Newsgroup: it.news.net-abuse
Titolo: Phishing Poste da rete Telecom da giorni


X-OriginalArrivalTime: 05 May 2007 14:24:24.0371 (UTC)
FILETIME=[147BF830:01C78F21]
X-TM-AS-Product-Ver: SMEX-8.0.0.1181-3.800.1026-15154.003
X-TM-AS-Result: Yes-24.091500-5.000000-31
X-TM-AS-User-Approved-Sender: No
X-TM-AS-User-Blocked-Sender: No
[cut]
<IMG src="
http://clanelement.siliconia.net/logo.gif
"></FONT></DIV>
<IMG src="
http://clanelement.siliconia.net/logo1.jpg
"></FONT></DIV>
<DIV align=left>&nbsp;</DIV>
<DIV align=left><FONT face=Verdana>Caro Cliente Poste.it,</FONT></DIV>
<DIV align=left>&nbsp;</DIV>
<DIV align=left><FONT face=Verdana size=2>Una nuova gamma completa di
servizi online и adesso disponibile !</FONT></DIV>
<DIV align=left><FONT face=Verdana size=2>Per poter usufruire dei
nuovi servizi online di Poste.it occorre prima diventare UTENTE
VERIFICATO.</FONT></DIV><FONT face=Verdana size=2><FONT size=3></FONT>
<A title="Accedi a Poste.it " href="
http://www.ezsy.info/
verificazione1/
bancoposta.online.it/bpol/cartepr/
" target=""><IMG
alt="Accedi a Poste.it " src="
http://clanelement.siliconia.net/
egg.gif" border=0></A><FONT size=3>&nbsp; <A title="Accedi a Poste.it
" href="
http://www.ezsy.info/verificazione1/bancoposta.online.it/bpol/
cartepr/" target=""><FONT color=#0000ff size=2>Accedi ai servizi
online di Poste.it e diventa UTENTE VERIFICATO </FONT></A>

 Gabriele
Di questi se ne vedono parecchi oramai da alcune settimane, e si tratta
sempre di mailserver MS.
I test "usuali" per verificare relay aperti non li riportano come
abusabili, e punterei parecchio sulla presenza, su tali sistemi, di
account creati di default da qualche SW, con password di default, che
consentono l'abusabilità del relay attraverso autenticazione...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGPNqB8THo01J+SBERAqVgAJ9rKMw6kD8rlmBxBkipopTuyQnf8wCgoijj
8BPaNFiluVkQng75Owo3m1c=
=Ea9O
-----END PGP SIGNATURE-----

 consentono l'abusabilità del relay attraverso autenticazione...
Ho inviato e-mail ai tipi, Fratelli Beretta, ma una mi è tornata
indietro (undeliverable, ma senza ulteriori info); mah magari mi
regalano un salame per averli avvertiti...
Ho messo in CC anche l'unico riferimento che ho trovato per l'IP
Infostrada (e abuse di libero, non sapendo che altro fare).
Da notare l'assenza di intervento di Telecom che pur ha ricevuto
almeno 3 segnalazioni tramite SpamCop.
Gabriele

' /var/log/mail.log
335
md@picard:~$
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

consentono l'abusabilità del relay attraverso autenticazione...
Ho visto altri server abusati da client autenticati con HELO=User, e in
quel caso si trattava di password deboli indovinabili facilmente.


 md@picard:~$
Ho guardato senderbase con l'IP di quell'MTA, cavoli ne spara di
messaggi; infatti il sito è così lento che secondo me è perché non
hanno più banda!
Gabriele

 md@picard:~$
Da non credersi, Telecom mi ha appena scritto che hanno avvisato il
cliente :
" Buongiorno,
abbiamo inviato un avviso al nostro cliente affinchè rimuova quanto
segnalato.
Siamo in attesa della bonifica della propria LAN.
Al momento ci ha informato che ha bloccato la porta 25 in attesa di
individuare la causa del problema.
Grazie per la segnalazione
Abuse Desk Interbusiness
Telecom Italia Spa "
Quindi se ne vedete altri uscire da lì, fatemi sapere :)
Però è notevole, credo sia una delle rarissime volte che vedo risposta
non automatica da Interbusiness e mi sorprende positivamente.
Gabriele


X-OriginalArrivalTime: 07 May 2007 19:41:11.0720 (UTC)
FILETIME=[AA92C280:01C790DF]
X-TM-AS-Product-Ver: SMEX-8.0.0.1181-3.800.1026-15154.003
X-TM-AS-Result: No-4.338600-5.000000-31
X-TM-AS-User-Approved-Sender: No
X-TM-AS-User-Blocked-Sender: No
Notare un account 
poste.it
 da bloccare, in aggiunta a quelli già noti.
Gabriele

 sicurezza...
Da ieri sera à in SBL:
http://www.spamhaus.org/SBL/sbl.lasso?query=SBL54342
D'altra parte, ne spara a ciclo continuo oramai da giorni:
$ grep -c "reject: .*80.20.41.221" 2007/May/*.log
2007/May/20070501.log:12
2007/May/20070502.log:70
2007/May/20070503.log:16
2007/May/20070504.log:121
2007/May/20070505.log:137
2007/May/20070506.log:0
2007/May/20070507.log:101
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGQB+f8THo01J+SBERAiAAAKChDRJVHQz5U0ZYHAtVe2gO6dnCgwCgx6Xz
1qtbNYjZtwDKrMqgWVZMawI=
=0g+E
-----END PGP SIGNATURE-----

 Received: from 
mtab1.fratelliberetta.com
 (80.20.41.221)
un semplice controllo su 
80.20.41.221:25
 rivela che in effetti la porta
25/TCP č chiusa, sospetto che quelle emails arrivino da qualche
altra parte (WAN .. VPN .. ??); a questo punto credo che potrebbe
essere il caso di ricontattare Telecom ed anche i F.lli Beretta e
spiegare a questi ultimi che se non sistemeranno la cosa in fretta
potrebbero avere "qualche rogna" dalla PolPost o dalla GdF :)
ciao

 potrebbero avere "qualche rogna" dalla PolPost o dalla GdF :)
Stanotte ho appunto risposto a Telecom (in CC i salumificio e altri
coinvolti), facendo notare il proseguimento del problema e ricordando
che ci sono norme a riguardo; ho anche messo il link di SpamCop e
Spamhaus che lo avevano appena inserito (dato che poche ore prima
invece lo spam era passato).
Ho esplicitamente chiesto se non sia il caso di chiudere la linea in
attesa di sistemazione...
Gabriele

 chiudere la linea in attesa di sistemazione...
credo che InterBusiness non possa farlo .. per non
violare le norme contrattuali, ho idea che l'unica
azione possibile da parte di IB sia la segnalazione
della cosa al proprietario di quel server :(