Das Geschäft mit Junk-Mail: So arbeiten Spam-Profis

Kann ein Spammer keine fremden E-Mail-Server mehr missbrauchen, so muss er seine eigenen nutzen. Die IP-Adressen der Spam-Server werden relativ schnell bekannt, da sich Spam nur bei Aussendung von mehreren Millionen E-Mails am Tag lohnt. Bei den großen Mail-Diensten, etwa von Microsoft, Yahoo oder Google gehen immense Mengen gleichlautender Mails ein. Die Absender-IP-Adressen solcher Mails werden dort festgehalten und auf Blacklisten gesetzt.

Unterstützung kommt auch von absichtlich aufgestellten Spamfallen. Das sind Dummy-E-Mail-Adressen, die auf Webseiten ohne sinnvollen Inhalt platziert werden. Da diese Adressen niemanden gehören, ist alle dort eingehende E-Mail Spam. Auch IP-Adressen von solchen E-Mails kommen auf die Blacklisten.

Blacklisten werden heute koordiniert und sind für jedermann per DNS abrufbar. Der größte und renommierteste Blacklistenbetreiber ist Spamhaus.org. Anders als beispielsweise Greylisting, auf das Spammer durch Anpassung ihrer Software leicht reagieren können, bereitet Blacklisting den Spammern ernsthafte Probleme.

Um weiter Spam aussenden zu können, müssen ständig neue IP-Adressen her. Dabei gibt es zwei Möglichkeiten: Botnetze und Zombie-Netzwerke. Ein Spammer, der sich solcher Techniken bedient, gerät eindeutig in die Illegalität und kann strafrechtlich verfolgt werden.

Großen Bekanntheitsgrad haben Botnetze, bei denen Millionen von Computern von Bots übernommen werden und Spammern als Werkzeug dienen. Bekanntestes Beispiel ist der Storm Worm, der sich meistens als Grußkarten-E-Mail tarnt.

Die E-Mail enthält nur die Aufforderung, eine Grußkarte anzusehen. Mit einem Klick könne man den Gruß abrufen. Auf der Webseite findet sich dann auch eine kleine Anleitung: „Wenn oben im Browser ein gelber Balken, erscheint, dann klicken Sie auf Akzeptieren“. Auf diese Weise umgeht der Anwender selbst die Sicherheitsvorkehrungen mit seinen Administratorrechten.

Früher oder später erkennen allerdings Anti-Malware-Programme gängige Bots. Das gilt auch für den Storm Worm. Der verbreitet sich dennoch nahezu ungehindert weiter.