Newsgroup: it.news.net-abuse
Titolo: Ho provato ad usare vene.ws.. ;-)))

..e per la precisione il servizio di analisi dello spam....
Io non so se funzioni alla perfezione o abbia semplicemente scoperto l'acqua
calda...ma mi ha dato una risposta abbastanza esauriente senza rompere le
scatole ;-) a voi del ng!!
Secondo voi ...che ne pensate?

 Secondo voi ...che ne pensate?
va bene per iniziare, ma occorre imparare a leggere gli header da
soli, nessun tool automatico infatti e` totalmente affidabile e in
grado di sostituire l'analisi manuale.
-- 
ciao | Antispam in pillole: (WHOIS) Indica a  quale  provider  appartiene
cf   | l'IP dal quale e` partito lo spam, e quindi  a  chi  rivolgere  il 
-----+ LART. Per chi sa come ricompilare questo e` il miglior  WHOIS  per 
Linux e Win: 
http://www.linux.it/~md/software/

 grado di sostituire l'analisi manuale.
Si...ovviamente chi fa da se fa per tre!!
Pero' per iniziare penso non sia male..nel frattempo, prendo confidenza col
Colinelli.. ;-))


***********************
 
[2]**************[2]
- Dominio dell'email utilizzata come drop-box (header From:): 
tiscalinet.it
- Percorso eseguito dall'email:
1) L'utente "unknown" (HELO IO 195.110.113.103) ha inviato l'email a
mail.dada.it
2) "
mail.dada.it
" (
mail3.dada.it
 195.110.100.3) ha inviato l'email a
volcano.planet.it
3) "
volcano.planet.it
" (
volcano.planet.it
 212.110.160.74) ha inviato l'email
a 
pluto.planet.it
- Schema dei server attraversati (1):
SPAMMER --> 
mail.dada.it
 --> 
volcano.planet.it
 --> 
pluto.planet.it
 -->
CASELLA LOCALE
- Server utilizzato per inviare l'email (2) (5): 
mail.dada.it
- Server presente in blacklist: vedi openrbl
- Indirizzo IP dello spammer (3): 195.110.113.103
- NS Lookup dell'ip dello spammer (195.110.113.103): NON ESISTENTE
- IP Block a cui appartiene 
195.110.113.103
: vedi database RIPE
- Abuse.net: E-mail da contattare per la drop-box (
pe...@tiscalinet.it
) (4):
postm...@tiscalinet.it
NOTE:
(1): Vengono considerati tutti gli header dell'email. Potrebbero però
essercene alcuni falsificati e quindi l'analisi non sarebbe più valida.
Accertarsi sempre che non ci siano intestazioni false. 
(2): Dato che questo messaggio non è stato ricevuto dal nostro server
l'informazione potrebbe non essere attendibile. Infatti nel caso in cui il
tuo provider registri negli header dei passaggi a server interni, l'email
potrebbe sembrare aver avuto origine dal tuo stesso provider. Se è così ,
più probabilmente si tratta di un caso di spam Direct-to-MX. 
(3): In alcuni casi questo IP potrebbe non essere realmente quello dello
spammer ma quello di un proxy aperto che non lascia traccia negli header. Lo
si potrebbe verificare attraverso openrbl. 
(4): Fare attenzione a questo campo. Il mittente dello spam potrebbe essere
falso o inventato anche se il formato dell'indirizzo email è corretto.
Quindi anche l'indirizzo che compare in questo campo potrebbe non esistere
in quanto 
abuse.net
, se non trova il record nel proprio database restituisce
come valore di default postmaster@dominio. 
(5): Se l'email è partita localmente da un mailserver (ex. localhost o
127.0.0.1), quest'informazione potrebbe non essere attendibile. In questo
caso il server utilizzato per inviare l'email è direttamente l'IP dello
spammer. 
--------------------------------------------------------------------------------
CONCLUSIONE
Il messaggio di spamming è stato inviatoda un utente che si è presentato
come "unknown" al server 
mail.dada.it
 (vedere (1) e (2)).
Il server utilizzato per inviare il messaggio è 
mail.dada.it
. Sarebbe
opportuno innanzi tutto verificare se si tratta o meno di un relay aperto
attraverso openrbl (cioè se accetta di inviare email da parte di chiunque
invece che accettarle solo dai proprio utenti) e, in tal caso, è necessario
avvisare il postmaster in modo tale che possa correggere il problema. In
entrambi i casi è opportuno inviare a 
postm...@dada.it
 gli header
dell'email di spamming ricevuta. (sempre tenendo conto di (5) e di (2))
L'indirizzo IP dello spammer è 195.110.113.103 (vedi (3)). Questo è molto
importante dato che proprio grazie a questo IP può essere rintracciato.
Purtroppo l'ip 195.110.113.103 non ha un corrispondente nome, cosa che ci
poteva facilitare notevolmente la ricerca del provider di appartenenza dello
spammer.
E' comunque possibile consultare il database del RIPE per scoprire a chi
appartiene l'IP block in questione e contattare quindi i responsabili dello
stesso.
Il provider al quale lo spammer si appoggia per la sua drop-box (casella di
posta presente nell'header From:) 
pe...@tiscalinet.it
 è 
tiscalinet.it
(vedere (4)). 
Possiamo quindi scrivere a 
postm...@tiscalinet.it
 affinchè la casella
venga chiusa. 
-- 
sgas 


Mi puoi dare l'indirizzo?
Ciao 
--
^^^ From 1991 2:332/407.490 ^^^ 
Air conditioned environment - Do not open Windows. 
New live is possible: 
http://makeashorterlink.com/?O28941C91

Ciao 
ola
-- 
sgas


Grazie mile.. mi sono gią registrato.. aspetto la prossima spam..


 
ab...@dada.it
 ( 
postm...@dadai.it
  mi sembrebbe da scartare .
Vero. Praticamente il programma si comporta così: risolve l'ip dello
spammer, se ha un rDNS fa la query ad 
abuse.net
. Non lo fa per il server
di posta utilizzato per inviare l'email (anche perchè non sempre la cosa
funziona dato che quel 
mail.dada.it
 potrebbe essere perfettamente
inventato).
-- 
Veneziano Davide
http://www.vene.ws
ICQ# 14047537