Too Much Obvious Spam, What Can Be Done?

Clay, I looked a little more closely.  This looks like the handiwork of the Russian Mafia.  Each of those domains was registered yesterday at eNom using their WhoisPrivacyProtect service.  It appears that the MX records all relate to servers in Bulgaria.

There are several things you can do if you want to help get rid of them.  Rather than clicking on any of the links, I would copy them to a browser in a sandbox (Sandboxie is free).

For one example of each:
[LIST=1]Report these spams to Sophos Labs.

• Start the Web Filtering Live Log, put your IP into the Filter box at the top and hit enter.
  
• Copy the URL (there are probably numerous copies of the same one) into your sandbox and go to the web page.  It's likely that you will be redirected to the real webpage of the criminals.
  
• Using a tool like CentralOps.net, look up the domain Whois of the FQDN in the original URL to get its IP and to confirm that it's a domain that was not registered recently.
  
• Do the same for the FQDN of the criminal site.
  
• Copy the headers of the email, forward the email to abuse@enom.com (and others as below) and copy the headers above the contents of the email.  I like to put -----Headers----- above them.
  
• Add in the 'To:' field abuse@whoisprivacyprotect.com and the network abuse@ addresses found in 4 and 5 above.
  
• At the top of your email, request that eNom and WhoisPrivacyProtect suspend the domain and privacy for the registrant in 5.
  
• Below that, add the IP addresses found in 4 and 5 so that their abuse systems don't reject your email.
  
• Find the originating IP of the email in the header and use the tool in 4 to find the abuse address for it and add it to the 'To:' field.
  
• Find the IP of the server from which your UTM received the spam, repeat 10 with it and send.

[/LIST]
Do this every morning for new domains.  Within a week, the spams will stop and they will be forced to move from eNom - killing their privacy and time/investment in domain names is what stops them.

Cheers - Bob
PS Here's a pic of one I reported in March.  As you can see, swissmail.org's server didn't add the originating IP to the header, and there were two hops before I got to the criminal site.  Even though the Chinese registrar didn't take the action I requested, the site is now without an IP.

Clay, I looked a little more closely.  This looks like the handiwork of the Russian Mafia.  Each of those domains was registered yesterday at eNom using their WhoisPrivacyProtect service.  It appears that the MX records all relate to servers in Bulgaria.

There are several things you can do if you want to help get rid of them.  Rather than clicking on any of the links, I would copy them to a browser in a sandbox (Sandboxie is free).

For one example of each:
[LIST=1]Report these spams to Sophos Labs.

• Start the Web Filtering Live Log, put your IP into the Filter box at the top and hit enter.
  
• Copy the URL (there are probably numerous copies of the same one) into your sandbox and go to the web page.  It's likely that you will be redirected to the real webpage of the criminals.
  
• Using a tool like CentralOps.net, look up the domain Whois of the FQDN in the original URL to get its IP and to confirm that it's a domain that was not registered recently.
  
• Do the same for the FQDN of the criminal site.
  
• Copy the headers of the email, forward the email to abuse@enom.com (and others as below) and copy the headers above the contents of the email.  I like to put -----Headers----- above them.
  
• Add in the 'To:' field abuse@whoisprivacyprotect.com and the network abuse@ addresses found in 4 and 5 above.
  
• At the top of your email, request that eNom and WhoisPrivacyProtect suspend the domain and privacy for the registrant in 5.
  
• Below that, add the IP addresses found in 4 and 5 so that their abuse systems don't reject your email.
  
• Find the originating IP of the email in the header and use the tool in 4 to find the abuse address for it and add it to the 'To:' field.
  
• Find the IP of the server from which your UTM received the spam, repeat 10 with it and send.

[/LIST]
Do this every morning for new domains.  Within a week, the spams will stop and they will be forced to move from eNom - killing their privacy and time/investment in domain names is what stops them.

Cheers - Bob
PS Here's a pic of one I reported in March.  As you can see, swissmail.org's server didn't add the originating IP to the header, and there were two hops before I got to the criminal site.  Even though the Chinese registrar didn't take the action I requested, the site is now without an IP.