Newsgroup: it.news.net-abuse
Titolo: Allegati "HTML.CAB"?

Da qualche tempo ho notato che vari spam che ricevo nelle mie spamtrap hanno il
testo HTML dello spam all'interno di un file con estensione "HTML.CAB".
Ovviamente la prima volta ho pensato ad uno dei worm virus, ma in realta'
analizzando il file si tratava realmente di un file CAB all'interno del quale
era presente, compresso, il file HTML vero e proprio.
Ora, posso anche immaginare che gli spammer intendano con questo cercare di
aggirare i filtri, ma la cosa mi sembra abbastanza idiota in quanto per poter
leggere il messaggio bisogna aprire il CAB, estrarre il file HTML ed aprirlo!
Non ho trovato nulla di particolare con Google (neanche nei newsgroup), ed
entrambe le possibili spiegazioni che mi sono venute in mente non mi convincono,
quindi chiedo a voi: vi risulta che sia veramente una tecnica adottata da
qualche spammer, oppure c'e' qualche server che "impacchetta" lo spam
trasofrmandolo in CAB? O cosa?
Inutile dire che NON uso alcun client per aprire le mail, ma il solo Blocco note
sul testo "raw" scaricato via Pop3 con il mio programma SpamCatcher, quindi non
puo' esserci "manipolazione" locale.
Una nota a margine, su un fatto apparentemente ignoto ma correlato: qualche
tempo fa (poco prima di notare la comparsa degli spam HTML.CAB)mi capito' di
ricevere da un amico un file (le solite vignette reperite chissa' dove o
ricevute dalla catenadisantantonio delle
battute/barze/vignette/filmatinipiuomenoporno ;-)) ed avendo notato che era un
CAB l'ho aperto e dopo aver estratto l'immagine JPG chiesi al mio amico perche'
diamine avesse compresso in un CAB un'immagine JPG (sia perche' inutile, visto
che non c'e' guadagno in termini di dimensione, sia perche' solitamente e' piu'
facile comprimere in ZIP!). La sua risposta e' stata "ma in non l'ho compresso
affatto!", al che ho iniziato a pensare ad interventi alieni e cose simili, ma
poi quando ho iniziato a vedere lo spam HTML.CAB ho collegato le due cose, ma
tuttora senza spiegarmelo.
Qualche idea?
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: dottoATdespammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE!     
http://www.spamterminator.it/


Subject: Norwich University graduate programs
Date: Sat, 24 Apr 2004 04:21:10 -0500
X-E: mfnbo66Albubnbjm/dpn
X-I: 10810.21253204
X-Rec: 
katamail.com
!leman55
Mime-Version: 1.0
Content-Type: multipart/mixed;       boundary=-10810.21253204
Status:
X-UIDL: A0gEvj00N47wVnwigqEj
---10810.21253204
Content-Type: text/plain; charset=ISO-8859-1
Content-Transfer-Encoding: 7bit
---10810.21253204
Content-Type: application/octet-stream;
 name="Norwich_University_graduate_pr--_0.html.cab";
 charset="ISO-8859-1";
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
  ...segue la codifica base64 del file CAB contenente il file HTML...
Idee?


 Qualche idea?
Beh, è semplicemente la spiegazione: cosa hai messo nel percorso fra
il tuo pop server e il tuo pc che "cabba" gli allegati delle email?
;-)
Fa' prove con altri mail reader e altre caselle e vedi chi è il
colpevole "cabbatore" a tradimento ;-)
bye Krmel
-- 
Questo messaggio ha eseguito un'operazione non valida e viene terminato.
Se il problema persiste, reinstallare tutti i partecipanti al newsgroup.

non puo' esserci "manipolazione" locale.
Altre idee?


 era presente, compresso, il file HTML vero e proprio.
Confermo che molti spam che ricevo sulle varie spamtrap hanno questi strani
allegati .HTML.CAB ma non sono riuscito ancora a trovare alcun nesso (ad esempio
una buona parte di questi sono stati ricevuti su caselle su Tiscali, ma non
cosi' tanti da poter affermare che sia Tiscali ad aver applicato questa strana
forma di "blocco" dello spam), quindi ripeto il mio appello:
vi risulta che sia veramente una tecnica adottata da qualche spammer, oppure
c'e' da qualche parte qualche server che "impacchetta" lo spam HTML
trasformandolo in un allegato .HTML.CAB?


 Altre idee?
Mi sfugge un passaggio: come hai fatto ad analizzare l'allegato se
l'email l'hai vista solo nella forma 'raw' col notepad (quindi non
decodificata)? L'hai decodificata con qualche altro programma?
Ad ogni modo per quanto non abbia mai visto .cab nelle email di spam,
puň benissimo essere un nuovo trucco degli spammer per cercare di
eludere i filtri.


 decodificata)? L'hai decodificata con qualche altro programma?
Si, certo, mi basta salvarla con estensione "eml" ed aprirla con Outlook Exprss.


 Si, certo, mi basta salvarla con estensione "eml" ed aprirla con Outlook Exprss.
Ehm... ma così annulli tutto il vantaggio dei passaggi fatti prima ;-)
Cmq non ho ipotesi su questo strano "cabbamento", finora non mi è
capitato, se ricevo qualche allegato in .cab lo farò presente.
