yenerich,creo que solo teniendo en cuenta los referrer tampoco se soluciona el problema.
Si antes hacia esto:
www.sXnd-frXX-sms.us
Para evitar darle popularidad he cambiado el nombre (la direccion real se obtiene sustituyendo las X por e).
Al investigar el dominio y la IP obtengo:
Sponsoring Registrar: GO DADDY SOFTWARE, INC.
Domain Status: clientDeleteProhibited
Domain Status: clientRenewProhibited
Domain Status: clientTransferProhibited
Domain Status: clientUpdateProhibited
Si ahora entro en esa IP (82.211.39.133) se me abre una web distinta que intenta instalar algo:
La web es pXrtal.pine.rX
Para evitar darle popularidad he cambiado el nombre (la direccion real se obtiene sustituyendo las X por o).
Quizas haya que usar ambas cosas simultaneamente, IP y referrer.