Spamın Kökeni Nasıl Belirlenir?

Spam, kâr sağladığı sürece yayılmaya devam edecek. Hiç kimse spam gönderenlerden ürün almazsa veya dolandırıcılık yapmazsa, spam sona erecektir. Bu, spam ile savaşmanın açık ve en kolay yoludur. Aldığınız spam e-postaları yok sayabilir ve silebilirsiniz. Ancak spam göndericinin İnternet Servis Sağlayıcısına (ISP) şikayette bulunarak spam göndericiden intikam alabilirsiniz. ISS, bağlantılarını bloke edecek ve belki bir para cezası uygulayacaktır (ISS’nin kabul edilebilir kullanım politikasına bağlı olarak). Spam gönderenler bu tür şikayetlerden sakının ve mesajlarını gizlemeye çalışırlar. Bu nedenle doğru ISP’yi bulmak her zaman kolay değildir.

Bir spam mesajının içine bakalım. Her e-posta mesajı iki bölümden oluşur: gövde ve başlık. Gövde, gerçek mesaj metni ve eklerdir. Başlık, mesajın bir tür zarfıdır. Başlık, mesajı gönderenin adresini, mesaj alıcısının adresini, mesaj konusunu ve diğer bilgileri gösterir. E-posta programları genellikle şu başlık alanlarını görüntüler:

Kimden: gönderenin adını ve e-posta adresini gösterir.
Alıcı: alıcının adını ve e-posta adresini gösterir.
Tarih: mesajın gönderildiği tarihi gösterir.
Konu: mesaj konusunu gösterir.

Kimden: alanı genellikle gönderenin e-posta adresini içerir. Bu, mesajı kimin gönderdiğini bilmenizi sağlar ve kolayca yanıtlamanıza olanak tanır. Spam gönderenler, elbette, cevap vermenizi ve kim olduklarını bilmenizi istemezler. Bu nedenle, sahte e-posta adreslerini e-postalarının Kimden: satırlarına koyarlar. Bu nedenle, spam e-postanın nereden geldiğini belirlemek istiyorsanız Kimden: alanı size yardımcı olmayacaktır.

İpucu! G-Lock SpamCombat ile sadece mesaj metnini değil, aynı zamanda mesaj başlığının tüm alanlarını da kolayca önizleyebilirsiniz. Önizleme formatını kendiniz seçebilirsiniz. Mesajı HTML, kodu çözülmüş mesaj veya mesaj kaynağı olarak görüntüleyebilirsiniz. Ayrıca her mesajın başlığında birkaç Alındı: alanı vardır. E-posta programları genellikle Received: satırlarını göstermez, ancak Received: satırları istenmeyen posta kaynağının izlenmesinde çok yardımcı olabilir.

Tıpkı bir posta mektubunun alıcıya teslim edilmeden önce birkaç postaneden geçmesi gibi, bir e-posta mesajı da birkaç posta sunucusu tarafından işlenir. Her posta sunucusu, mesaj başlığına bir Received: satırı ekler.

– sunucunun mesajı aldığı makinenin sunucu adı ve IP adresi ve
– posta sunucusunun kendisinin adı.

Her bir Alındı: satırı, mesaj başlığının en üstüne eklenir. Göndericiden alıcıya giden mesaj yolunu yeniden oluşturmak istiyorsak, en üstteki Alındı: satırından başlayıp sonuncusuna kadar, e-postanın geldiği yere kadar ilerliyoruz.

Tıpkı Kimden: alanında olduğu gibi, Alındı: satırları, spam göndereni izlemek isteyenleri kandırmak için sahte bilgiler içerebilir. Her posta sunucusu, Received: satırını başlığın en üstüne eklediğinden, analize en baştan başlarız.

İstenmeyen posta gönderenler tarafından taklit edilen Alınan: satırları genellikle normal Alındı: alanları gibi görünür. Received: satırının sahte olup olmadığını ilk bakışta söyleyemeyiz. Sahte bir Alındı: alanını bulmak için tüm Alınan: hatları zincirini analiz etmeliyiz.

Yukarıda bahsettiğimiz gibi, her posta sunucusu sadece adını değil aynı zamanda mesajı aldığı makinenin IP adresini de kaydeder. Bir sunucunun hangi adı koyduğuna ve zincirdeki bir sonraki sunucunun ne dediğine bakmamız yeterlidir. Sunucular eşleşmezse, önceki Alınan: satırı sahte olur.

E-postanın kaynağı, sahte Alındı: satırından hemen sonra sunucunun iletiyi nereden aldığını söyler.

Spam e-posta kaynağının gerçek hayatta nasıl belirleneceğini görelim. Yakın zamanda aldığımız bir spam iletisinin başlığı şu şekildedir:

**************************************************
Dönüş yolu:
Teslim Edildiği Yer: [email protected]
Alındı: bilinmeyen (HELO 60.17.139.96) (221.200.13.158) mail1.myserver.xx tarafından
SMTP; 7 Kasım 2006 10:54:16 -0000
Alınan: 164.145.240.209’dan 60.17.139.96’ya; 7 Kasım 2006 Salı 05:53:35 -0500
Tarih: 7 Kasım 2006, Salı 12:48:35 +0200
Kimden: Eczane

Yanıt: umceqhzjmndfy
X Önceliği: 3 (Normal)
Mesaj Kimliği:
Kime: [email protected]
Konu: Ucuz Med * s V! Agra Birçok Med_s QnNXpRy9
MIME Sürümü: 1.0
İçerik Türü: metin / html; karakter kümesi = us-ascii
Content-Transfer-Encoding: kotalı-yazdırılabilir
**************************************************

İlk önce sahte Kimden: alanına bakın. Kimden: ve Yanıtla: satırlarındaki e-posta adresi mevcut değil. Bu nedenle, spam gönderen geri dönen mesajları yönetmeye özen gösterdi ve insanların mevcut olmayan bir e-posta hesabına gönderebilecekleri tüm öfkeli yanıtlar.

İkincisi, Konu: satırı. İstenmeyen mesajlarda karşılandığı bilinen Medler ve Viagra kelimelerinin varyasyonlarını içerir. Ayrıca, konu bir dizi rastgele karakter içerir. Konu satırının istenmeyen posta önleme filtrelerini kandırmak için ustaca tasarlanmış olduğu açıktır.

Son olarak, Alınan: satırlarını inceleyelim. En eskisinden başlıyoruz – Alınan: 164.145.240.209’dan 60.17.139.96’ya; Salı, 7 Kasım 2006 05:53:35 -0500. İçinde iki IP adresi var: 60.17.139.96, mesajı 164.145.240.209’dan aldığını söylüyor.

Zincirdeki sonraki (ve bu durumda sonuncu) posta sunucusunun ilk Received: satırının durumunu doğrulayıp doğrulamadığını kontrol ederiz. İkinci Received: alanında: Alındı: bilinmeyen (HELO 60.17.139.96) (221.200.13.158) mail1.myserver.xx tarafından SMTP ile; 7 Kasım 2006 10:54:16 -0000.

mail1.myserver.xx bizim sunucumuzdur ve ona güvenebiliriz. İletiyi, 60.17.139.96 IP adresine sahip olduğunu belirten “bilinmeyen” bir ana bilgisayardan aldı. Evet, bu önceki Alındı: satırının söylediğini onaylar.

Şimdi posta sunucumuzun iletiyi nereden aldığını bulalım. Bu amaçla, mail1.myserver.xx sunucu adından önce parantez içindeki IP adresine bakarız. Tarih 221.200.13.15. Bu, bağlantının kurulduğu IP adresidir ve 60.17.139.96 değildir. Spam mesajın kaynağı 221.200.13.15. Spam gönderenin 221.200.13.15 bilgisayar başında oturması ve tüm dünyaya spam göndermesi gerekmediğini belirtmek önemlidir. Bilgisayar sahibi, spam göndermekten şüphelenmiyor olabilir. Bilgisayar, makine sahibinin haberi olmadan spam yayan bir Truva atı tarafından ele geçirilebilir.

Bu bilgilerin spam gönderenin ISP’sini belirlemenize ve uygun önlemleri alabilmeleri için onları spam hakkında rapor etmenize yardımcı olacağını umuyoruz.