Newsgroup: it.news.net-abuse
Titolo: [STATISTICHE] spam rifiutato da attila.bofh.it (dicembre 2004)

Queste sono le statistiche aggregate dello spam rifiutato da
attila.bofh.it
 tra queste date:
Dec 5 06:51:39
Jan 2 06:50:25
Al momento della generazione di queste statistiche, il server era
protetto (nell'ordine) da queste DNSBL:
sbl-xbl.spamhaus.org
list.dsbl.org
dnsbl.njabl.org
korea.services.net
dul.dnsbl.sorbs.net
l1.spews.dnsbl.sorbs.net
 541877 54.31% Bad HELO
 218543 21.91% DNSBL 
xbl.spamhaus.org
 106312 10.66% DNSBL 
dul.dnsbl.sorbs.net
  28497  2.86% DNSBL 
dnsbl.njabl.org
  25043  2.51% DNSBL 
list.dsbl.org
  23203  2.33% Recipient address rejected
  12407  1.24% Sender address rejected
  12303  1.23% Relay access denied
   7996  0.80% header checks
   7120  0.71% Client host rejected
   5087  0.51% DNSBL 
korea.services.net
   2997  0.30% DNSBL 
sbl.spamhaus.org
   2615  0.26% body checks
   2027  0.20% DNSBL 
l1.spews.dnsbl.sorbs.net
   1618  0.16% Need FQDN address
     35  0.00% Need FQDN address (recipient)
      4  0.00% Bad pipelining
 997684        TOTAL
Rejected headers:
   5632 70.44% no executable attachments allowed
   1151 14.39% Your mailer is not RFC 2047 compliant
    808 10.11% Gibe-F/Swen.A worm
    222  2.78% keep your viruses for yourself (ZIP)
    170  2.13% do not send stupid bounces
      8  0.10% Message content rejected
      5  0.06% keep your viruses for yourself (W32/Zafi.D)
Rejected bodies
   1645 62.91% suspicious .zip file detected
    729 27.88% keep your viruses for yourself (hidden iframe)
    177  6.77% do not send stupid bounces
     61  2.33% keep your viruses for yourself (bmp attachment)
      3  0.11% others (1 different)
Rejected HELO commands
 430062 79.37% fake IP literal in HELO hostname
  91755 16.93% using my own HELO hostname
  18000  3.32% unqualified HELO hostname
   1510  0.28% forged HELO hostname
    550  0.10% Invalid name
Popular DNSBL listings
    593 12.13% SBL 15575
    455  9.31% SPEWS 703 (misc16)
    194  3.97% SPEWS 1297 (
Telesp.net.br
)
    156  3.19% SPEWS 3134 (SBC)
    139  2.84% SBL 21233
    130  2.66% SBL 17295
    124  2.54% SPEWS 2963 (comcast/attbi)
    111  2.27% SBL 13870
    101  2.07% SBL 21792
    100  2.05% SPEWS 3163 (shawcable)
     92  1.88% SPEWS 423 (Seanamedia/top555/vxhosting)
     84  1.72% SBL 16796
     83  1.70% SBL 20719
     77  1.58% SBL 22275
     74  1.51% SBL 21706
     69  1.41% SBL 21868
     64  1.31% SBL 21440
     60  1.23% SBL 16886
     59  1.21% SPEWS 3150 (tiscali)
     54  1.10% SBL 20053
   2068 42.32% others (312 different)
Popular local source-based rejections
   4095 57.51% non accettiamo posta da IP dinamici
   2950 41.43% Too much spam from CHINANET
     40  0.56% Too much spam from 
ethome.net.tw
     18  0.25% Too much spam from 
gwbn.net.cn
     13  0.18% Too much spam from 
chinamobile.com
      4  0.06% others (2 different)
Most rejected hosts
   4095 57.51% non accettiamo posta da IP dinamici
   2950 41.43% Too much spam from CHINANET
     75  1.05% others (5 different)
Most rejected networks
  20383  2.07% 
68.88.0.0/13
  20339  2.06% 
222.96.0.0/12
  15265  1.55% 
4.0.0.0/8
  13691  1.39% 
82.224.0.0/11
  12188  1.23% 
194.44.192.0/21
  11914  1.21% 
211.208.0.0/13
  11769  1.19% 
221.144.0.0/12
  11691  1.18% 
218.232.0.0/13
  11260  1.14% 
218.48.0.0/13
  10616  1.08% 
211.224.0.0/13
   9396  0.95% 
211.216.0.0/13
   8996  0.91% 
218.144.0.0/12
   8557  0.87% 
211.200.0.0/13
   8335  0.84% 
80.128.0.0/11
   7836  0.79% 
217.224.0.0/11
   6769  0.69% 
221.140.0.0/14
   6660  0.67% 
61.32.0.0/13
   6626  0.67% 
219.248.0.0/14
   6399  0.65% 
221.160.0.0/13
   6311  0.64% 
80.82.32.0/19
   6249  0.63% 
81.32.0.0/12
   6009  0.61% 
83.0.0.0/11
   5940  0.60% 
220.120.0.0/13
   5894  0.60% 
211.192.0.0/13
   5766  0.58% 
195.49.148.0/22
   5598  0.57% 
222.232.0.0/13
   5469  0.55% 
220.80.0.0/13
   5319  0.54% 
212.154.128.0/17
   5222  0.53% 
217.216.0.0/15
   5050  0.51% 
81.128.0.0/11
   4985  0.51% 
220.88.0.0/13
   4950  0.50% 
61.72.0.0/13
   4794  0.49% 
220.72.0.0/13
   4651  0.47% 
217.80.0.0/12
   4455  0.45% 
83.32.0.0/13
   4437  0.45% 
61.80.0.0/14
   4194  0.42% 
211.176.0.0/14
   4166  0.42% 
84.96.0.0/13
   4004  0.41% 
211.186.0.0/15
   3897  0.39% 
61.98.0.0/15
   3815  0.39% 
82.120.0.0/13
   3787  0.38% 
222.112.0.0/13
   3782  0.38% 
84.128.0.0/11
   3728  0.38% 
83.152.0.0/13
   3707  0.38% 
213.41.0.0/17
   3577  0.36% 
61.84.0.0/15
   3472  0.35% 
80.32.0.0/13
   3438  0.35% 
151.16.0.0/12
   3320  0.34% 
219.240.0.0/15
   3318  0.34% 
221.138.0.0/15
   3308  0.34% 
80.180.0.0/14
   3296  0.33% 
218.160.0.0/12
   3285  0.33% 
82.64.0.0/15
   3221  0.33% 
81.72.0.0/15
   3184  0.32% 
82.32.0.0/12
   3148  0.32% 
213.6.0.0/15
   3115  0.32% 
213.37.0.0/16
   3060  0.31% 
12.0.0.0/8
   3048  0.31% 
68.18.0.0/18
   3013  0.31% 
211.104.0.0/14
   3008  0.30% 
219.254.0.0/15
   2885  0.29% 
81.64.0.0/14
   2863  0.29% 
80.228.0.0/16
   2786  0.28% 
218.38.0.0/15
   2610  0.26% 
82.52.0.0/14
   2511  0.25% 
213.156.32.0/19
 586734 59.44% others (13864 different)
Most rejected AS
 130810 13.25% 4766
  84591  8.57% 9318
  43584  4.42% 7132
  25147  2.55% 3320
  24620  2.49% 9277
  21999  2.23% 12322
  20679  2.09% 3352
  20389  2.07% 4134
  19667  1.99% 3269
  19387  1.96% 3786
  15915  1.61% 3356
  12230  1.24% 3255
  12048  1.22% 3215
  10552  1.07% 4837
   9228  0.93% 16338
   8677  0.88% 5617
   8097  0.82% 3462
   8070  0.82% 20115
   8062  0.82% 12874
   7769  0.79% 6830
   7692  0.78% 6327
   7264  0.74% 4670
   7119  0.72% 6478
   6526  0.66% 6739
   6348  0.64% 9457
   6311  0.64% 21017
   6294  0.64% 27699
   6205  0.63% 2856
   5766  0.58% 25533
   5569  0.56% 9198
   5522  0.56% 1267
   5330  0.54% 12356
   5268  0.53% 15557
   5167  0.52% 9908
   5042  0.51% 8151
   4885  0.49% 9848
   4567  0.46% 5430
   4558  0.46% 17676
   4331  0.44% 9304
   4117  0.42% 7018
   4000  0.41% 3243
   3990  0.40% 8220
   3952  0.40% 12876
   3745  0.38% 209
   3743  0.38% 22909
   3642  0.37% 5486
   3554  0.36% 6678
   3458  0.35% 11427
   3380  0.34% 5462
   3353  0.34% 8167
   3292  0.33% 9143
   3282  0.33% 8551
   3279  0.33% 4230
   3273  0.33% 6380
   3084  0.31% 4713
   2946  0.30% 9145
   2930  0.30% 22291
   2810  0.28% 7738
   2645  0.27% 3257
   2605  0.26% 9121
 294704 29.86% others (4318 different)
-- 
ciao,
Marco

 Jan 2 06:50:25
(CUT)
Interessante la nuova versione "arricchita" delle statistiche...
hai elaborato un nuovo script che può essere reso pubblico ed utilizzato?
Ciao
-- 
Alex

    3060  0.31% 
12.0.0.0/8
Bye-bye at&t
furio

Spazi nei token utf-8 o c'e' anche dell'altro?
Mooolto più banale:
/^Subject: .*[^[:print:]]{8}/   REJECT Your mailer is not RFC 2047 compliant
Di solito è spam russo o koreano, e a occhio una volta era molto di più.
Nota che dove possibile ho aggregato le reti annunciate dallo stesso
ASN, sarebbe interessante rifare i conti con la tabella di routing
normale per vedere se ci sono prefissi in cui gli spammer si concentrano
(sospetto di sì, tranne che per i grandi pool dinamici residenziali).
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

hai elaborato un nuovo script che può essere reso pubblico ed utilizzato?
Ora sì: 
http://www.linux.it/~md/software/spam-stats.pl.gz
 .
Come sempre è un programma DWIM, e se vuoi avere anche le statistiche su
reti e AS devi fornirgli il dump di una tabella di routing (righe nel
formato "prefisso/lunghezza ASN").
Se non ne hai uno sottomano e riesci a capire come funzionano, puoi
generarlo usando gli script in
http://www.linux.it/~md/software/zebra-dump-parser.tgz
 .


 Di solito č spam russo o koreano, e a occhio una volta era molto di piů.
Ok, aggiungo allora la ricetta che ho cucinato per gli utf-8 e che (dopo
qualche aggiustamento ..) sembra essere solida per utilizzo in produzione:
/^Subject:.*\=\?utf\-8\?[bBqQ]\?[^\?]*\s[^\?]*\?\=/     REJECT Your mailer is not RFC 2047 compliant
L'idea centrale e' che un token codificato non puo' contenere ne'
spazi ne' punti di domanda, cosicche' uno spazio prima che il token
venga chiuso da ?= e' illecito, mentre invece qualcosa tipo
	Subject: =?utf-8?q?Rolex,?= and =?utf-8?q?Cartier?=
e' RFC-conforme.
furio

     /^Subject:.*\=\?\w+\?[bBqQ]\?.{76,}\?\=/
Dalla RFC si direbbe che il limite e' sulla encoded word, che
quindi comprende anche charset, encoding e separatori.  Il 76 e' 
quindi sovrabbondante e si puo' togliere direi almeno 8.
Tuttavia mi pare che la tua regexp matchi anche linee valide come
Subject: =?utf-8?q?pippo?= stringa-molto-lunga =?utf-8?q?pluto?=
perche' .{76,} matcha
	pippo?= stringa-molto-lunga =?utf-8?q?pluto
(per valori sufficientemente lunghi di stringa-molto-lunga :-)
Riassumendo, la regexp che proponi potrebbe essere allora corretta in
/^Subject:.*\=\?[\w\-]+\?[bBqQ]\?[^\s\?]{68,}\?\=/
furio

 quindi sovrabbondante e si puo' togliere direi almeno 8.
Quel filtro appena inserito ha beccato una encoded word di 88
caratteri da una lista di Yahoo:
Subject: [TDMitalia] =?iso-8859-1?q?Ogg:_[DAKAR]_Meoni_vince,_3=B0_in_classifica_generale_e_TDM=3F=3F=3F=3F?= 
furio

 caratteri da una lista di Yahoo:
  |..|  ? ?
  c >| ?   
   \'/     
   /><\   È una cosa bella o brutta? :D
Ciao.
-- 
  __   __  __  |      |_/ .'_`.    .-.   | |         WWW   \o/   \V/
 / /\_/  '´ /\ |    __(") .(").,-./(")\ (" )_.-      (')   (')   (')
/____/_/¯|_/ / |  /( _ )   | L .O' / \   (|||)     %-J | $-J | &-J |
\____\_\/\_\/  |   // \\   | | |_| | |   // \\       | |   | |   | | lm

    /><\   È una cosa bella o brutta? :D
Brutta perche' non ho nessuna evidenza che quella mail fosse spam,
e ritengo molto probabile che non lo fosse.  Dopo di quella ho visto
un'altra violazione da 
mail.ideurope.net
 [80.64.11.170], e di nuovo
non sembra trattarsi di spam, per cui mi sembra che di fatto questa 
regola sulla lunghezza non possa essere messa in produzione.
Ho comunque aperto un caso con Yahoo riguardo alla loro violazione.
furio

 Ho comunque aperto un caso con Yahoo riguardo alla loro violazione.
Yahoo mi dice in sostanza che il Subject era gia' rotto nel messaggio che
e' stato inserito nel loro sistema (Yahoo-Groups) per la ridistribuzione,
e loro si sono limitati a passarlo avanti cosi' come stava.
In verita' ci sono diversi mailservers che si prendono la briga di
sistemare magagne nei messaggi presentati loro dai client (esempi:
inserzione di campi Message-Id o Date mancanti), e quindi in principio
anche questo potrebbe essere sistemato, ma tant'e'.
Per quanto mi riguarda la conclusione (per ora) e' che questa regola
sulla lunghezza delle encoded-words ferma al momento pochissimo spam,
e causa un discreto numero di falsi positivi dovuti a mail emesse da
clients scritti coi piedi (o altri organi) che non rispettano RFC2047.
Non ritengo quindi opportuno metterla in produzione, almeno a livello
di servers di ISP.
furio