Wie kommt der Servername in den Absender?

[Thomas Roessing]

Moin!
Ich habe eine Betrugsversuchs-E-mail erhalten. Seltsamerweise lautet der Absender """Prof. González" <[email protected]>"@ispgateway.de". Nun frage ich mich, was das @ispgateway.de im Absender verloren hat. solicitor.es gehört zu einem ausländischen Webhoster namens "Dondominio" und nicht zu d)f. Die einzige vernünftige Erklärung, die mir einfällt, ist, dass der Absender die Mailfilter überlisten wollte, indem er einen Domain-Part im From-Header platziert, der den Domainfactory-Servern bekannt vorkommen dürfte. Das müsste dann aber ein ziemlich fleißiger Betrüger sein. Der muss zuerst rausfinden, dass meine Adresse @roessing.org. bei d)f gehostet wird. Dann muss er herausfinden, dass Domainfactory sich zuweilen hinter ispgateway versteckt. Und dann noch den From-Header basteln.
Oder gibt es vieleicht eine viel einfachere technische Erklärung für den Servernamen im Absender?

Besten Dank und viele Grüße

Thomas

[jjknw]

Absender mit "[email protected]" sind mir auch schon untergekommen. Meine laienhafte These dazu:

Der Absender schafft es "irgendwie", seine Mails bei den df-Mailservern ohne Domain-Part einzuliefern. Dadurch "glauben" die Mailserver es handle sich um "lokale" (bzw. lokal zustellbare) Mails und hängen - weil der Domain-Part fehlt - ihre "eigene" Domain (ispgateway.de) hinten dran.

Wäre das eine plausible Erklärung?

[Marcel Kaufmann]

Hallo Thomas,

Moin!
Ich habe eine Betrugsversuchs-E-mail erhalten. Seltsamerweise lautet der Absender """Prof. González" <[email protected]>"@ispgateway.de". Nun frage ich mich, was das @ispgateway.de im Absender verloren hat. solicitor.es gehört zu einem ausländischen Webhoster namens "Dondominio" und nicht zu d)f. Die einzige vernünftige Erklärung, die mir einfällt, ist, dass der Absender die Mailfilter überlisten wollte, indem er einen Domain-Part im From-Header platziert, der den Domainfactory-Servern bekannt vorkommen dürfte. Das müsste dann aber ein ziemlich fleißiger Betrüger sein. Der muss zuerst rausfinden, dass meine Adresse @roessing.org. bei d)f gehostet wird. Dann muss er herausfinden, dass Domainfactory sich zuweilen hinter ispgateway versteckt. Und dann noch den From-Header basteln.
Oder gibt es vieleicht eine viel einfachere technische Erklärung für den Servernamen im Absender?

Ohne einen vollständigen Header ist das leider schwer zu prüfen. Eine Möglichkeit ist, dass die E-Mail über ein Skript von einem Webserver gesendet wurde und der Spamer die E-Mail-Adresse falsch (Syntax nicht korrekt) eingetragen hat. Dann wird durch unsere Server "@ispgateway.de" eingetragen. Eine weitere Möglichkeit wäre es, dass der Spamer den MX der Domain aufgelöst hat und hier einfach "@mx-domain" angehangen hat.