlopen.
Ik beloofde plechtig het domein direct vrij te geven wanneer ik zijn bestelling zou ontvangen. Hij zou de bestelling plaatsen via de site.
Een half uurtje later werd ik wederom gebeld dat hij het bestelformulier had ingevuld maar dat er iets mis was gegaan (?) of hij zijn adres en dergelijke telefonisch kon doorgeven.
Ik vroeg hem zijn NAW gegevens en KVK nummer door te geven via mail omdat een typefoutje snel is gemaakt en de kans op fouten kleiner is als ik alles zwart op wit heb.
Dat was prima, hij zou zijn gegevens nog even mailen...
Bij controle bleek het account wel aangemaakt in Directadmin maar de NAW gegevens en dergelijke waren niet opgeslagen. (script afgebroken bij de betaal pagina?)
En je raad het al geen mail met gegevens gezien zelfs niet na een sms van mijn kant ter herinnering.
Zou hij morgen weer bellen?
Triloxigen
07/10/09, 23:14
Als iemand belt dat hij het even snel geregeld wil hebben is het 9 van de 10 keer foute boel, of spam of scam.
Heb zo ook al eens meegemaakt dat ik ineens de postbank bleek te hosten :p