spammerに真空飛び膝蹴り

【急募】日給8000～の簡単バイト

kaden_no_harata — Wed, 04 Apr 2012 15:57:20 +0900

勿論、このようなアホな代物を踏む御仁は皆無と思う。
削除ログを眺めていて、ふと目に留まったのが、

　X-Mailer: AOL 7.0 for Windows US

これは懐かしい。
2007年，2008年頃？だと思うが、当時よく見掛けたSpamのパターン。
Spam Mail Killer の削除条件テンプレートにも用意されているほどの
ある意味有り触れた「Spamの署名」である。

SMKの当該テンプレ、ヘルプから引用すると、

　> ●[704 TYPE-H：AOL 4.0-7.0 for Windows 詐称メールを削除]
　>
　> ・X-Mailer:に"AOL 4.0 or 5.0 or 6.0 or 7.0 for Windows"
　> 　（大文字小文字の区別無し）を含み、Received:に"from [何か].mx.aol.com"を
　> 　含まないメールを詐称と判断する
　>
　> ・実例は少ないと思われるが、Received:に相手のホスト名を残さない
　> 　システム環境だと誤認の恐れがある

上記のテンプレートを適用すれば、一発で駆除できる類のものだ。
目新しい箇所は無い。

また、IPアドレスから調べてみても充分に怪しい。

　> IPアドレス：　92.42.190.147
　> ホスト名：　karahan.nine.ch
　> IPアドレス割当国：　スイス ( ch )
　> 市外局番：　該当なし
　> 接続回線：　該当なし
　> 都道府県：　該当なし

海外鯖の状況と下記のメールヘッダ情報から総合的に判断すれば、

１．Yahoo!Japan の無料アカウントを所持している送信者が、

２．何故か AOL接続ソフトを用いて、

３．わざわざスイス鯖を遠回りに経由して、

４．ご丁寧にも charset="SHIFT_JIS" で読めるものなら読んで見ろと、

５．日給8000 のアルバイトを募集してきた。

という事となる。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： DION_Private
サイズ： 1KB
識別情報： 28164

Return-Path: @yahoo.orz.jp>
Received: from fmta12.auone-net.jp ([210.141.108.164]) by nm07mtf.auone-net.jp
　id <20120402202909470.MF02.832EA70@nm07mtf.auone-net.jp>;
　Mon, 2 Apr 2012 20:29:09 +0900
Received: from comet12 by fmta12.auone-net.jp (au one net mail filter) with
　ESMTP id 5035AD42 ; Mon, 2 Apr 2012 20:29:09 +0900 (JST)
Received-SPF: SoftFail (mail-gw.auone-net.jp: transitioning domain of
　yahoo.orz.jp does not designate 92.42.190.147 as permitted sender)
　client-ip=92.42.190.147; envelope-from=;
　helo=karahan.nine.ch;
Received: from karahan.nine.ch (karahan.nine.ch [92.42.190.147]) by
　mail-gw.auone-net.jp (au one net mail) with SMTP id 40836B41;
　Mon, 2 Apr 2012 20:28:51 +0900 (JST)
Received: from 241.163.96.146 by 80.50.144.146; Mon, 02 Apr 2012 16:26:46 +0400
From: "(ﾟﾛﾟ屮)屮@yahoo.orz.jp" <(*ﾟдﾟ*)@yahoo.orz.jp>
To: orz@aa.dion.ne.jp
Subject: 【急募】日給8000～の簡単バイト
Date: Mon, 02 Apr 2012 06:18:46 -0600
X-Mailer: AOL 7.0 for Windows US sub 118
MIME-Version: 1.0
Content-Type: text/plain; charset="SHIFT_JIS"
Content-Transfer-Encoding: 7bit
Message-Id: <20120402112851.40836B41@mail-gw.auone-net.jp>
X-SPF-AUTH: SoftFail (mail-gw.auone-net.jp: transitioning domain of
　yahoo.orz.jp does not designate 92.42.190.147 as permitted sender)
　client-ip=92.42.190.147; envelope-from=; helo=karahan.nine.ch;
　domain=yahoo.orz.jp; txt=v=spf1 ; auth=v1;
X-auonenet-Antispam: NO
X-auonenet-matriXscan: 3
　・・・

「日給8000～の簡単バイト」と仰るが、

(1) 一日あたりの労働時間は不詳

(2) 8000～と提示されたら、詰まりは 8000 の事である

(3) 通貨単位が「円」だとは誰も言っていない

以上、何から何まで碌なものではないという結論に達する。

NGワードを回避しようと足掻くSpammer

kaden_no_harata — Wed, 21 Mar 2012 20:38:11 +0900

Spamメール自衛策として、メーラに包括された振り分けルールや、
セキュリティ対策ソフトのSpamフィルタを使われる方は多いと思う。
その中にNGワードを登録することも一般的だろう。

「出会い」だとか「投資」やら、この手のSpam 御用達の文言は数多い。
しかし、これらのNGワード集をデータ化して、Spamフィルタを構築するには
無理がある。かなりの土木作業できりがないからだ。

「未承諾広告」やら「未承認広告」やら、
挙げ句の果てには「未承言若広告」で発狂した経験は無いだろうか？
新手の（小賢しい）小細工に対して、その都度メンテナンスする労力も不毛、
その「NGワード集」はひたすら肥大化する。

特定の文言を狙った「NGワード」を何とかしようと思うくらいなら、
「OKワード・ホワイトワード」の許可リストを考えた方が、まだしも実用的。

さて、最近見掛けなくなった、Subject 小細工手口を見掛けて何やら懐かしく
強いてこれを狙うなら、と遊んでみた。
真面目にシンプルな迎撃を狙うなら、IPアドレスによる

　> IPアドレス：　221.7.187.9
　> ホスト名：　対応するホスト名がありません。
　> IPアドレス割当国：　中国 ( cn )
　> 市外局番：　該当なし
　> 接続回線：　該当なし
　> 都道府県：　該当なし

上記に着目した方が得策なのは何時もの通り。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： KDDI_DION
サイズ： * 5KB
識別情報： 20003918

Return-Path:
Received: from fmta11.auone-net.jp ([210.141.108.164]) by nm08mtf.auone-net.jp
　id <20120321034302974.MF01.8153C80@nm08mtf.auone-net.jp>;
　Wed, 21 Mar 2012 03:43:02 +0900
Received: from comet11 by fmta11.auone-net.jp (au one net mail filter) with
　ESMTP id CAF3A30A ; Wed, 21 Mar 2012 03:43:02 +0900 (JST)
Received-SPF: Fail (mail-gw.auone-net.jp: domain of 2waky.com does not designate
　221.7.187.9 as permitted sender) client-ip=221.7.187.9;
　envelope-from=; helo=221.7.187.9;
Received: from 221.7.187.9 (unknown [221.7.187.9]) by mail-gw.auone-net.jp
　(au one net mail) with SMTP id 8E84AEEC; Wed, 21 Mar 2012 03:42:59 +0900 (JST)
Received: from 154.24.232.140 by ; Tue, 20 Mar 2012 13:41:59 -0500
Message-ID:
From: "アフタ―ピルI "
Reply-To: "アフタ―ピルI "
To: orz@aa.dion.ne.jp
Subject: 【無_料_招_待】インスタントS:E:Xを奥様と楽しむクラブ
Date: Tue, 20 Mar 2012 14:37:59 -0400
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--92357201027803931"
X-Priority: 3
X-MSMail-Priority: Normal
　・・・

さて、これだ。

　Subject: 【無_料_招_待】インスタントS:E:Xを奥様と楽しむクラブ

兎に角、「エス・イー・エックス」を連呼していると当方が規制されそうなので、
当該三文字を「orz」に置き換える。

NGワード「無料招待」と「orz」を回避するための小細工は一目瞭然である。
「出会い」のように、文字間に任意の文字を差し込んで
NGワード（単語）としての無力化を狙った事だろう。

では、ここで負けじと「無_料_招_待」をNGワード登録するか？
もし「無-料-招-待」やら「無*料*招*待」とやられたら…？
「o.r.z」も来るだろうと、・・・だから土木作業ではきりがないのだ。

これを少しでもエレガントに狙うなら、正規表現が強い味方となる。

１．NGワードは明快だが、小癪な回避策にて「何かの文字」を挿入される

２．その「文字」は挿入されるかも知れないが、されないかも知れない

３．その「文字」が何物かは予測できない

具体的に「無料招待」と「orz」を上記を踏まえて記述すれば、

　無.?料.?招.?待

　o.?r.?z

このような記述となる。
では、二文字挿入されたらどうするか？三文字なら？
と考え方が暴走して、

　無.*料.*招.*待

などと記述してしまうと、全く意図しない振る舞いをする。

　「無理して料理したが、お招きした筈のお客様が来ずに待（ちぼうけ）」

これでもヒットする。
最長一致の作用であるし、これを悩むくらいなら他の禁止リストなり
特徴を探すのが間違いない。
ムキになって、

　無.{0,3}料.{0,3}招.{0,3}待

などとは、私ならやらない。
以上、正規表現でのお遊びでした。

「セリオク」とは何だろう…？

kaden_no_harata — Wed, 07 Mar 2012 14:53:52 +0900

その「セリオク」をググってみたが、よく分からない。
オークションの（仕組み）名称なのだろうか…？

ともあれIPアドレス [113.248.50.229] を調べると、

　> IPアドレス：　113.248.50.229
　> ホスト名：　対応するホスト名がありません。
　> IPアドレス割当国：　中国 ( cn )
　> 市外局番：　該当なし
　> 接続回線：　該当なし
　> 都道府県：　該当なし

　> Rbl.jp：　存在しません。安全です。
　> IPひろば：存在しません。安全です。

という状況。（2012/03/07　14:50 現在）
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： DION_Private
サイズ： * 3KB
識別情報： 27802

Return-Path:
Received: from fmta11.auone-net.jp ([210.141.108.164]) by nm07mtf.auone-net.jp
　id <20120307062136368.MF12.817B680@nm07mtf.auone-net.jp>;
　Wed, 7 Mar 2012 06:21:36 +0900
Received: from comet11 by fmta11.auone-net.jp (au one net mail filter) with
　ESMTP id 4F0E81ACA ; Wed, 7 Mar 2012 06:21:36 +0900 (JST)
Received-SPF: SoftFail (mail-gw.auone-net.jp: transitioning domain of
　so-net.orz.jp does not designate 113.248.50.229 as permitted sender)
　client-ip=113.248.50.229; envelope-from=;
　helo=210.141.108.179;
　・・・
Message-ID:
From: "Abe Kana"
Reply-To: "Yoshioka Maki"
To: orz@aa.dion.ne.jp
Subject: ■セリオク■ 奈美さんから招待状が届いています。
Date: Wed, 07 Mar 2012 14:33:33 -0700
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--34044784463195958493"
X-Priority: 1
X-CS-IP: 40.22.87.15
　・・・

何も目新しい箇所も無く、ありきたりのSpamなのだが、
兎に角「セリオク」とは何だろうか…？
これだけが気になった次第。

本文（BODY部）は破棄する条件なので、何が書いてあったかは分からない。

"X-CS-IP:" やら "X-IP:" などのRFC非標準ヘッダ項目が含まれることに着目、
これを禁止リストに加える考え方もあるが、その前に確認を。
自分が必要とするまともなメールに、上記のRFC非標準ヘッダ項目が
含まれないか。

まれにでも存在するなら、素直にIPアドレスなりタイムゾーン狙いがシンプル。

「とりあえず100万円稼ぎませんか？」Spam

kaden_no_harata — Fri, 02 Mar 2012 10:04:13 +0900

件名からして全くお断りしたいSpamメールであるが、これと同一らしきものは、
若干メールヘッダを変えながら数件有った模様。
確か、"X-Mailer:" の項目値が変わっていた。

IPアドレス、[213.184.224.76] を調べるとベラルーシ ( by ) 鯖経由であり、

　> Rbl.jp ：存在しません。安全です。
　> IPひろば：ブラックリストに登録されています。

という状況。（2012/03/01　17:47 現在）

類似が複数件あったにも関わらずこのメールが心に引っ掛かったのは、
自称メールソフトが相当古いものであったからだ。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： KDDI_DION
サイズ： 3KB
識別情報： 20003864

Return-Path:
　・・・
Received-SPF: SoftFail (mail-gw.auone-net.jp: transitioning domain of
　yahoo.orz.jp does not designate 213.184.224.76 as permitted sender)
　client-ip=213.184.224.76; envelope-from=;
　helo=moipk.telecom.by;
Received: from moipk.telecom.by (moipk.telecom.by [213.184.224.76]) by
　mail-gw.auone-net.jp (au one net mail) with SMTP id 962C2350;
　Tue, 28 Feb 2012 12:15:31 +0900 (JST)
Received: from 65.74.130.3 by 213.184.224.76; Tue, 28 Feb 2012 08:06:39 +0500
From: "spam@yahoo.orz.jp"
To: orz@aa.dion.ne.jp
Subject: とりあえず100万円稼ぎませんか？
Date: Tue, 28 Feb 2012 08:15:39 +0500
X-Mailer: Microsoft Outlook Express 5.50.4522.1200
MIME-Version: 1.0
Content-Type: text/plain; charset="SHIFT_JIS"
Content-Transfer-Encoding: 7bit
Message-Id: <20120228031531.962C2350@mail-gw.auone-net.jp>
　・・・

何しろ、charset="SHIFT_JIS" という有様では全く駄目だ。
その他、"Message-Id:" 項目値も「いかにも」であり、
何処を狙った削除条件を組んでも簡単だと思う。
素直にIPアドレスで狙うのがいいと感じた。

これは無料登録しない方がいい

kaden_no_harata — Sun, 26 Feb 2012 16:49:06 +0900

１．差出人のアドレスが偽装されている

"Return-Path:" ，"From:" ，"Reply-To:" に示されたアドレスは同一のもの。
しかし、ハンドルは違うようだ。別人になり切れていない。

２．錯綜するタイムゾーン

+0600？ +0200？積み上がった "Received:" では最終的に +0900 であるが。

３．中国鯖経由

IPアドレス、[111.181.210.111] の通りであり、既に

　> Rbl.jp ：存在しません。安全です。
　> IPひろば：ブラックリストに登録されています。

という状況。（2012/02/26　16:05 現在）

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL009.TXT : TYPE-H）の条件が成立した
コメント： ns KDDI_DION "aa.dion.ne.jp"ドメインに対する一斉攻撃
アカウント： DION_Private
サイズ： * 3KB
識別情報： 27653

Return-Path:
Received: from fmta12.auone-net.jp ([210.141.108.164]) by nm07mtf.auone-net.jp
　id <20120224194914445.MF11.81DE760@nm07mtf.auone-net.jp>;
　Fri, 24 Feb 2012 19:49:14 +0900
　・・・
Received-SPF: None (mail-gw.auone-net.jp: 111.181.210.111 is neither permitted
　nor denied by domain of yahoo.orz) client-ip=111.181.210.111;
envelope-from=; helo=210.141.108.179;
Received: from 210.141.108.179 (unknown [111.181.210.111]) by mail-gw.auone-net.jp
　(au one net mail) with SMTP id D0C4CA4D; Fri, 24 Feb 2012 19:49:11 +0900 (JST)
Received: from 180.10.211.20 by ; Sat, 25 Feb 2012 12:53:59 +0200
Message-ID:
From: "Hirabayashi Mai"
Reply-To: "Furuichi Orie"
To: orz@aa.dion.ne.jp
Subject: 無料で登録するだけでニンテンドーＤＳが当たる！
Date: Sat, 25 Feb 2012 16:55:59 +0600
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--515199810502860"
X-Webmail-Time: Sat, 25 Feb 2012 04:55:59 -0600
X-SPF-AUTH: None (mail-gw.auone-net.jp: 111.181.210.111 is neither permitted
　nor denied by domain of yahoo.orz) client-ip=111.181.210.111;
　envelope-from=; helo=210.141.108.179;
　domain=yahoo.orz; txt=none ; auth=none;
　・・・

しかし、細かいことを無視してもこれはいけないと思う。
まともなアドレスを名乗らないお方から、

４．無料で登録するだけでニンテンドーＤＳが当たる！

これを（例えうっかりでも）踏んでしまうお方の危機感もどうかと。

メール本文を破棄する削除条件なので、そのボディ部にどのような文言なり
URL が記載されていたのかは不明。

Message-ID: 項目に着目

kaden_no_harata — Thu, 23 Feb 2012 13:35:32 +0900

RFC 5322 インターネットメッセージフォーマット（日本語訳）によれば、
メールヘッダの中に、"Message-ID:" フィールドを持つべきである(SHOULD)と
明記されている。(MUST)ではないが。

更に、そのとるべき値としては、

　"<" 左なにがし "@" 右なにがし ">"

が規定されている。
ずばり、アングルブラケット "<　>" で括られて、"@" が存在すると言う事。

ここに着目すれば、汎用性の高い禁止リストが設定出来る。
そもそも、"Message-ID:" 項目自体が存在しないメールをSpamと見なしても
構わないだろう。但し、前述の通りに(MUST)ではない。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： DION_Private
サイズ： 1KB
識別情報： 27618

Return-Path:
　・・・
Received-SPF: SoftFail (mail-gw.auone-net.jp: transitioning domain of goo.orz.jp
　does not designate 14.105.237.192 as permitted sender) client-ip=14.105.237.192;
　envelope-from=; helo=210.141.108.179;
　・・・
Received: from 175.138.52.158 by ; Thu, 23 Feb 2012 07:33:25 -0600
Message-ID:
Date: Wed, 22 Feb 2012 22:16:58 +0900 (JST)
From: spam@goo.orz.jp
To: undisclosed-recipients:;
X-SPF-AUTH: SoftFail (mail-gw.auone-net.jp: transitioning domain of goo.orz.jp
　does not designate 14.105.237.192 as permitted sender) client-ip=14.105.237.192;
　envelope-from=; helo=210.141.108.179; domain=goo.orz.jp;
　txt=v=spf1 ; auth=v1;
X-auonenet-Antispam: NO
X-auonenet-matriXscan: 3
　・・・

上記メールヘッダの例では、かなり怪しい"Message-ID:" 項目値である。

　・アングルブラケット "<" で開いてあるが、">" で閉じられていない

　・その値に、"@" が存在しない

素直に、ここを狙った禁止リストを作れば事足りる。

時計は合わせておこう

kaden_no_harata — Sat, 18 Feb 2012 11:45:58 +0900

「2012年バレタインセール開催中！」と仰るから何を今頃？
と日時をチェックしたら、かなりいい加減である。
Spam Mail Killer には効果的なテンプレートが用意されており、

> [603 TYPE-H：Date: とメールチェックを実行した日時の差が
> 　30日を超えているメールを削除]
>
> 　・送信日時（Date:）とメールチェックを実行した日時の差が30日を超えている
> 　　メール（過去の日付および未来の日付のメール）を削除する
>
> 　・自PCの内蔵時計が狂っていると正常に機能しない
> 　　（※誤認や通過の原因となる）
>
> 　・真っ当な相手からのメールでも、相手のPCの内蔵時計が狂っていると
> 　　削除される場合がある
>
> 　・長期間（約１ヶ月程度）に渡ってメールチェックを行なっていないアカウントに
> 　　使用すると、真っ当なメールでも削除される場合がある

引用したとおり、テンプレートの603番を適用するのが楽。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@正規表現の（/^Received: from .+? by .+ with SMTP id
　 (.+?)(?: for|;) (?:.+\n)+?Message-Id: <\d{14,}\.\1@mail-gw\.auone-net\.jp/kmi）
　が（

）に含まれる
コメント： as の二次生成
アカウント： DION_Private
サイズ： 3KB
識別情報： 27537

Return-Path:
　・・・
Received: from mail.travel.rakuten.orz.jp (unknown [221.230.129.110]) by
　mail-gw.auone-net.jp (au one net mail) with SMTP id 0FC163FA for
　; Fri, 17 Feb 2012 02:07:37 +0900 (JST)
To:
From: geyyyye
Subject: ☆2012年バレタインセール開催中！売れ筋＆新作ブランド続々入荷中♪☆
MIME-Version: 1.0
Reply-To:
Date: Mon, 15 Aug 2011 06:36:38 +0900
Content-Type:text/html; charset="iso-2022-jp"
Content-Transfer-Encoding: 7bit
Message-Id: <20120216170737.0FC163FA@mail-gw.auone-net.jp>
　・・・

今回は、いかにも怪しげな "Message-Id:" 項目値にヒットした。

YYYYMMDD（西暦年4桁月日）＋HHMMSS（時分秒）＋なにがしを足し込んだ
正当な項目値ではあまり見掛けないパターン。
足し込んだ「もの」が問題で、メールヘッダの何処かからの値を適当に流用し、
いい加減に作りました♪的な雰囲気。

正規表現の後方参照がようやく分かってきて、頭の体操がてら、
組んでみた頃の禁止リスト@正規表現の条件だが、
未だにヒットするので結構汎用的で強力な条件かも知れない。

貴女は加藤さんではないのですか？

kaden_no_harata — Sat, 11 Feb 2012 17:05:30 +0900

SMKの削除ログを漁っていたら、「加藤さん」を名乗るSpamを発見。
どうやら、田中さんやら藤川さんやら複数人が絡んでいるらしい。
しかし、メールヘッダフィールドの意味からすれば、異様である。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL004.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダ値が不穏
アカウント： DION_Private
サイズ： * 2KB
識別情報： 27395

Return-Path:
　・・・
Received-SPF: SoftFail (mail-gw.auone-net.jp: transitioning domain of
　excite.orz.jp does not designate 113.248.63.46 as permitted sender)
　client-ip=113.248.63.46; envelope-from=;
　helo=210.141.108.179;
　・・・
Message-ID:
From: "Tanaka Kana"
Reply-To: "Fujikawa Sachiko"
To: orz@aa.dion.ne.jp
Subject: 担当させて頂きます、加藤です。
Date: Thu, 09 Feb 2012 12:14:52 -0200
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--1689005195308423213"

フィールドの意味からすれば、

　【Return-Path:】
　・配信エラーの場合、ここに指定したアドレス宛に通知する。

　【From:】
　・メールを書いた本人であり文責者のアドレス。
　・文責者ではなく、単なる送信者の場合は "Sender:" フィールドを使用する。

　【Reply-To:】
　・返信先のメールアドレス。
　・普通はTo: 宛に返信するが、敢えて違うアドレス宛に返信が欲しい場合に設定。
　・メーリングリストでこれを設定すると、参加者から顰蹙を買うことが多い。

今回のSpamは、上記3項目のアドレスが全て同じであることから、
真っ当なメールでは無いと考えて良いだろう。

いまどき「儲かります」系のSpam

kaden_no_harata — Wed, 08 Feb 2012 13:18:27 +0900

Spamに限らず、悪徳商法・詐欺でもそうだが、「儲かります」やら
「絶対に損はさせません」やら引っ掛かる方も如何なものかと。

さておき、香港鯖を名乗っておりSPFもその通りPassしているわけだから
IPアドレスを狙って削除する条件を考えるのが一番良いと思う。
以前は目にした "eQ-Mailer" だが、ここ一週間で復活してきたような気がする。
と言うか、香港鯖がやたらと元気だ。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
Return-Path:
　・・・
Received-SPF: Pass (mail-gw.auone-net.jp: domain of ya7dke2.mobi designates
　103.29.75.133 as permitted sender) client-ip=103.29.75.133;
　envelope-from=<@ya7dke2.mobi>; helo=server73133.bbtec.com.hk;
　・・・
To: orz@aa.dion.ne.jp
Subject: 儲かる話は沢山あります。でも本当に儲かる話は少ないです。
　だから先に、シミュレーション機能で試してください。
From: 試すんです。
Reply-To: 試すんです。
X-Mailer: eQ-Mailer
X-Priority: 3
MIME-Version: 1.0
Content-Type: text/plain;charset=iso-2022-jp
Message-Id: <20120207100815.E3BB6D50@server7398.bbtec.com.hk>
Date: Tue, 7 Feb 2012 19:08:15 +0900 (JST)

ISPによっては、きめ細かいSpam迎撃条件が組めるところがある。
具体的にはBIGLOBE、「受信拒否設定」機能では、特定のメールヘッダ項目と
その値で拒否条件を設定出来る。
即ち、
　メールヘッダの "X-Mailer:" 項目が "eQ-Mailer" 値なら受信拒否
を自分で設定出来る次第。

Spam Mail Killer で迎撃しなくともISP側、即ち最初の入り口で
フィルタリングできるなら、それが最善。

au one にてPCメール（Webメール）のSpam対策など、仕組みの大幅な見直しが
掛かっている模様で、上記のようなきめ細かい拒否設定が出来る事を望んでいる。

平成24年に Outlook Express 5.00

kaden_no_harata — Mon, 06 Feb 2012 16:15:42 +0900

そろそろ Win XP も役目を終え、そうなれば消えるだろう Outlook Express、
どっこい Spammer には現役らしい。

　X-Mailer: Microsoft Outlook Express 5.00.2919.6700

このバージョンはいつ頃の話しだろうと思ってググってみたら、
どうやら Windows 2000 標準らしく、SPが充っていればこれよりも上がる次第。
2000 使いで、Service Pack も充てないとは不謹慎だが、
"X-Mailer:" 項目自体を詐称されているのかも知れない。

【一発目：Thu, 02 Feb 2012 23:04:27 +0200】
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
Return-Path:
　・・・
Message-ID:
From: "◎密会HELPメール "
Reply-To: "◎密会HELPメール "
To: orz@d3.dion.ne.jp
Subject: ＸＸＸ
Date: Thu, 02 Feb 2012 23:04:27 +0200
X-Mailer: Microsoft Outlook Express 5.00.2919.6700
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--28949550803416371229"
X-Priority: 3
X-MSMail-Priority: Normal

【二発目：Sun, 05 Feb 2012 03:26:44 +0100】
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
Return-Path:
　・・・
Message-ID:
From: "◎密会INFOメール"
Reply-To: "◎密会INFOメール"
To: orz@d3.dion.ne.jp
Subject: ＸＸＸ
Date: Sun, 05 Feb 2012 03:26:44 +0100
X-Mailer: Microsoft Outlook Express 5.00.2615.200
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--5350886786984412"
X-Priority: 3
X-MSMail-Priority: Normal

"Subject:" の中身があまりにアレで、投稿規制が掛かりそうなので伏せた。
なかなかに豪快な日本語。

上記2件のメールヘッダ共に、Spam としての特徴は

1. 海外鯖経由を示すIPアドレス

2. 同、タイムゾーン

であり、ここを狙うのが汎用的な条件となる。
しかし、もうじき "X-Mailer: Microsoft Outlook Express" を
問答無用に削除しても良い時期が来る。

チなにがし様から飛んできた

kaden_no_harata — Thu, 02 Feb 2012 15:53:58 +0900

IPアドレスから判別して、インド鯖を弾く考え方でも構わないと思う。
その他、細かいところでは "Date:" やら "Content-Type:" 値を狙っても良い。
ただ、このSpamはよくあるパターンの、

　1. "To:" 項目に記されたメールアドレスのドメイン名は、自分に合致

　2. しかし、＠の左側は出鱈目でアドレス名としては合致しない

上記の複合条件（複数要素）で狙うのが汎用性は高いと思う。
まさしくその条件にヒットして駆逐した次第だが、「おやっ？」と思ったのは
自称差出人のメールアドレス。
化けたらしい。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
Return-Path:
Received: from fmta12.auone-net.jp ([210.141.108.164]) by nm08mtf.auone-net.jp
　id <20120202000321860.MF61.828FBF0@nm08mtf.auone-net.jp>;
　Thu, 2 Feb 2012 00:03:21 +0900
　・・・
Received: from abs-static-75.160.251.27.aircel.co.in (unknown [27.251.160.75])
　by mail-gw.auone-net.jp (au one net mail) with SMTP id 02E46248;
　Thu, 2 Feb 2012 00:02:39 +0900 (JST)
Date: Thu, 19 Jan 2012 09:58:34 +0500
From: "Sexuality amplifiers" <チngel.Anderson@trendelburg.org>
Reply-To: "チngel Anderson" <チngel.Anderson@gejo.be>
X-Priority: 3
Message-ID: <000bxxx-ijj1nxe-xxxx@computingyoungprofessional.com>
To: n-masa@a.ne.jp
Subject: The reliable man's formula, stable fast result
MIME-Version: 1.0
Content-Type: text/plain; charset=windows-1252
Content-Transfer-Encoding: 7bit

正規表現で、連続する同一文字をマッチさせる

kaden_no_harata — Tue, 31 Jan 2012 16:45:17 +0900

ビジネスメールで使われることが無いであろう表現、

　キタァーーーーーー

だとか、

　wwwwwwwwww

というのは弾いておきたい。
www であれば、World Wide Web という用い方も正当であるが
何しろあまりに連続されると小馬鹿にされたようで気持ちが悪い。

　うおぉぉぉぉぉぉ！

という表現で強調されることもあるようで、
兎に角連続する同一文字を何とか処理したいところ。

10文字連続したらマッチさせる正規表現は、下記の通りである。

　(.)\1{9,}

1. 何でもよい１文字にマッチさせる記述「.」

2. 後方参照のために、グループ化。（）で括る

3. 連続する9個以上にマッチ

という記述で表現出来る。
「.」マッチ分で1個、残り9個で合計10個の連続。

　(.)\1{10,}

とすれば、1 + 10 = 11個連続という意味になる。

後方参照を用いずに、

　.{10,}

と記述すれば、肝心の「連続した同一の」意図とは全く異なってしまう。

「UPS」の名を騙るspam

kaden_no_harata — Fri, 28 May 2010 11:12:37 +0900

「無停電電源装置」がどうした？という程度の認識。
調べてみると、
　ユナイテッド・パーセル・サービス株式会社 (United Parcel Service Inc.)
輸送屋さんらしい事が分かった。
　「UPS Tracking #0185555590」とのSubject、
詰まりは「受付（伝票）番号なにがしについて、追跡できる」
お知らせを偽装したのだろうと想像できる。

「client-ip=97.79.130.26」を基に検索しても、海外鯖発は納得できる。

> client-ip=97.79.130.26>
> 【検索結果】
> IPアドレス 97.79.130.26
> ホスト名 rrcs-97-79-130-26.sw.biz.rr.com
> IPアドレス割当国アメリカ合衆国 ( us )
> 市外局番該当なし
> 接続回線該当なし
> 都道府県該当なし
> IPひろば検索ランキングランキング圏外
>
> 【RBL検索】
> Rbl.jp 存在しません。安全です。
> IPひろば存在しません。安全です。

しかし、手動配信でもあるまいし、
　「X-Mailer: Microsoft Outlook, Build 10.0.3416」
は感心できない。
天下のUPS社が "Outlook"系のMUAを用いるとは思えないからだ。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL009.TXT : TYPE-H）の条件が成立した
コメント： ns KDDI_DION "aa.dion.ne.jp"ドメインに対する一斉攻撃
アカウント： DION_Private
サイズ： * 42KB
識別情報： 16058

Return-Path:
Received: from fmta11.auone-net.jp ([210.141.108.164]) by nm07mtf.auone-net.jp
　id <20100528003555682.MF60.8317930@nm07mtf.auone-net.jp>;
　Fri, 28 May 2010 00:35:55 +0900
Received: from comet14 by fmta11.auone-net.jp (au one net mail filter)
　with ESMTP id 9F8D2C3F ; Fri, 28 May 2010 00:35:55 +0900 (JST)
Received-SPF: None (mail-gw.auone-net.jp: 97.79.130.26 is neither permitted
　nor denied by domain of red-sea.com) client-ip=97.79.130.26;
　envelope-from=;
　helo=rrcs-97-79-130-26.sw.biz.rr.com;
Received: from rrcs-97-79-130-26.sw.biz.rr.com (rrcs-97-79-130-26.sw.biz.rr.com
　[97.79.130.26]) by mail-gw.auone-net.jp (au one net mail) with ESMTP
　id 9050280D; Fri, 28 May 2010 00:35:41 +0900 (JST)
Received: from 97.79.130.26 by ASPMX4.GOOGLEMAIL.com;
　Thu, 27 May 2010 10:35:40 -0600
From: "Your UPS"
To: <ui@aa.dion.ne.jp>
Subject: UPS Tracking #0185555590
Date: Thu, 27 May 2010 10:35:40 -0600
Message-ID: <000d01cafdb2$432848c0$6400a8c0@pirating178!>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary=
　"----=_NextPart_000_000E_01CAFDB2.432848C0"
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook, Build 10.0.3416
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2527
Importance: Normal
X-Antivirus: avast! (VPS 100527-0, 05/27/2010), Outbound message
X-Antivirus-Status: Clean
X-SPF-AUTH: None (mail-gw.auone-net.jp: 97.79.130.26 is neither permitted
　nor denied by domain of red-sea.com) client-ip=97.79.130.26;
　envelope-from=; helo=rrcs-97-79-130-26.sw.biz.rr.com;
　domain=red-sea.com; txt=none ; auth=none;
X-auonenet-Antispam: NO
X-auonenet-matriXscan: 3
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7

"To:" 項目の、私の（受け取り）メールアドレスを改変してあるが、
　・ドメイン名は一致している
　・アカウント名（＠マークの左側）は一致しない
spamによくあるケース。

Spam Mail Killer にて禁止リストを組むのであれば、
まさしく上記内容を条件化すれば事足りる。
　"To:" 項目と"Cc:" 項目の双方に対して、
　・自分の「ドメイン名」と合致するが、
　・メールアドレスとしては一致しない（アカウント名が違うから）

"To:" 項目と"Cc:" 項目に、
　「自分のメアドが含まれなければspam判定で良いのでは？」
という議論もある。
　・メーリングリスト（ML）に一切参加しておらず、
　・"Bcc:" 送信される事もあり得ない、
そのような場合であれば構わないと思う。

今度は「モニター募集あと３名！」氏と名前を変えたspam

kaden_no_harata — Thu, 06 May 2010 23:27:24 +0900

前回のspam、「コレ、理由があって必ず痩せます！」氏のspam
に引き続き、同業者・同一人物・組織からご丁寧にspamが配信されていた模様。

さて今回は、Subject: 項目も頑張って文字数を稼いだらしい。
　「申請だけで月３０万円！日本を代表する大手企業から入金される
　　超絶極秘即金ノウハウ！」
…少々頑張りすぎで長い。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
　【前回】
> client-ip=111.223.195.238
>
> 【検索結果】
> IPアドレス 111.223.195.238
> ホスト名 195-238.mail-eng.com
> IPアドレス割当国日本 ( jp )
> 市外局番該当なし
> 接続回線該当なし
> 都道府県該当なし
> IPひろば検索ランキングランキング圏外
>
> 【RBL検索】
> Rbl.jp 存在しません。安全です。
> IPひろばブラックリストに登録されています。
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
　【今回】
> client-ip=111.223.195.227
>
> 【検索結果】
> IPアドレス 111.223.195.227
> ホスト名 195-227.mail-eng.com
> IPアドレス割当国日本 ( jp )
> 市外局番該当なし
> 接続回線該当なし
> 都道府県該当なし
> IPひろば検索ランキングランキング圏外

> 【RBL検索】
> Rbl.jp 存在しません。安全です。
> IPひろばブラックリストに登録されています。
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7

メーラというか、MUAはどちらも「X-Mailer: eQ-Mailer」であり、
随分とお気に入りの模様である。
手っ取り早く此処を狙ったspam フィルタでも充分間に合うだろう。
…が、前回の考え。今回も（特段）考えに変わりはない。

Spam Mail Killer に組み込んだ「禁止リスト@複数要素」にヒットしている
次第だが、（逆引き）ドメイン名にて
　"195-227.mail-eng.com"
などと、IPアドレスから力業で造り込んだネーミングの異常さを狙った迎撃条件。
まともなサーバが、"195-227.mail-eng.com" とは思えない次第。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL010.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダーの（逆引き）ドメイン名が偽装
アカウント： KDDI_DION
サイズ： 7KB
識別情報： 20000481

Return-Path:
Received: from fmta12.auone-net.jp ([210.141.108.164]) by nm08mtf.auone-net.jp
　id <20100506090951668.ozawa-hato.ui@nm08mtf.auone-net.jp>;
　Thu, 6 May 2010 09:09:51 +0900
Received: from comet13 by fmta12.auone-net.jp (au one net mail filter)
　with ESMTP id 7EB79490 ; Thu, 6 May 2010 09:09:51 +0900 (JST)
Received-SPF: Pass (mail-gw.auone-net.jp: domain of ty3u63q.com designates
　111.223.195.227 as permitted sender) client-ip=111.223.195.227;
　envelope-from=; helo=195-227.mail-eng.com;
Received: from 195-227.mail-eng.com (195-227.mail-eng.com [111.223.195.227])
　by mail-gw.auone-net.jp (au one net mail) with ESMTP id DEB7767D
　for ; Thu, 6 May 2010 09:09:50 +0900 (JST)
To: orz@aa.dion.ne.jp
Subject: 申請だけで月３０万円！日本を代表する大手企業から入金される
　　超絶極秘即金ノウハウ！
From: モニター募集あと３名！
Reply-To: モニター募集あと３名！
X-Mailer: eQ-Mailer
X-Priority: 3
MIME-Version: 1.0
Content-Type: text/plain;charset=iso-2022-jp
Message-Id: <20100506000919.B27B6E4C9D6@202-13.mail-eng.com>
Date: Thu, 6 May 2010 09:09:19 +0900 (JST)
X-SPF-AUTH: Pass (mail-gw.auone-net.jp: domain of ty3u63q.com designates
　111.223.195.227 as permitted sender) client-ip=111.223.195.227;
　envelope-from=; helo=195-227.mail-eng.com;
　domain=ty3u63q.com; txt=v=spf1 ; auth=v1;
X-auonenet-Antispam: NO
X-auonenet-matriXscan: 3
----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7

正規表現で狙った条件は、（禁止リスト@複数要素の一部を抜粋）

　

##/(?#分断された数字列を２個以上含む)
　　　helo(=|\s).*\d{2,}[-_.]\d{2,}.*\./m
　Received: ##/(?#分断された数字列を２個以上含む Received:)
　　　from.*\d{2,}[-_.]\d{2,}.*\.\sby/m
↑（折り返しは、無しです）

このような記述となる。
spam迎撃用の、この条件の正当性については「自己満足」レベルであり、
これが決定的なお勧め条件であるとは言い難いのでご注意を。

「コレ、理由があって必ず痩せます！」氏のspam

kaden_no_harata — Wed, 05 May 2010 14:51:17 +0900

興味深いのはそのSubject: であるが、これはある意味有名人の「成りすまし」か。
　「-6kg減なんて当たり前!みのもんたがTVで紹介！」
…お昼の番組のことであろうか？放送は結構前に終了していたと思う。

> client-ip=111.223.195.238
>
> 【検索結果】
> IPアドレス 111.223.195.238
> ホスト名 195-238.mail-eng.com
> IPアドレス割当国日本 ( jp )
> 市外局番該当なし
> 接続回線該当なし
> 都道府県該当なし
>IPひろば検索ランキングランキング圏外
>
> 【RBL検索】
> Rbl.jp 存在しません。安全です。
> IPひろばブラックリストに登録されています。

メーラというか、MUAは何を使っている（事になっている）だろうか。
　「X-Mailer: eQ-Mailer」
とあるが、私には初耳である。そこで調べてみると、
　X-Mailer: eQ-Mailer spam に一致する日本語のページ

成る程、手っ取り早く此処を狙ったspam フィルタでも充分間に合うだろう。

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7
削除理由：禁止リスト@複数要素（FGL010.TXT : TYPE-H）の条件が成立した
コメント： ns ヘッダーの（逆引き）ドメイン名が偽装
アカウント： DION_Private
サイズ： 11KB
識別情報： 15641

Return-Path:
Received: from fmta11.auone-net.jp ([210.141.108.164]) by nm07mtf.auone-net.jp
　id <20100504131957956.MF11.82C9E70@nm07mtf.auone-net.jp>;
　Tue, 4 May 2010 13:19:57 +0900
Received: from comet14 by fmta11.auone-net.jp (au one net mail filter)
　with ESMTP id CF7AC1322 ; Tue, 4 May 2010 13:19:57 +0900 (JST)
Received-SPF: Pass (mail-gw.auone-net.jp: domain of f4v8ds.com designates
　111.223.195.238 as permitted sender) client-ip=111.223.195.238;
　envelope-from=; helo=195-238.mail-eng.com;
Received: from 195-238.mail-eng.com (195-238.mail-eng.com [111.223.195.238])
　by mail-gw.auone-net.jp (au one net mail) with ESMTP id EDC7921F
　for ; Tue, 4 May 2010 13:19:56 +0900 (JST)
To: orz@aa.dion.ne.jp
Subject: 「-6kg減なんて当たり前!みのもんたがTVで紹介！」
From: コレ、理由があって必ず痩せます！ <まぐ@f4v8ds.com>
Reply-To: コレ、理由があって必ず痩せます！ <まぐ@f4v8ds.com>
X-Mailer: eQ-Mailer
X-Priority: 3
MIME-Version: 1.0
Content-Type: text/plain;charset=iso-2022-jp
Message-Id: <20100504041725.B670AE4CBBD@202-13.mail-eng.com>
Date: Tue, 4 May 2010 13:17:25 +0900 (JST)
X-SPF-AUTH: Pass (mail-gw.auone-net.jp: domain of f4v8ds.com designates
　111.223.195.238 as permitted sender) client-ip=111.223.195.238;
　envelope-from=; helo=195-238.mail-eng.com;
　domain=f4v8ds.com; txt=v=spf1 ; auth=v1;
X-auonenet-Antispam: NO
X-auonenet-matriXscan: 3

今までに無い究極のサプリメントです。
『グラボノイドスーパースリム』
ぜひ、この機会をお見逃しなく！！
↓　↓　↓　↓
▼こちらをクリック▼
ttp://f4v8ds.com/m/l.php?o&r&z

～～：～～：～～：～～：～～：～～：～～：～～：～～～
■本メルマガは、情報商材や無料レポート、アフィリサイト
等で登録されたお客様に有益なお勧め情報を無料配信して
います。
もしお心あたりのない方は、お手数ですが以下から解除
をお願い致します。
ttp://f4v8ds.com/m/del.php?mid=o&mn=r&ad=z%40dion.ne.jp
～～：～～：～～：～～：～～：～～：～～：～～：～～～

『ミラクルダイエット速報』――――――――
配信者⇒ 武田ひとみ
問合せ⇒ まぐ@f4v8ds.com
――――――――――――――――――――――

----+----1----+----2----+----3----+----4----+----5----+----6----+--!-7

> ■本メルマガは、情報商材や無料レポート、アフィリサイト
> 　等で登録されたお客様に有益なお勧め情報を無料配信しています。

……いや。
当該アカウントは断じて「登録用」に使っていないわけで
実に困ったものだ。