Newsgroup: it.news.net-abuse
Titolo: Cui prodest?

Quello che segue è un messaggio, ovviamente non richiesto e proveniente 
da vattelapescadove (Portogallo, un questo caso), che riporta nel campo 
from lo stesso indirizzo del destinatario e che sia nel subject che nel 
body ha *solo* un numero.
Posto che non pubblicizza nulla, che non ha allegati, che non ha 
immagini, cosa significa un messaggio del genere?
E' un tentativo per verificare se un account esiste?
E' un virus venuto male?
 From - Tue Jun 06 17:07:17 2006
X-Account-Key: account1
X-UIDL: 423580f200003cb6
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <AC...@BBB.CCC.TLD>
X-Original-To: AC...@BBB.CCC.TLD
Delivered-To: AC...@BBB.CCC.TLD
Received: from localhost (localhost [127.0.0.1])
	by AAA.BBB.CCC.TLD (Postfix) with ESMTP id 82BD130592
	for <AC...@BBB.CCC.TLD>; Tue,  6 Jun 2006 16:50:18 +0200 (CEST)
Received: from AAA.BBB.CCC.TLD ([127.0.0.1])
  by localhost (AAA.BBB.CCC.TLD [127.0.0.1]) (amavisd-new, port 10024)
  with ESMTP id 10406-02 for <AC...@BBB.CCC.TLD>;
  Tue,  6 Jun 2006 16:50:16 +0200 (CEST)
Received: from 
dgac344.com
 (unknown [195.23.124.182])
	by AAA.BBB.CCC.TLD (Postfix) with SMTP id BB8E51DAD1
	for <AC...@BBB.CCC.TLD>; Tue,  6 Jun 2006 16:50:16 +0200 (CEST)
Date: Tue, 06 Jun 2006 15:50:03 +0000
To: "Acct" <AC...@BBB.CCC.TLD>
From: "Acct" <AC...@BBB.CCC.TLD>
Subject: [SPAM] 557
Message-ID: <bcskuukbr...@BBB.CCC.TLD>
MIME-Version: 1.0
Content-Type: text/html; charset="us-ascii"
Content-Transfer-Encoding: 7bit
X-Virus-Scanned: by amavisd-new at BBB.CCC.TLD
X-Spam-Status: Yes, hits=8.5 tagged_above=3.0 required=5.3 tests=BAYES_00,
  HTML_MESSAGE, HTML_SHORT_LENGTH, MIME_HTML_ONLY, MSGID_SPAM_LETTERS,
  RAZOR2_CF_RANGE_51_100, RAZOR2_CF_RANGE_E4_51_100, RAZOR2_CHECK
X-Spam-Level: ********
X-Spam-Flag: YES
Status:
<html><body>
5556
<br>
</body></html>

 E' un virus venuto male?
Di fatto, non si sa. Probabilmente, è un test di funzionalità di qualche
tipo.
Qualcuno ha apparentemente notato che su installazioni di media
grandezza se ne son visti passare parecchi, a quanto pare senza
ripetizioni nell'IP sorgente.
Forse, quindi, test di penetrazione da parte di macchine appartenenti
alla stessa botnet.

 alla stessa botnet.
Cui prodest? In questo caso a me. La mail ha indirizzo mittente 
(falsificato) e destinatario (il mio del lavoro) identico. Ho appena 
scoperto che in questo modo è possibile bypassare il controllo 
antispam impostato da chi si occupa della nostra posta elettronica.
Che palle!

 Per pulire le proprie liste?
Ok, riformulo. Quella mail ha bucato il sistema antispam messo su da chi ci 
cura la posta elettronica del lavoro semplicemente perché l'indirizzo 
(falsificato) del mittente corrisponde a quello "rcpt to" e, di conseguenza, 
ad un utente noto al sistema. Di conseguenza: cui prodest (a chi giova)? In 
questo caso a me, perché ha evidenziato un problema che non mi era noto.
Ora devo cercare di farlo capire al "tennico".
P.s.: di quali liste parli?

 P.s.: di quali liste parli?
Ha avuto anche lui la stessa sensazione mia:
uno spammer (o detentore di lista indirizzi da spammare) che
fa un po' di list-washing, mandando una mail con soggetto numerico
crescente e segnandosi i bounce.
Quello che resta, e' una lista di indirizzi *funzionanti*, assai piu'
cari.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


A me č arrivato lo stesso testo, ovvero lo stesso numero.


MIME-Version: 1.0
Content-Type: text/html; charset="us-ascii"
Content-Transfer-Encoding: 7bit
<html><body>
5556
<br>
</body></html> 

 crescente e segnandosi i bounce.
Ricevuto anch'io, stesso numero...Pero' credo che i bounce andrebbero
al mio indirizzo, o sbaglio?.....Potrebbe essere un sistema per
'tracciare' fin dove il messaggio arriva: ad esempio, noi lo stiamo
postando su un newsgroup, lo spammer cerca il numero e trova che  c'e'
gente in italia che l'ha ricevuto...non saprei. Altre ipotesi da
boingboing.net
:
http://www.boingboing.net/2006/05/30/reader_feedback_on_b.html
"It looks like those messages have been automatically (via script)
posted on blogs and forums so that those people can harvest email
addresses. Later the addresses will be used for spamming and various
scams, mostly Nigerian variety."
cosa ne pensate?

 scams, mostly Nigerian variety."
Che bisogno ci sarebbe di postare ad una lista di indirizzi a spasso
su internet perche' altri li possano trovare, raggruppare, riordinare,
togliere i doppioni, etc.etc.?
Non facevano prima a mandargli la lista, che l'avevano gia'?


 Non facevano prima a mandargli la lista, che l'avevano gia'?
In effetti....Pero' potrebbe comunque essere un modo per capire che
'estensione' ha una lista magari appena comprata - tipo, compro una
lista a caro prezzo e voglio vedere se sono indirizzi buoni e dove sono
collocati nel mondo, fin dove arrivera' il mio spam. Ma la tua ipotesi
sul bounce mi sa che rimane la migliore.