Newsgroup: it.news.net-abuse
Titolo: Apple


Subject: 81.42518 Apple Store Notice
MIME-Version: 1.0
Content-Type: text/html; charset=us-ascii
Content-Transfer-Encoding: 7bit
<html>
 <head>
  <title></title>
 </head>
<body bgColor=#FFFFFF>
<font color=#3C5883 face=Arial size=6>Apple Store</font><br />
 <font color=#3C5883 face=Arial size=3>Call 1-800-MY-APPLE</font>
  <br />
 <br />
<hr /><br />
<font color=#000000 face=Arial size=3>
#8178-22796196<br />
<a href="
http://oriyal.com/contact.html
"><b>Order Status</b></a><br />
</font><br />
You can also contact <b>Apple Store Customer Service</b> or visit online 
for more information.<br />
<hr /><br />
<font color=#000000 face=Arial size=1>
Visit the Apple Online Store to purchase Apple hardware, software, and 
third-party accessories.<br />
Copyright 2010 Apple Inc. All rights reserved.
</font>
</body>
</html>
-- 
Sans

 non avevo mai visto prima un phishing a spese di Apple, con mittente
E nessun altro lo vedrà. Hanno già cambiato il contenuto della pagina
(qualunque esso fosse) con uno dei soliti spacciatori di viagra ...
Bellissima la traduzione italiana delle regole per la spedizione
"Shipping policy" con "Politica marittima". Per il resto il dominio
ora punta a 
http://ultimatemedspaint.com/
 dove l'order form ti porta a
dare il numero di carta di credito su transazione non sicura verso un
IP cinese (119.88.56.123)
Al di là delle sottili disquisizioni fra phish e spam ... spero
proprio che pochi cadano in una truffa così evidente e mal congegnata.
Da evitare assolutamente qualsiasi tentativo di LART dato che l'ISP è
quasi sicuramente connivente con i criminali.

 coreano, return cinese (che già il dominio...) e link israeliano:
Non è un vero phishing.
E' normalissimo botnet-spam per pilloline (Canadian Pharmacy), che
camuffa le mail di invio per farle apparire come mail di Apple, Amazon, etc.
I siti target sono crackati (credenziali FTP scopacchiate) su cui viene
installato un redirect verso il sito dello spammer.
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 E' normalissimo botnet-spam per pilloline (Canadian Pharmacy),
si vede che i filtri puliscono bene, erano mesi che non ne vedevo uno...
oppure la presenza di "Apple" ha cambiato il peso nei bayes (ho un account 
ADN).
-- 
Sans


Possibile: quello spam non contiene alcun riferimento a pillole nel
testo, e il link non punta ad un sito relazionato a pilloline, bensì
appunto ad un sito crackato.
Pochi appigli per un approccio "contenutistico": o filtri sulla sorgente
(e/o il relativo received-path) o filtri su quel link.


 </html>
... si ritrovano due ulteriori appigli.
Il primo è il sito linkato:
Blocked, 
zelnet.ru
 on lists [ab][jp], See: 
http://www.surbl.org/lists.html
Oppure, se ti piacciono le cose un po' più complicate:
[...] Hostname 
belaya.zelnet.ru
 resolving to 80.92.97.13
[...] IP 80.92.97.13 NOT listed by 
sbl.spamhaus.org
[...] IP 80.92.97.13 NOT listed by 
spamhosting.spin.it
[...] Nothing to do with 
belaya.zelnet.ru
 at the moment, checking a
little deeper
[...] 
http://belaya.zelnet.ru/keystrokes.html
 redirects to
http://ultimatemedspaint.com
 (via Body)
[...] 
http://belaya.zelnet.ru/keystrokes.html
 is a redirect to
http://ultimatemedspaint.com
, so examining this one now...
[...] Hostname 
ultimatemedspaint.com
 resolving to 119.88.56.123
[...] IP 119.88.56.123 is listed by 
sbl.spamhaus.org
[...] IP 119.88.56.123 is listed by 
spamhosting.spin.it
[...] Hostname 
ultimatemedspaint.com
 listed by 
sbl.spamhaus.org
spamhosting.spin.it
[...] Listing 
belaya.zelnet.ru
 for URL
http://belaya.zelnet.ru/keystrokes.html
Infine, questa è una tipica tipologia di spam (come buona parte dello
spam da botnet) per la quale un approccio basato sul templating (ovvero
una regex che matcha il body basandosi sulla sua parte invariante, per
dirla semplice) è estremamente efficace e non sbaglia praticamente mai...


 Infine, 
grazie del suggerimento. Facciamo che ti devo una bevuta, magari se si 
unisce anche Gabriele, si potrebbe fare da Giovanni, con un poco de 
coto... ;-)
-- 
Sans

oggi di nuovo, con altri indirizzi. Filtrare su quel from non è possibile.
Ma anche si': i messaggi da 
store.apple.com
 arrivano tutti da 
17.0.0.0/8
e passano da una delle macchine di relay di Apple (relay*.
apple.com
).
Leonardo check_for_forged_received_trail()
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 Leonardo check_for_forged_received_trail()
Mmhh dici che rigettando qualsiasi from '@
apple.com
' e nel contempo
whitelistando i range di Apple, si va sicuri?
ciao,
Gabriele


zarathustra:~ skull$ dig txt +short 
apple.com
"v=spf1 ip4:
17.0.0.0/8
 ~all"
Se poi si va sicuri o meno dipende se ricevi mail oggetto di forwarding
o no, come sempre quando c'è di mezzo 'sto approccio...


 o no, come sempre quando c'è di mezzo 'sto approccio...
No, non intendo con SPF.
Comunque per sicurezza mi farò spedire una email da un contatto in
Apple Italia, così verifico se tutti gli account @apple passano sempre
e per forza dagli USA o no.
ciao,
Gabriele

 No, non intendo con SPF.
Infatti ho parlato di "questo approccio".
SPF � solo un framework con cui pubblicare le informazioni
sull'associazione dominio/rete.
Che poi il check tu lo effettui guardando direttamente il record SPF o
mantenendo un ruleset scritto a mano, agli effetti del check e delle sue
implicazioni in termini di potenziali FP non cambia nulla.


 Ma anche si':
non dubito, ma nella affermazione avevo omesso un "mi"
(quell'account, ex-cciaa e unico su cui mi arrivano, ï¿œ su un server 
infostrada e lo leggo via IMAP dalla macchina che capita).
-- 
Sans

infostrada e lo leggo via IMAP dalla macchina che capita).
Opppss :-D
Leonardo
