Newsgroup: it.news.net-abuse
Titolo: spam apparentemente da mailer daemon

Ho ricevuto uno spam (sfuggito a spamassassin) configurato come una 
notifica di mailer-daemon ma con il body vuoto e contenente un 
attachment "transcript.zip"
La header era cosi' strutturata (ho "anonimizzato" le parti relative al 
mio indirizzo e al nostro dominio e relativo MX), ossia lo spammer si 
era collegato direttamente al nostro MX facendo finta di essere il 
nostro dominio
Received: from ourmx.ourdomain (ourmx.ourdomain
     [155.253.x.y])
     by mymachine.ourdomain (8.13.1/8.13.4/SuSE Linux 0.7) with ESMTP
     id o3PFtm7N019941
     for <myad...@mymachine.ourdomain>; Sun, 25 Apr 2010 17:55:48+0200
Received: from ourdomain (localhost [113.167.75.53] (may be forged))
     by ourmx.ourdomain (8.13.1/8.13.1/SuSE Linux 0.7) with ESMTP
     id o3PFtdXf004504
     for <myaddress@ourdomain>; Sun, 25 Apr 2010 17:55:42 +0200
From: "MAILER-DAEMON" <noreply@ourdomain>
To: myaddress@ourdomain
Subject: Delivery reports about your e-mail
Abbastanza facile da non ingannare almeno uno come me (e' diverso da un 
messaggio vero di mailer daemon), ma sono riluttante a darlo in pasto al 
sa-learn di spamassassin, non vorrei causasse blocchi a messaggi veri di 
mailer daemon
-- 
----------------------------------------------------------------------
nos...@mi.iasf.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.

 mailer daemon
Perché non blocchi/rigetti chi si presenta con HELO = tuo.dominio
(contemporaneamente whitelisti l'IP del tuo mail server) ?
Non mi è chiara una cosa nel primo Received, la stringa "localhost"
era parte dell'HELO o è stata aggiunta dal tuo mail server ?
ciao,
Gabriele

 era parte dell'HELO o č stata aggiunta dal tuo mail server ?
-bash-2.05b$ host 113.167.75.53
53.75.167.113.IN-ADDR.ARPA domain name pointer localhost
:-D
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 53.75.167.113.IN-ADDR.ARPA domain name pointer localhost
Curiosamente tutti i 113.167.75.* rispondono come localhost. Si direbbe
che siano delle macchine in Vietnam, la cui reverse resolution e' stata 
"forgiata" a bella posta. Comportamento da spammer ?
Dopo aver constatato che altri hanno ricevuto delle varianti da 
quell'IP, alcune bloccate da spamassassin e altre no, avevo anche 
pensato che fosse un virus tipo W32.Mydoom.BA@mm (abbiamo l'antivirus 
off per questioni di versioni del sistema) ...
... ma di solito un virus viene inviato da una macchina infetta ai 
propri corrispondenti. Nessuno qui ha corrispondenti in Vietnam.
Potrebbe essere uno spammer infettato da un virus ?


 propri corrispondenti. Nessuno qui ha corrispondenti in Vietnam.
Come no ? John ? Ci sei ? Ho una missione per te
<g>
Seriamente; non č la prima volta che vedo macchine VN, KR,
CN, IN ed altre la cui reverse č configurata per risolvere come
"localhost"; per come la vedo io č piů un problema di gente
presa per la strada allo scopo di configurare i DNS che un
discorso "voluto"

 Come no ? John ? Ci sei ? Ho una missione per te
"L'unico agente con licenza di genocidio" (cit.)
http://www.origone.net/Ita/ALTRO.html
M.
-- 
Nessun Bit e' stato maltrattato o ucciso
per scrivere questo messaggio
http://www.qtp.it/Gallery/profile.php?uid=2311