Spammer hosting located here:
http://trisul.soundexpoaudio.com/ga/click/XXX
-> http://pr.shopgoidep.com/hitsurveys/survey?uid=XXX
—> http://mtp.identityproofs.com/hitsurveys/survey?uid=XXX
—> https://c.eteppy.com/?a=XXX
—-> https://www.gmmsafeads.com/XXX
——> https://onlinewin.club/XXX
$ dig +short www.gmmsafeads.com
35.190.66.152
Spam sample
====================================================
Received: from a1.checknow.soundexpoaudio.com (unknown [96.45.70.78])
by X (Postfix) with ESMTPS id X
for <X>; Wed, 23 Jan 2019 X
DKIM-Signature: X
Subject: =?UTF-8?Q?Gl=C3=BCckwunsch=21=20Starten=20Sie=20die=20Umfrage?=
=?UTF-8?Q?=20jetzt=20und=20w=C3=A4hlen=20Sie=20Ihre=201=20Gewinne=21?=
From: «Denner» <christina@soundexpoaudio.com>
To: X
Sender: christina@soundexpoaudio.com
Reply-To: christina@soundexpoaudio.com
Date: 23 Jan 2019 X
List-Unsubscribe: <http://trisul.soundexpoaudio.com/ga/unsubscribe/X>
X-CampaignID: X
Message-ID: <X@soundexpoaudio.com>
X-Mailer-Info: X
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=»==X»
This is a multi-part message in MIME format.
—==X
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable
DENNER
Einer f=C3=BCr alle
Willkommen bei DENNER!
Wir haben 150 Konsumenten aus Switzerland, um an einer kurzen
Befragung von Denner teilzunehmen. Alle Teilnehmer werden (1)
optionale Belohnung erhalten.
Sie haben die Wahl zwischen Geschenkgutscheinen,
Elektronikartikeln und vielem mehr.
Ihr einmaliger Bonuscode lautet: DNR25
Klicken Sie auf Fortsetzen, um anzufangen
Starten Sie die Umfrage jetzt und w=C3=A4hlen Sie Ihre (1) Gewinne.
Fortsetzen ( http://trisul.soundexpoaudio.com/ga/click/X )
Aufgrund der hohen Nachfrage ist lediglich ein begrenztes
Angebot verf=C3=BCgbar.
Abmelden ( http://trisul.soundexpoaudio.com/ga/unsubscribe/X )=
====================================================