Newsgroup: it.news.net-abuse
Titolo: dictionary attack da Cina e antispam*dcb.hz.zj.cn

Serve segnalare attacchi da dizionario o tentati invii su più account da
IP che su APNIC hanno come abuse 
anti...@dcb.hz.zj.cn
 ?
Mi arriva sta roba:
Sab, 2 lug 2005 06:30:08 +0200  Receive failed from
annab...@hotpop.com
 at [60.177.19.153] (60.177.19.153), recipient
*@
onenet.it
 not known.
Sab, 2 lug 2005 06:30:08 +0200  Receive failed from
annab...@hotpop.com
 at [60.177.19.153] (60.177.19.153), recipient
*@
onenet.it
 not known.
Sab, 2 lug 2005 06:30:08 +0200  Receive failed from
annab...@hotpop.com
 at [60.177.19.153] (60.177.19.153), recipient
*@
onenet.it
 not known.
Sab, 2 lug 2005 06:30:38 +0200  Blocked message with 8bit characters in
the headers from 
annab...@hotpop.com
 at [60.177.19.153] (60.177.19.153)
Sab, 2 lug 2005 06:32:10 +0200  Receive failed from
dunk...@gamebox.net
 at [220.164.36.34] (220.164.36.34), recipient
*@
onenet.it
 not known.
Sab, 2 lug 2005 06:32:10 +0200  Receive failed from
dunk...@gamebox.net
 at [220.164.36.34] (220.164.36.34), recipient
*@
onenet.it
 not known.
Sab, 2 lug 2005 06:32:10 +0200  Receive failed from
dunk...@gamebox.net
 at [220.164.36.34] (220.164.36.34), recipient
*@
onenet.it
 not known.
60.177.19.153 è CHINANET-ZJ Hangzhou node network
220.164.36.34 è CHINANET yunnan province network
Faccio notare che entrambi i tentativi di inoltro hanno come destinatari
gli stessi account, di cui 2 non sono più attivi almeno da un paio
d'anni e uno era un nome a caso, "franci" per la precisione.
C'è qualche controindicazione a bloccare ampi range di queste reti ?
Gabriele

 lamenterà..
Dipende da chi sei.  Un ISP deve accertarsi di bloccare solo broadband/
dialup residenziale (che e' la maggioranza dello spazio), evitando 
server farm e aree business - altrimenti l'utenza che corrisponde
con la Cina giustamente si irrita  (industria elettronica, di
abbigliamento, di manufatti plastici, alimentare, spedizionieri, ...)
furio


Io questo intendevo e su questo chiedevo consiglio ;)
Se serve, io anche scrivo a quell'indirizzo abuse, basta che poi
facciano qualcosa.
Se non serve, bloccherei intanto gli ultimi 255 IP.
Altrimenti hai suggerimenti pratici ?
Grazie,
Gabriele

 sono molti) come ti comporteresti, giusto per curiositą?
Puoi togliere il condizionale, visto che e' routine quotidiana :-)
Bloccare naturalmente si', ma appunto avendo cura di evitare di
prendere dentro inavvertitamente dei mail servers.  Lo spam che 
esce da _mail server_ cinesi (in contrasto con quello da PC trojaned o
di utenti che fanno direct-to-MX)  e' piuttosto modesto, anche 
considerando lo spam in lingua cinese che e' quasi tutto direct-to-MX,
e quindi la maggior parte delle sorgenti _sono_ bloccabili, ma occorre 
fare attenzione.
Ad esempio, l'altro giorno sono stato colpito da questo campione:
http://groups.google.to/groups?selm=20050630114941.GL5934%40spin.it&oe=UTF-8&output=gplain
La sorgente, nonostante (!) la singola linea Received, la mancanza di rDNS 
e il non-ascolto sulla porta 25, e' un server di 
163.com/netease.com
e se uno blocca quegli IP causa devastazione  ... netease/
163.com
ha un numero di utenti pari a circa l'intera popolazione italiana.
Ma dopo un po' di anni che uno fa questo lavoro meschino, vede 202.108.* 
e sa di istinto che e' una server farm a Pechino :-)
I LART agli ISP che non rispondono dovrebbero inoltre essere 
archiviati su nanas, in quanto forniscono evidenza per eventuali
escalation di blocking lists.
furio


Ora la stessa identica cosa mi arriva da 81.192.108.195, stesso pattern,
ossia i tre indirizzi e-mail errati.
Vorrei capire due cose:
1) sono macchine trojanizzate (e nel caso come segnalare adeguatamente
questa adsl su 81.192.108.195) oppure
2) spammer all'opera su loro pc che usano la stessa raccolta di
indirizzi ?
Sto notando anche da un po' di giorni un arrivo da più parti di
tentativo di inoltro tramite ns dominio con account che però non ci sono
(administrator, mail, support, info). Ciò accade similmente all'esempio
di prima, a gruppi di 2/3.
Gabriele