Newsgroup: it.news.net-abuse
Titolo: TIN e Virgilio bloccate dall'anti-spam

I siti anti-spam, quale MAPS (anti-spam se letto da destra
a sinistra) hanno un bel da fare in questo periodo. Normalmente
registrano l'IP dei server abbandonati. Ora anche quello di
vsmtp3.tin.it
, IP 212.216.176.223. L'IP ha spedito diverse
centinaia di messaggi spam che sono finiti sul tavolo delle
prove, vedi
http://mail-abuse.org/cgi-bin/lookup?212.216.176.223
http://mail-abuse.org/cgi-bin/show_listing.cgi?757671
Probabilmente qualche utente ha un PC infestato che viene
abusato per spedire lo spam attraverso il server della
posta in uscita. Normalmente mail-abuse telefona al postmaster
ma essendo il tutto in italiano non gli è riuscito. Inoltre
gli indirizzi 
ab...@tin.it
, 
postm...@tin.it
 non esistono.
Il perfetto analogo di un server abbandonato!

 
vsmtp3.tin.it
, IP 212.216.176.223. 
Alcuni anni ho lavorato presso un ISP locale, ed i miei parenti lo
sanno (purtroppo).  Quindi se hanno un problema con Internet chiamano
tutti me,
non il loro provider!!!
Nelle ultime ore tutti quelli che usano TIN (sia dial-up, che ADSL
Alice)
sembrano avere dei problemi a spedire e-mail: vengono rifiutate da
mezzo
mondo!
Ho un solo consiglio da dar loro (visto il passato): abbandonare
Telecom
e rivolgersi ad un altro provider per la posta elettronica.
Due dei server SMTP bloccati:
212.216.176.223 (
vsmtp3.tin.it
)
62.211.72.21 (
out.aliceposta.it
)
La rete telecom figura anche nella lista degli rfc-ignorant, siccome
le informazioni presenti nel WHOIS sono errate (indirizzi e-mail non
validi).
ttp://
mail-abuse.org/cgi-bin/show_listing.cgi?757671
:-(

 gli indirizzi 
ab...@tin.it
, 
postm...@tin.it
 non esistono.
Come fai a dire che non esistono...

 Come fai a dire che non esistono...
Lo dice l'ispettore MAPS. Adesso gli scrivo, cosa che
avrebbe dovuto fare TIN.

 validi).
E' stato rimosso un paio di giorni fa (Jan 19, 2004 9:49) secondo
http://www.rfc-ignorant.org/tools/lookup.php?domain=tin.it&full=1
E' curioso che finisca su rfc-ignorant la stessa azienda che, come
http://www.telecomitalialab.com/
e' rinomata nel mondo per la competenza tecnologica su questi
argomenti ed rfc ne ha anche scritti (
p.es
 rfc3393).

 avrebbe dovuto fare TIN.
Bene, allora dici "all'ispettore" di imparare a leggere e scrivere, visto che a me l'abuse ha sempre risposto, e visto che sei tanto amico di questi digli che se continueranno a chiudere gli smtp dei provider per spam di un mese fa, tra qualche tempo impediranno a tutti di inviare mail, a meno che non vogliano i soldi, come si legge dal sito... 

 argomenti ed rfc ne ha anche scritti (
p.es
 rfc3393).
C'era nel record WHOIS un'indirizzo di e-mail non funzionante:
cmontec...@tin.it
.  Adesso l'hanno rimosso/sostituito, e quindi il
record poteva essere rimosso.
Ovviamente ci vogliono diversi giorni che 
tin.it
 scompaia anche da
altre liste anti-spam e sia di nuovo visibile a tutto il mondo.

 che non vogliano i soldi, come si legge dal sito...
Non è che sia amico degli uni o degli altri. Sono un piccolo cliente MAPS
(gli do circa 200$/anno, per quel che concerne i soldi).
MAPS mi risponde che "They remain listed because they will not address
the problem of the thousands of machines that use the 
tin.it
 mailservers
that are listed in their own right as open proxies, open relays,
compromised hosts, etc." [trad.: restano registrati perche` non si occupano
del problema delle migliaia di macchine che usano i server di posta di
tin.it
 e che sono a loro volta registrate come proxy aperti, host
compromessi, ecc.]
Cioè, se ho ben capito, vorrebbero che 
tin.it
 installasse un antivirus
presso tutti gli utenti?
Credo che dovrò cambiare fornitore... Prima provo a chiedergli come
pensano che 
tin.it
 possa occuparsi del problema.

 pensano che 
tin.it
 possa occuparsi del problema.
TIN sta soffrendo terribilmente per la sua associazione con 
Telecom Italia/Interbusiness.  La gente all'estero non capisce che le 
gestioni sono distinte, e l'emissione di spam da Interbusiness ha
raggiunto livelli da leggenda.
Vediamo da dove viene fuori l'associazione con un esempio da record
whois (che sono la prima cosa che la gente guarda):
inetnum:      62.211.128.0 - 62.211.255.255
netname:      TINIT-ADSL-LITE
descr:        Telecom Italia
descr:        Accesso ADSL BBB
country:      IT
remarks:      Please send abuse notification to 
abus...@telecomitalia.it
route:        
62.211.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
remarks:      Please report spam/abuse notification to 
ab...@tin.it
notify:       
net...@cgi.interbusiness.it
mnt-by:       INTERB-MNT
E reverse DNS:
1.128.211.62.in-addr.arpa.  1D IN PTR  
host1-128.pool62211.interbusiness.it
.
E BGP:
#sh ip bgp 62.211.0.0
BGP routing table entry for 
62.211.0.0/19
  3269
aut-num:      AS3269
as-name:      ASN-IBSNAZ
descr:        TELECOM ITALIA
descr:        INTERBUSINESS NET
Chiunque vede tutto questo conclude: TIN = Telecom Italia = Interbusiness
= one of the top ten worst spam ISPs in the world
[ 
http://www.spamhaus.org/
 , tabella in basso a destra ].
TIN non ha piu' alcuna alternativa per migliorare la ricettivita'
email da parte di altre destinazioni che non passi attraverso la
completa dissociazione da Telecom Italia/Interbusiness.
Suggerisco quanto segue (e so che non sono cose da poco conto,
ma onestamente a questo punto non vedo alternative):
1) Presa in carico diretta di tutti gli oggetti RIPE usati da TIN.
   I domini 
telecomitalia.it
 e 
interbusiness.it
 devono sparire da
   tutti i records.
2) Eliminazione del rDNS 
poolXXXYYY.interbusiness.it
 da tutte le 
   reti usate da utenza TIN, sostituzione con record 
tin.it
3) Migrazione di tutte le reti usate da TIN da AS3269 a AS20580
   (o altro).
4) Accordo diretto con Seabone per la gestione del traffico 
   internazionale di AS20580, con estromissione completa di
   AS3269 - ossia ci deve essere peering diretto fra TIN e Seabone
   anche per i dialup & dsl.
5) Il traffico nazionale puo' continuare a essere gestito da 
   AS3269/Telecom (ovvio che questo e' impossibile da cambiare)
   e nessuno si scomporra' piu' che tanto per questo.
   Cosi, AS20580 puo' ricevere tutto il nazionale da AS3269
   e per l'Italia non cambia di fatto nulla.
6) Se possibile, aggiunta di una ulteriore feed per farci passare
   gran parte del traffico USA, cercando di scegliere un backbone 
   whitehat (ad esempio Sprint).  Non deve piu' esistere un 
   traceroute dall'estero che tocca risorse Interbusiness, e se
   si riesce a toccare anche risorse Seabone il meno possibile e'
   meglio.
7) Adottare gli altri consigli che ho dato in
 
http://punto-informatico.it/p.asp?i=46401&p=3
   :-)
   [ riguardano la riduzione dello spam emesso ].
8) Preparazione di una bella press release "con le palle", in cui,
   sfruttando le indubbie abilita' di chi in genere prepara questi
   documenti, si evidenziano le misure prese per "una nuova era".
   E' necessario che qualunque addetto ai lavori legga "fra le righe"
   questa press release come: "Aye! Ci siamo sbarazzati di 
   Interbusiness! E ora siamo whitehat!"
Tutto questo puo' facilmente tenere impegnata TIN per un buon anno e
richiedere qualche investimento; entrando nel 2005 col problema
sostanzialmente risolto.
Buona fortuna, TIN!
furio ercolessi

 completa dissociazione da Telecom Italia/Interbusiness.
Non capisco perche`. Non mi e' chiaro come sia possibile distinguere
tra spam di Interbusiness e spam di TIN, se passa dagli stessi
server di posta. Oppure c'e' qualche fatto che mi sfugge?
Io stesso stento a riconoscere dove termini TIN e inizi Interbusiness.
Ma non mi sembra produttivo dare la colpa a uno o all'altro. Sarebbe
meglio se entrambi cooperassero per eliminare gli spammer.
Qualcuno sa cosa stia facendo TIN contro lo spam?
Per quanto riguarda MAPS, sembra che sia questa la loro maggiore
preoccupazione. Incollo qui sotto quello che mi hanno scritto
[qualche nota tra quadre] - originale in fondo.
-----
Da:  Margie Arbon [MAPS]
A: AV
AV >
AV > Faccio fatica a capire il punto [perche` bloccare un ISP].
AV > Per quanto ne so gli indirizzi di TIN dovrebbero stare nella
AV > DialUpList, a meno che siano IP fissi, nel qual caso sono
AV > registrati per proprio conto, come dici tu [nella mail
AV > precedente].
MA
MA   Spediscono attraverso i server di posta di 
tin.it
. Sono proprio
MA   i server registrati l'origine dello spam.
MA
AV >
AV > TIN noleggia abbonamenti a Internet, comprensivi di utilizzo
AV > dei server di posta. Tu sai meglio di me che i PC infetti sono
AV > (ab)usati per spedire lo spam. Quindi come potrebbe TIN sapere
AV > che uno dei suoi clienti e' infettato?
MA
MA   Ci sono molti meccanismi che gli ISP possono usare per
MA   controllare la quantita' di spam proveniente dai loro
MA   server di posta e dalle macchine dei loro abbonati.
MA
AV >
AV > Un piccolo provider (come me) conosce personalmente i suoi
AV > clienti ma non e' cosi' per TIN...
MA
MA   Sono avvertiti quando un IP viene registrato come open relay,
MA   open proxy, compromised host, ecc.
MA
AV >
AV > Approposito, voi distinguete tra spam spedito _senza_
AV > infettare alcun computer e quello che risulta dai virus?
MA
MA   Gli open proxy sono registrati come open proxy, gli open relay
MA   come open relay. Gli host compromessi sono registrati come
MA   compromessi. Va notato che molti degli open proxy e alcuni degli
MA   open relay lo sono diventati a causa dei virus.
MA
AV >
AV > Sto scrivendo a un newsgroup italiano a proposito di questa
AV > vicenda. Se mi specificate cosa vi aspettate che faccia TIN
AV > lo riferiro' a mia volta traducendolo in italiano. Spedisco
AV > questo messaggio anche ad 
ab...@tin.it
 dato che c'è un tipo
AV > che sostiene di avere sempre ricevuto risposte dai messaggi
AV > spediti a quell'indirizzo.
AV > 
AV > [
ab...@tin.it
 ha risposto anche a me, ma ad un altro messaggio,
AV > in italiano. Siccome ho trovato anche altri che cancellano la
AV > roba in inglese senza aprirla non vorrei che...]
MA
MA   Ci aspettiamo che TIN controlli lo spam proveniente dai suoi
MA   indirizzi di rete. Ci aspettiamo che se concederanno ad altri
MA   ISP di ritrasmettere attraverso i loro server, che vorranno
MA   cooperare per risolvere i problemi che ci sono.
-----
From: Margie Arbon [MAPS]
To: AV
AV >
AV > I can hardly see your point. AFAIK TIN leased addresses should belong to the
AV > DUL, unless they are fixed IPs. In the latter case they are listed in their
AV > own right, as you say.
MA
MA They are relaying out the 
tin.it
 smtp servers. The listed servers themselves
MA are spam sources.
MA
AV >
AV > TIN leases subscriptions to the Internet, including usage of their mail
AV > servers. You know better than I that compromised clients are [ab]used for
AV > sending spam. So how can TIN possibly know that one of their customers
AV > is compromised?
MA
MA There are many mechanisms that ISPs can use to control the amount of spam
MA coming from their mailservers and their customer's machines.
MA
AV >
AV > A small provider (like me) knows its customers personally,
AV > but this is not the case with TIN...
MA
MA They are notified when an IP is listed as an open relay, open proxy,
MA compromised host, etc.
MA
AV >
AV > BTW, do you make a distinction between spam that is being sent _without_
AV > compromising an host and what results from viral infections ('toxines')?
MA
MA Open proxies are listed as open proxies, open relays are listed as open
MA relays. Compromised hosts are listed as compromised.  Please note that many
MA of the open proxies, and some open relays result from viral sources.
MA
AV >
AV > I'm writing to an Italian newsgroup about this fact. If you please spell
AV > to me what would you expect TIN to do I will report it to the usenet with
AV > a translation into Italian. I'm also sending this to 
ab...@tin.it
, since
AV > a guy in the newsgroup insists that he has always had answers to messages
AV > he had sent to that e-mail address.
MA
MA We expect that TIN will control the spam coming from their netspace. We
MA expect that if they are going to allow other ISPs to relay through their
MA servers, that they will cooperate in getting the problems there corrected.

 MA   cooperare per risolvere i problemi che ci sono.
furio