Newsgroup: it.news.net-abuse
Titolo: Backscatter universitari...


-------------------------- END HEADERS ------------------------------
[===============================================================]
Iniziando ad affrontare il caso con metodo, direi:
1) Non è che non sappiano che i virus falsificano il mittente. Come 
dimostra il messaggio appiccicato, lo sanno... Ma mi mandano notifica lo 
stesso. Dei grandi...
2) Il campione segnalato, come visibile dagli header estratti, proviene 
da 158.110.106.119, aka 
spessotto-pcwin.amm.uniud.it
, ovvero un PC 
*della loro rete amministrativa*. Mi stanno segnalando come *mio* un 
virus che *loro* stavano cercando di mandare a *me*. Buffonesco.
3) Poichè il virus in questione usa un motore SMTP interno, mi sarei più 
probabilmente aspettato che il virus in questione si presentasse ai 
*miei* MTA, in direct-to-MX, come di consueto. Ne è facile conferma 
l'helo string usata (
spin.it
, ovvero quella del dominio destinazione, 
che per inciso avrebbe da sola condotto al reject della sorgente...). 
Questo comportamento lascia supporre che i signori che hanno in 
"gestione" (se tale si può chiamare) il sistema in questione effettuino 
hijacking delle connessioni SMTP uscenti per forzarne il passaggio 
attraverso il proprio relayer. Questa è, alla fine della fiera, la presa 
per il c... finale: per evitare l'uscita di una mail bogus (che non 
sarebbe andata da nessuna parte, per i motivi suddetti), intercettano il 
traffico e mi mandano una mail bogus. Fighissimo....
Poi magari vi mando anche una di quelle mail in cui rimandano al 
mittente (indovina? forged...) anche lo spam perchè -ma guarda- viene 
riconosciuto come spam... Questa era ancora più cosmica...
-- 
Здрасти!
cat: .signature: No such file or directory

 che falsifica il mittente.
lol :)
-- 
Ciao, Dmitry


Fabrizio (ma il "tuo" e' ancora piu' cialtrone, se possibile!)

 lol :)
Purtroppo, sta diventando un problema su cui c'è poco da ridere. Riporto 
l'esperienza di qualcun altro:
[========================================================================]
We were recently the victim of some mortgage spammer who used our
domain as the MAIL FROM in some very large spamruns. Over a period of
about two weeks we received 30 million bounce message attempts, C/R
responses or sender-verify attempts (on a mailserver that does a few
thousand legitimate messages a day at most). It is almost certainly
the case that about 30 million _different_ addresses were involved;
the addresses were random from about 8 billion combinations. At times,
even _after_ turning off banner delays, ident, DNSBL lookups at
connect time and almost all spam checks when MAIL FROM = <>, we were
running with over 700 concurrent inbound connections. The total number
of distinct IPs connecting was two or three hundred thousand.
[========================================================================]
Una simile quantità di traffico può ingenerare problemi *molto* seri, e 
può capitare al dominio di chiunque, da un momento all'altro.
Se ancora è giustificabile chi non effettua rejection per mancanza di 
strumenti di filtraggio (sul mittente o sul destinatario) adeguati, chi 
genera backscatter *sapendo* cosa sta facendo è *ingiustificabile*.
Si noti come la testimonianza dimostri come si pongano alla stessa 
stregua di problematicità anche i vari sistemi di verifica del mittente 
che effettuano callback sugli MX del mittente e, peggio ancora, *tutti* 
i meccanismi di challenge/response: entrambi, col fine di "scaricare" il 
destinatario dell'amministrazione dei propri sistemi, finiscono per 
riversare su altri (i legittimi, e innocenti, proprietari dei domini 
forged) tale differenza di "costo".
Questo li pone, di fatto, ad un livello che sta divenendo sempre più 
simile a quello delle emittenti di spam di per sè.


 l'esperienza di qualcun altro:
[snip]
Giusto nelle scorse settimane m'e' capitato un paio di volte di essere
preso a male parole da qualche postmaster in seguito a segnalazioni di
backscatter (di cui uno con caratteristiche simili a quello con cui ci
hai deliziati ad inizio thread). Le risposte vanno dal: "fatti i fatti
tuoi che coi miei server ci faccio quello che voglio" al: "dimmi quale
rfc mi obbligherebbe a...". Ed ero stato anche assai garbato.
Fabio

 Purtroppo, sta diventando un problema su cui c'è poco da ridere.
lol è un sorriso inglese, sarcastico .. Il problema è che ognuno può 
fare bene a casa propria, convincere altri che si sta facendo del male 
sai *bene* che non è cosa semplice. La disinformazione poi aiuta.
-- 
Ciao, Dmitry

 rfc mi obbligherebbe a...". Ed ero stato anche assai garbato.
Tristemente, lo so. L'amministrazione di sistema in mano alle masse.
Ovvero: come ti rendo optional la competenza.
Il che pone un problema di fondo, che parte dalla considerazione che, in 
un certo qual modo, internet è "di tutti", in quanto spazio comune.
Vorrei sapere l'opinione di gente simile se venisse a sapere che la 
manutenzione dell'acquedotto della loro città viene effettuata con lo 
stesso criterio (e con la stessa -scarsa- competenza) dalla 
ex-municipalizzata di turno.


 rfc mi obbligherebbe a...". Ed ero stato anche assai garbato.
E' quanto mai opportuno che i campioni di backscatter ricevuto vengano
archiviati su news.admin.net-abuse.sightings in modo da costruire una
evidenza storica relativa a quel server, che a sua volta costituisce 
la base per eventuali azioni da parte di BL o di liste private.
Il problema del backscatter e' molto, molto serio, e occupa una
frazione di tempo sempre crescente per chi si occupa di arginare
la posta abusiva.
furio

 la base per eventuali azioni da parte di BL o di liste private.
Contribuirò.
Fabio

 proprietari dei domini colpiti dal joe-job.
1) Callback
Alcuni sistemi vengono impostati per verificare l'esistenza del mittente 
sul server su cui questi riceve la posta, prima di accettare ciò che gli 
viene consegnato.
Praticamente, vede chi è l'MX del dominio mittente, si collega alla sua 
porta 25 e "fa finta" di stare per consegnare una mail a quel 
destinatario. Se il server rifiuta dicendo che la mailbox non esiste, si 
assume che il mittente sia forgiato e quindi rifiuta la consegna.
Se un dominio è colpito da joejob si ritrova, quindi, a dover tener 
testa, oltre ai bounce di mail mai spedite che arrivano, anche a tutti 
quei server che caricano le sue risorse per verificare se la mail veniva 
da lui, peggiorando la situazione del joe-jobbato. In questi termini, la 
"salvezza" del destinatario dello spam viene ottenuta a discapito di chi 
sta subendo l'abuso peggiore.
2) C/R
Alcuni impostano i propri sistemi affinchè questi, ricevuta una mail, 
anzichè consegnarla la tengano in una sorta di quarantena (con vari 
sistemi) e mandino una mail al mittente *apparente* dicendogli (questo è 
un esempio, ci sono parecchie varianti): "abbiamo ricevuto una mail che 
pare venire da te. Se effettivamente stai cercando di contattare questa 
persona, fai questo e quest'altro e la mail verrà consegnata. Se non lo 
fai entro X giorni, penso che sei uno spammer e butto via tutto...".
E' palese che un meccanismo di questo genere ripara il destinatario 
"spammando" chi è oggetto del joe-job, ovvero tutti gli altri...


 "spammando" chi Ãš oggetto del joe-job, ovvero tutti gli altri...
E' un bel pezzo che non vado a vedere le "offerte" del provider a cui
sto pensando: chissa' se hanno ancora quell'"offerta antispam".
Fabrizio (ed accettano volutamente posta da IP dinamici)

 gli altri... 
vero si e no. Se il Sender è falsificato capirai. E cmq se il sender è 
reale e vuole comunicare, sarà sufficiente che esegua la procedura una 
volta sola, quindi anche lato server si tratta di una transazione in 
più, contro le N transazioni di spam dirette ad un utente che sono 
altrettanto fastidiose.
Se del resto l'smtp è ben configurato, con le BL dai un calcio in culo 
a chi non desideri, risolvendo il problema alla radice.
Non lo vedo così un problema drammatico, ve ne sono di ben peggiori a 
partire ad esempio dal fatto che i servizi AV lato server li (non 
inteso a te, ma in generale eh) fanno pagare e cari anche, quando 
invece dovrebbe essere il minimo livello di sicurezza garantito, anche 
per servizi di tipo 'gratuito'.
Io ad esempio pago 30 euro annue per una mail con Telecom (che mi è 
indispensabile) per avere il servizio antispam e AV. 50 Mbyte di mail
non chissà cosa eh. Certo, il servizio è buono, ma le sue pecche le ha 
anche lui, interfaccia web che lascia a desiderare e lentissima, smtp 
non sempre al 100% funzionante, lo spam poco, ma arriva anche lì.
E allora se possono permettersi di fare pagare tanto una mail, che 
investano anche in infrastrutture, ad esempio in AV disponibili anche
per gli utenti non paganti.
Non per fare il criticone eh, ma per capirsi..
 
-- 
Ciao, Dmitry

 sto pensando: chissa' se hanno ancora quell'"offerta antispam".
ci sono e le fanno pagare anche care se per questo ..
-- 
Ciao, Dmitry

 per servizi di tipo 'gratuito'.
Boh. Questo è una questione di punti di vista. Che debba essere previsto 
anche dalle offerte a pagamento base posso essere d'accordo. Che debba 
essere gratuito, non lo vedo così automatico. Analizzare centinaia di 
mail/secondo richiede risorse e strutture non indifferenti. Che un 
servizio mail realmente ben gestito non possa coincidere con un servizio 
gratuito in Spin lo si sostiene da quando c'è stato il boom 
dell'internet gratis.


 da quando c'è stato il boom dell'internet gratis.
Io sono il primo a dire che Internet != gratuito. Tuttavia se si parla 
di spam e di traffico generato, spero sarai concorde con me, che la 
maggioranza di questo è dovuto al fatto che a livello SMTP non tutti, 
troppo pochi direi, prevedono un sistema antispam e AV lato server 
attivo per tutta l'utenza, pagante e non.
Se vogliamo dirla tutta, il problema è strettamente commerciale, ma non 
perchè come dici tu, servino grosse infrastrutture di rete per 
implementare un sistema AV lato server, ma semplicemente perchè gli 
ISP, tra cui anche il tuo, devono vendere un qualcosa differenziando i 
prodotti gratuiti da quelli non gratuiti.
Per le mailbox, non c'è molto da inventare. 
E' difficilissimo venderle e se devi farlo occorre che vi sia qualcosa 
che spinga l'utente a comprare, ed ecco che nascono le mailbox super-
filtrate e protette da antivirus, le gigamail etc etc.
Io mi ci metto dentro eh, ma per onesta intellettuale (per questo sono 
odiato da molti) devo dire come stanno realmente le cose dal mio punto 
di vista.
-- 
Ciao, Dmitry

 per come la vedo io una intranet, almeno in senso lato.
Ecco, cio' che qualche (troppi) server fa e':
al server x-privat arriva una mail per dmitry@x-privat proveniente da
rpu...@pirippo.invalid.
Il server contatta pirippo.invalid e fa finta di inviare una mail a
rpuggi, e se non ci riesce, dichiara inesistente il mittente e
droppa la mail.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 prodotti gratuiti da quelli non gratuiti.
Non è esattamente così. Tenere sotto controllo cosa gli utenti fanno, 
costa lavoro. Chiudere le utenze di chi abusa costa lavoro. Mantenere i 
filtri antispam, che per loro natura devono essere ritarati in 
continuazione, costa lavoro.
Più il cliente paga, migliore deve essere la qualità del lavoro messo in 
opera, e questo implica personale altamente specializzato e in quantità 
sufficiente a seguire tutto in tempi accettabili, altrimenti il cliente 
non ha alcuna ragione di pagare te. Va da qualcuno che lo fa pagare meno.
Se il cliente non paga, difficilmente può andare da qualcuno che lo paga 
per usare le sue risorse, no?
Il risultato è che chi fornisce caselle gratuite taglia qualsiasi costo 
ritiene di poter tagliare.
Un buon esempio di come questo sia vero puoi trovarlo nelle parole di 
questo coraggioso:
http://www.exim.org/mail-archives/exim-users/Week-of-Mon-20050404/msg00002.html
E quindi: indipendentemente da quanto una compagnia possa risparmiare 
*facendo* qualcosa, risparmia di più *non* facendolo...


 y.

 facendolo... 
vero, ahime. 
-- 
Ciao, Dmitry

 droppa la mail.
questo comporta un lavoro in più e credo di aver capito che è quello a 
cui si riferiva Skull (ci sono arrivato dopo ^_^)
Peraltro stastiticamente l maggioranza delle mie mail rifiutate sono 
appunto dirette ad utenti inesistenti sul server (worm o altro).
-- 
Ciao, Dmitry

 Occorre usare SMTP AUTH, punto.
No, punto e virgola. :-)
Gli "open proxy" sono, piu' in generale, macchine controllate 
remotamente dagli abusatori. Questi hanno sinora installato 
semplice s/w di tipo "open proxy" solo perche' nella maggior
parte dei casi era sufficiente per uscire in SMTP.
Ma le credenziali per l'autenticazione possono essere facilmente reperite 
all'interno della macchina stessa, e gia' ci sono stati esempi di worm che 
hanno preso questa strada o una simile.  Non c'e' dubbio che se si 
diffonderanno sia il port 25 blocking che l'SMTP AUTH, gli abusatori 
non rinunceranno ai loro bots ma semplicemente li adatteranno al
nuovo ambiente.
La differenza per l'ISP e' che col blocco della porta 25 e AUTH
il  monitoraggio e' piu' facile: tutto passa attraverso i propri server 
ed e' autenticato --> username noto.  Su queste basi l'ISP puo' 
intervenire velocemente ed efficacemente per bloccare l'emettitore, ossia 
isolare il PC infetto dall'Internet globale; senza necessariamente 
aspettare che giunga intenso feedback negativo da utenti della rete
e avendo ridotto il volume di emissioni di ordini di grandezza.
furio

 l'emettitore, ossia isolare il PC infetto dall'Internet globale;
appunto. Le maccine abusate saranno magari anche le stesse per 
quantità, solo che l'ISP, come dici, avrà uno strumento più efficace 
per controllare la situazione. Quindi c'è cmq da chiedersi come mai non 
sia una politica comune degli ISP. Ci sono dei perchè?
-- 
Ciao, Dmitry

 Esattamente come curare la malaria regalando zanzare.
Omeopatia.. ;-)
[snip]
Scusate...
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 scaricando sugli altri... 
concordo pienamente. Un sistema automatizzato può fare il 'grosso' del 
lavoro, ma deve farlo con molta cautela e con percentuali di falsi 
positivi prossime allo 0. Tutto il resto, ahime, lo deve fare l'uomo 
che ha risorse ed intelligenza per capire i problemi, caso per caso.
Qualcuno dei miei utenti si lamentava che ultimamente su x-privat 
arriva più spam del solito. La motivazione è semplice, piuttosto che 
non riuscire a gestire un certo tipo di filtri, preferisco non 
inserili, quindi qualche mail in più di spam piuttosto che troppi falsi 
positivi.
-- 
Ciao, Dmitry

 tutto in devnullandia.
Questo sarebbe vero solo se il mittente fosse sempre lo stesso, anzichè 
essere migliaia(milioni, miliardi) di indirizzi appartenenti allo stesso 
dominio.
Rileggi l'estratto da me riportato...


 sia una politica comune degli ISP. Ci sono dei perchè?
IMHO, lo scenario in cui tutto lo spam esce dall' smtp del provider, è 
tale da non permettere più una posizione menefreghista da parte dell' 
ISP negligente.
Al contrario, questo scenario rende necessaria l' esistenza e la 
produttività dell' abuse desk, altrimenti rischi grosso.
E' vero che gli ISP vicini di casa molto probabilmente non potranno mai 
bloccarti l' smtp, dato il volume di traffico lecito scambiato, però 
quelli che stanno un po' più lontani? che fanno se vedono che tutto 
quello spam da oltreoceano arriva da quel numero esiguo di indirizzi IP?
Sempre IMHO, questo scenario alla lunga non è desiderabile né dallo 
spammer né dall' ISP negligente che vuole rimanere tale.

 spammer né dall' ISP negligente che vuole rimanere tale.
quoto
-- 
Ciao, Dmitry

 (definitivamente, non solo per i virus).
Io non sto dicendo che i sistemi automatici sono male di per sè.
Dico solo che visti i periodi che corrono e l'attuale rapporto 
segnale/rumore, è da scartare come *Male*(TM) qualsiasi "soluzione" 
abbia l'effetto di creare ulteriore traffico SMTP.
