Email-Problem: Undeliverable Mail (Re 0:) täglich 100 dieser Mails
 

Hallo....

ich erhalte plötzlich schon seit ca 1 Woche täglich ca 100 Mails in diesem Stil an meine email-adresse: (jedoch immer mit anderen empfängeradressen im Text angegeben)

Von:
MAILER-DAEMON@swip.net
an: *meine Adresse*

Betreff: Undeliverable mail (Re:0)

Text:

Failed to deliver to 'tblly@ua.fm'
SMTP module(domain ua.fm) reports:
host mxi1.ua.fm says:
550 Previous (cached) callout verification failure

Failed to deliver to 'mr_grigoriy@ua.fm'
SMTP module(domain ua.fm) reports:
host mxi1.ua.fm says:
550 550 mr_grigoriy@ua.fm unknown user account




--------------------------------------------------------------------------------


Received: from d213-103-212-184.cust.tele2.fr ([213.103.212.184] verified)
by mailfe04.swip.net (CommuniGate Pro SMTP 5.0.8)
with SMTP id 203472432; Mon, 29 May 2006 19:22:47 +0200
Message-ID: <000b01c68309$efd7cf00$b8d467d5@orpuee>
From: =?Windows-1251?Q?=C0=ED=F2=EE=ED_=DF=F0=EE=F1=EB=E0=E2=EE=E2=E8=F7 _=D1=EF=E8=F0=E8=E4=EE=E2=F1=EA=E8=E9?= <bob34mal66@tiscali.fr>
To: =?Windows-1251?Q?=C1=EE=E3=F3=F1=EB=E0=E2_=CF=E0=E2=EB=EE=E2=E8=F7_=D6=E8=E1=F3=EB=FC=EA=E8=ED?= <buddy1085@web.de>
Subject: =?Windows-1251?Q?Re[0]:?=
Date: Mon, 29 May 2006 10:23:32 -0200
MIME-Version: 1.0
Content-Type: text/plain;
charset="windows-1251"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1106
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106





Jedoch habe ich niemals Emails an diese Adressen, die in den Mails als unbekannte empfängeradresse angegeben werden, versendet.
Heißt das jemand versendet emails mit meiner email-adresse??
Kann da ein Virus oder trojaner dahinter stecken?

Mein HJT-Logfile ist laut onlineauswertung unauffällig. Ich hatte zwar vor kurzem einen trojaner der aber (angeblich) mit Antivir entfernt wurde.


Wie kann es zu diesen Emails kommen?
Hoffe auf schnelle Hilfe,

Vielen Dank!

Hallo purplerain,

DEFINITIV nicht GUT! Es sei denn du hast jede Menge Freunde in Frankreich :blabla:

Erstell ein Hijacklog und poste es hier ins Forum!

Gruß
Daniel

Ja. Ja.

Über welchen ISP gehst du ins Netz?

Gruß :daumenhoc
Yopie

Was heißt nicht gut? Was heißt freunde in Frankreich?
Wie kann ich das wieder loswerden???
Hilfe!

Hier mein HJT-Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 17:42:22, on 01.06.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\ati2evxx.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\Atiptaxx.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Outlook Express\msimn.exe
C:\Programme\AntiVir PersonalEdition Classic\update.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINNT\system32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\ati2evxx.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

Mein Provider ist freenet. Die Email-adresse an die das alles geht ist jedoch von yahoo.

Im anhang der mailer-daemon mails sind auch meist 2 dateien

die eine heißt meistens irgendwie att00450.dat, die zweite heißt: Re (6):
(dies varieiert jedoch von mai zu mail)
beide dateien lassen sich jedoch nicht öffnen mit der angabe "OE hat die folgenden nicht sicheren anhänge aus der email gelöscht"...

Wenn ich das richtig interpretiere, dann spammt irgendjemand in Frankreich mit deiner E-Mail-Adresse rum. Dagegen kannst du nichts machen, außer Filtern.

Dein Log sieht mir sauber aus.

Gruß :daumenhoc
Yopie

Das heißt kein trojaner? Wie kann jemand mit meiner email-adresse rumspamen? Und wie kann man herausfinden WER das ist? Und vorallem WIE man ihn davon abhält? Gibt es die möglichkeit aus der Email oder den quelltexten zu entnehmen wer der echte verursacher ist?

Davon abgesehen sind in den hunderten von emails nicht nur französiche adressen sondern so ziemlich jede nation wird mal behandelt....wie freundlich...ich trage sozusagen zur globalisierung bei...

Was kann ich denn dagegen tun?

@Yopie

Besser gesagt ein Franzose, versucht über einen Deutschen einen Russen "vollzuspamen"!

Und das direkt aus der STADT der LIEBE! PARIS:juul: :heilig:

woher erkennst du das ein franzose über einen deutschen (der ja wohl irgendwie ich bin) einen russen vollspamt????

Zumindest spricht bislang nichts für einen Trojaner bei Dir!
Auch ich könnte Mails mit deiner Adresse versenden. Die Absendeadresse ist erstmal nur Text und muss nicht unbedingt vom SMTP-Server geprüft werden.
Vermutlich eine durch Würmer/Backdoors verseuchte Kiste, die nun ein offenes Mail-Relay darstellt. Die IP-Adressen des Senders der Original-Mail werden dir ja mitgeteilt! Wenn es immer die gleiche ist, kannst du darauf filtern.

IP-Adressen oder E-Mail-Adressen?

S.o.

Zum Verständnis: Google nach Headerfaq!

Bitte editiere auch die E-Mail-Adressen in dem von dir geposteten Beispiel. Ersetze das @ mit (z.B.) [ät]. Wir wollen es den Spam-Harverstern nicht zu leicht machen.

Gruß :daumenhoc
Yopie

Franzose: Siehe IP-Adresse
Russe: Mr. Grigoryi (E-Mail-Adresse aber in Mikronesien!)
Deutscher: Weiß man nicht.

Das einzige, was du damit zu tun hast, ist nach dem bisherigen Stand deine E-Mail-Adresse. "Über dich" ist also übertrieben.

Gruß :daumenhoc
Yopie

daran:

Postausgangsserver: Received: from d****.cust.tele2.fr ([dessen IP-->213.103.212.184] verified)

Postfächer: Failed to deliver to 'tblly@ua.fm'
Failed to deliver to 'mr_grigoriy@ua.fm'

das @ua steht für account´s irgendwo in Russland...

EDIT: Yopie war schneller... ;)

Wieso? da steht @ua.fm....

Gruß :daumenhoc
Yopie

ich hoffe du kannst russisch! :lach:

http://ua.fm/

sieh mal unten rechts in der Ecke!

OK, habs gerade selbst gesehen... :)

Gruß :daumenhoc
Yopie

Weiß nicht was das für kyrillische Schrift ist, man denkt nur meistens gleich an unsere russischen Freunde http://www.tagx.info/flaggen/flaggen/russland-h.jpg

ich verstehe ja die struktur/den aufbau dieser mailer-daemon emails nicht so recht, und weiß nicht was nun absender ist und was an wen geht und voralem welcher inhalt.

Es sind immer unterschiedlicher IP adressen in den emails angegeben, hier zum Vergleich nochmal eine andere der emails:

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to all of its recipients.
The following address(es) failed:

mcs80 ät home.com
Unrouteable address
mdebra13 ät attbi.com
Unrouteable address
mdeheck ät bowlingpin.com
all relevant MX records point to non-existent hosts

------ This is a copy of the message, including all the headers. ------

Return-path: *meine adresse*

Received: from wbs-196-2-101-151.wbs.co.za ([196.2.101.151])
by mail-02.jhb.wbs.co.za with smtp (Exim 4.50)
id 1Flk3E-0005Ct-6c; Thu, 01 Jun 2006 12:05:32 +0200
Message-ID: <000b01c68528$3388fec0$976502c4 ät vloycw>
From: Dwayne Palacios <breiz-arm ät libertysurf.fr>
To: Conklin Leonard <bernardobartonjaguar ät adem.co.uk>
Subject: Re[4]:
Date: Thu, 1 Jun 2006 03:05:13 -0500
MIME-Version: 1.0
Content-Type: text/plain;
charset="us-ascii"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1106
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
X-Original-Subject: Re[4]:
X-Spam-Score-Int: 133
X-Spam-Report: Spam detection software has rated this email for spam as follows:
Content analysis details: (13.3 points)
pts rule name description
---- ---------------------- --------------------------------------------------
4.4 HELO_DYNAMIC_IPADDR Relay HELO'd using suspicious hostname (IP addr 1)
0.0 BAYES_50 BODY: Bayesian spam probability is 40 to 60%
[score: 0.5000]
1.5 URIBL_WS_SURBL Contains an URL listed in the WS SURBL blocklist
[URIs: newcheapsoft.com]
3.2 URIBL_OB_SURBL Contains an URL listed in the OB SURBL blocklist
[URIs: newcheapsoft.com]
4.3 URIBL_SC_SURBL Contains an URL listed in the SC SURBL blocklist
[URIs: newcheapsoft.com]
X-Scan-Signature: 934eb1fc7ecfe657c8453d18f79704ce

Visit us at http://www.newcheapsoft.com

Autodesk Survey 2006
~~~~~~~~~~~~~~~~~~~~

Product Overview:

Autodesk Survey 2006 software streamlines and automates field
data collection, cost- effectively closing the gap between
gathering data and incorporating it into drawings using Autodesk
Land Desktop. Interface with a broad variety of industry-leading
data collectors, survey instruments, and GPS receivers, and then
work with tools and functionality in Autodesk Land Desktop to
create accurate drawings quickly. Access critical data right from
the field Download or upload information from a wide range of
industry-standard data collectors, survey instruments, and GPS
receivers. Extending the functionality of Autodesk Land Desktop 2005,
Autodesk Survey helps you automatically generate drawings from field
data in the AutoCAD environment. Enhanced Survey Toolspace gives you
faster processing, improved usability and create a better user
experience. The Survey command language extension allows you to more
efficiently create base figures from data captured in the field.
Convert 2D figures to 3D polylines for use as breaklines and grading
features, and for visualization purposes.


Crystal Reports Server 11 Full Version
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Product Overview:

Reporting functionality can be tightly integrated into Java, .NET,
and COM applications and deployed on Windows, UNIX, and Linux.
Reports can include built-in interactivity - creating a clean and
efficient process where one report will satisfy the needs of many
different individuals. Users can edit or analyze the information by
moving easily from static consumption to interactive analysis - or
they can view information in web portals. And, reports (or parts
of reports) can be embedded or securely shared inside Microsoft
Office documents such as Word, PowerPoint, and Excel.

This and other products you can download at http://www.newcheapsoft.com

So ein Spamrun wird vermutlich über verschiedenste Server verteilt. Mach dir keinen Kopp. ;)

Aber: Beide Mails wurden anscheinend über OE versendet. Und du nutzt auch OE. Auch wenn ich bei dir eine Infektion für unwahrscheinlich halte, mach zur Sicherheit mal einen Scan mit eScan; Anleitung in Sig beachten.

Gruß :daumenhoc
Yopie

i m sorry for this but i m french

i have seen your froum
i m the bob_34_mal66_@_tisc_al_i._fr

and i don t have spasm your mail

i make some web site and with some robots spasmers the mail are not mine.
sorry for the inconvenience

i make some website about command and conquer generals ans i have many mail on website ,principal website is :

http://www.warofgenerals.free.fr

Hallo, ich habe das selbe Problem wie du im Sommer. Konntest du das Problem denn nun lösen?