Newsgroup: it.news.net-abuse
Titolo: forse attacco SPAM , aiuto !!!

Ciao a tutti , č la prima volta che post sul news e spero almeno
sia il posto adatto per il mio problema ...
Ho sul mio server web un mailserver ocnfigurato con madaemon , e ieri
mi sono trovato con circa 80000 messaggi arrivati e altrettanti in coda per
essere processati , sembravano quelli che mdaemon cercava di spedire
indietro
al mittente ...
chiaramente non erano utenti o destinatari raggiungibili sul mio mail server
e quiindi penso per questo mademon creava i reply ......
Non ne ho la piů pallida idea di cosa si a successo , spero possiate
indicarmi come muovermi e dove trovare infi a riguardo ...
Ciao a tutti grazie in anticipo
Andrea

 e quiindi penso per questo mademon creava i reply ......
Quasi sicuramente uno spammer ha falsificato il tuo dominio come
mittente in un run, e quindi ora ti stai beccando i rimbalzi.
I numeri sono quelli tipici.   Direi che ad ogni dato istante abbiamo
sempre qualche dominio di cliente attaccato in questo modo e quindi
interventi protettivi da questi attacchi sono nella nostra routine
quotidiana.
Oggigiorno avere un mailserver direttamente esposto (ossia con l'MX
del dominio che punta direttamente a quel mailserver) significa
necessariamente aspettarsi questo tipo di eventi di tanto in tanto.
L'intervento numero 1 da fare e' proteggersi da una buona blocking
list per open relays e una buona blocking list per open proxies.
Infatti gli spammers che falsificano il sender su domini di terze parti 
sono gli stessi che trasmettono abusando server insicuri di altre terze 
parti.  Quindi, la maggior parte dei rimbalzi viene da servers
insicuri, che sono quasi sempre gia' noti e classificati.
L'uso della blocking list ti permette la rejection nella fase iniziale
della transizione SMTP, senza che il messaggio venga trasmesso.
Cosi' ti salvi banda e dischi, e contribuisci a aumentare il carico
sul server abusato (se e' un relay) -- cosa buona e giusta, per farlo
collassare piu' velocemente in modo che cessi di arrecare danno alla rete.
Dopo questo intervento una frazione di rimbalzi continua ad arrivare.
[ tipica AOL, che non si protegge molto bene dai server abusati e 
  effettua la rejection per user unknown in un secondo stadio - cosicche'
  se ne va diritta al mittente falsificato da un loro server.  Ma ci sono 
  anche altri organzizati cosi' ].
Se gli indirizzi falsificati a cui sono diretti i rimbalzi sono tutti
uguali, si puo' bloccare quelli.  Altrimenti, si puo' cercare di
individuare una regular expression che li accomuni e bloccare su quella.
Di nuovo, e' essenziale bloccare prima della fase DATA, in modo da
non usare ne' banda ne' dischi.
Se i messaggi non sono accettati un mailserver ha tipicamente una
notevole capacita' di assorbire questo tipo di attacchi [ ma non
ho esperienza diretta con mdaemon ].
Vedi anche 
http://www.ja.net/mail/junk/collateral.html
  per qualche
altro consiglio.
--
furio ercolessi
http://www.spin.it/spam/

Ciao furio e grazie priam di tutto per la risposta ,
chiaramente non ho capito proprio tutto nei minimi
particolari ma in linea di massima è chiaro il concetto ...
quindi:
-dovrei usare un latro IP diverso da quello del webserver )
non penso mi sia possibile....
-dovrei utilizzare le blocklist ?
su Mdaemon ci sono delle opzioni da impostare che utilizzano
già dei server per le blocklist ( tra l'altro l'opzione era attiva !!!)
-filtrare i messaggi ?
dopo questo attacco ho impostato mdaemon in modo che i file
che giungono al mio smtp non vengano processati e vengano cancellati .
Ho filtrato anche i server da dove arrivavano i messaggi , ho fatto bene ?
Il server di posta lo utlizzo solo per ricevere , l'smtp viene utilizzato da
alcuni siti sul mio server per form di contatti o altro .....
Un altra cosa strana che ho notato e che arrivano sempre + di frequente dei
messaggi inviati penso tramite NET SEND al mio IP .
Come posso evitare ciò !!!!
Cazzo ma il mio server è proprio un groviera ????
bye
Andrew

 alcuni siti sul mio server per form di contatti o altro .....
Allora ti basta bloccare l'accesso al servizio SMTP a qualsiasi IP che
non sia il tuo.
Ti consiglio di farlo immediatamente, altrimenti sei il classico "relay
open" e dopo questo primo attacco ne subirai sempre piu' spesso, fino a
che il tuo IP non finisce in una blacklist con le conseguenze che puoi
immaginare...
-- 
Ciao!
   Alex Palmese
--- Per scrivermi: 
do...@despammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

collassare piu' velocemente in modo che cessi di arrecare danno alla rete.
Se lo SPAMMER (A), invia un messaggio a (C), usando un oper relay (B),
ed usando come indirizzo e-mail fake del mittente, l'indirizzo (D), le
e-mail di risposta, arrivando direttamente a (D), che naturalmente non
e` in nessuna blocking list, cosi` come non lo saranno i vari (C),
ergo quello che hai detto vale solo per limitare il danno in senso
generale, ma non per inviare i rimbalzi su (D).
Fatti un giretto in ginocchio sui ceci, va!

Ciao Alex e grazie per la risposta ,
sei stato molto chiaro sul da farsi ,
sai come sia possibile farlo su Mdaemon , o comunque sia
su un server W2k ?
Vorrei evitare i problemi di cui parlavi e che qualcuno utilizzasse il
mio server per fare spamming ad altri !!!
grazie e ciao
Andrew

 mio server per fare spamming ad altri !!!
Installa un firewall software e disabilita l'accesso dall'esterno per
tutti gli IP e protocolli tranne quelli che desideri realmente rendere
disponibili (forse lascerai aperta solo la porta 80 ossia l'http).
In piu' i mail server hanno spesso impostazioni relative a limitazioni
sull'accesso (elenco o range di IP da consentire/negare, ossia
"allow/deny" in molte configurazioni), magari fai comunque anche questo.


 wrote in message
news:Z8mba.53087$zo2.1...@news2.tin.it...


 Scusa per le troppe domande ,  ma sono molto profano in materia ...
Di nulla.
Come puoi notare dalla mia firma, sono sensibile a problemi di sicurezza
e privacy...;-)) Ora pero' proseguiamo in email perche' stiamo
scivolando verso l'off-topic per questo NG (l'indirizzo e' quello che
trovi in firma, non rispondere direttamente a questo messaggio!)


ZoneALrm o tiny PF , che ne dici ?
se hai 1 pc che  ti avanza (anche vecchiotto) puoi installarti un paio
di schede di rete e  Linux+IPtables.
il tuo problema non è molto complesso e quindi non avrai grosse
difficoltà a configurarlo (ma fallo con attenzione e "deny any
any"-compliant).
su internet trovi 1 sacco di documentazione e NG a riguardo.
ciao
-- 
Marco
"I trolls sono stupidi. Gli spammers pure. [vedi Regola 1]"

ma non per inviare i rimbalzi su (D).
Evitare, volevo dire evitare.



L'altra settimana ho avuto una sfilza di email inviate al mio dominio con
caselle inesistenti ma plausibili (
ma...@tosnet.it
, 
pa...@tosnet.it
 ecc):
qualche ora di superlavoro del server che mi ha incasinato il syslog..
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchč sapeva contare fino a 20.
	Nudo fino a 21

 generale, ma non per inviare i rimbalzi su (D).
spesso le liste degli spammer contengono di tutto, inclusi una marea
di MX inesistenti, per esempio raccolti dai Message-ID dei post di
usenet. 
-- 
ciao | Google ti permette un link corto ai thread nei newsgroup.
cf   | Basta seguire il link [view thread], accorciare l' URL a 
-----+ 
http://groups.google.com/groups
? seguita dal numero di thread li`  
visibile, composto da 'th='seguito da un numero e da '&', che va escluso.

 Fatti un giretto in ginocchio sui ceci, va!
saro` io che sono strano, ma prima di mandare in ginocchio sui ceci
uno che nella stessa frase che a me sembra errata ha appena detto che
vede queste situazioni praticamente tutti i giorni, ci penserei su un
bel po', non fosse altro per evitare di fare io la figura di quello
che dovrebbe stare genuflesso sullo scomodo legume.
-- 
ciao | Siti web utili su Usenet: Zvon RFC repository .
cf   | Le RFC sono la sapienza di Internet, ma e` difficile trovare subito
-----+ quello che  si  cerca.  Oggi  esiste  un archivio con tutte le RFC
ordinate e in HTML: 
http://zvon.org/tmRFC/RFC_share/Output/index.html
 

 usenet. 
Mi auto f/up perche` avevo dimenticato il caso piu` comune in cui il
server di C se e` protetto da una DNSBL probabilmente sbatte la porta
in faccia all'oper relay B prima del comando DATA, il quale B poi
rimbalza la mail a D.
-- 
ciao | Antispam in pillole: (LART 1)  Luser  Attitude Readjustment Tool;
cf   | La  segnalazione  al  provider  dello  spammer, l'unico mezzo che 
-----+ abbiamo a disposizione per combattere attivamente lo spammer. Nel 
numero l'efficacia del  LART  e`  devastante, fai anche tu la tua parte!

 Fatti un giretto in ginocchio sui ceci, va!
Ne ho gia' fatti un po' alcuni anni fa ;)
Lui e' (D), e se usa le blocking lists non accetta messaggi da (B):
ne' gli spam diretti, ne' i rimbalzi di spam inviati ad altri con mittente
falsificato.   Gli unici rimbalzi che riceve avvengono, come ho detto,
quando (C) accetta la transazione e fa un reject in seguito.
La sequenza per chiarezza:
- (A) deposita il messaggio nella coda di (B) con mittente (D) e
  destinatario (C)
- (B) contatta il server (C) e riceve immediatamente un 5xx, 
  (user unknown, o causa blocking list, o altro).  Viene generato un DSN.
- (B) contatta il server (D) per la consegna del DSN al mittente
  apparente - (D) da' immediatamente un 5xx perche' (B) e' in una
  blocking list essendo un open relay.
- si genera un altro DSN "double-bounce" che non puo' andare da
  nessuna parte, e probabilmente va nel postmaster locale  -->
  occupazione di bytes sul disco di (B).


che dovrebbe stare genuflesso sullo scomodo legume.
Anche io li vedo tutti i giorni e sono sicuro che ha commesso un
errore, non so se nell'esprimersi, o proprio concettuale. Errare e`
umano, comunque. Ci rammenta che e` meglio non darsi troppe arie...
:-)

qualche ora di superlavoro del server che mi ha incasinato il syslog..
Il mio mailserver gli avrebbe detto solo di andare a casa. E poi ho
appena aumentato lo spazio disco per la posta e i log, ora non ho idea
di cosa potrebbe creargli problemi. Poi, superlavoro, al limite
raggiunge il 100% di CPU, che non e` un problema, visto che sta sempre
al 2%.



Si, cosi` e` giusto, penso che sia ancora affetto da bug, ma diciamo
che e` giusto. Vado a fare un giro sui ceci, poi magari li metto in
ammollo e li cucino. :-)