Newsgroup: it.news.net-abuse
Titolo: analisi di un dialer

collegandomi alla mia mailbox su hotmail ultimamente ho notato banner
pubblicitari curiosi, spesso "loghi e suonerie" o simili. ben sapendo che
questo genere di sito spesso nasconde qualche insidia mi sono stupito di
vederlo pubblicizzato su msn e mi sono preso la briga di indagare
inizio con un banner che redirige su 
http://www.tuttosulpc.com
il sito propone le cose piu' varie e tutti i link portano invariabilmente
o al download di un dialer o ad istruzioni per l'uso dello stesso.
usando io linux e non possedendo manco un modem analogico non ho nulla da
temere e ho scaricato suddetto dialer (bello.exe) e l'ho visionato tramite
hexedit che e' un programma che mostra il contenuto dei file direttamente
in esadecimale, non e' un debugger e consente solo di vedere i messaggi di
dialogo, nomi di funzioni interne e poco piu'.
trovo inizialmente amenita' tipo "dial free software" e un po' piu' sotto
"Collegamento diretto in 30-60 secondi" "ACCESSO IMMEDIATO AI NOSTRI
SERVIZI". non posso saperlo con certezza ma presumo che questo messaggio
appaia dopo la composizione del numero (temo non solo quando il numero e'
occupato)
segue la sezione con i parametri di collegamento al termine del quale ci
sono parametri a me poco chiari che rivelano che il programma e' stato
pensato per un collegamento ad un ras (useranno server nt?) ed e' stato
scritto in visual basic contenuto in visual studio 6
segue quello che dovrebbe essere il telefono 7090101900 e un indirizzo:
http://213.26.194.17/private/trovasuinternet/index.html
poi c'e' una parte altamente sospetta che riporto a seguito (ortografia
scorretta inclusa :P)
"Attendere.. collegamento in corso.. attendere.. ATTENDERE 60 SECONDI
CIRCA... device non compatibile, seleziona modem o isdn. Apertura device..
device aperto... Connessione... Device connesso... All.. Device
Connected... Verifica utente.. Authentication Callback.. Change Password..
Authenticating Project.. Authenticating Link.. Speed 8.. Athentication
Acknowlegement... ReAthentication Acknowlegement.. Autenticato Prepare
For Callback Waiting For Modem Reset.. Waiting For Callback.. Network
Completely Configured Attempting to Open Port Callback Complete Logging On
To Network Interactive... RetryAuthentication... CallBack Set By Caller
Password scaduta.. Connesso a remoto... Errore SConosciuto.. Errore su
Open.. Il sito momentaneamente sospeso per manutenzione ci scusiamo per
l'interruzione.. Vai a quest'altro inrizzo: 
http://172.16.100.15/
 Apertura
Pagina di ingresso a remoto. Assicurati il modem selezionato sia acceso e
funzioni correttamente.. se la tua linea passa un centralino telefono
inserici il prefisso (es 0) nel campo prefisso altrimenti non mettere
nulla. Riprova a collegarti nel caso in cui il problema persista invia una
e.mail a 
aiutocon...@hotmail.com
 e ti foniremo assistenza"
in altre parti del dialer ci sono messaggi tipo
"traffico sul server, attendi alcuni istanti" "accesso temporaneamente
rallentato per eccesso"
poi le condizioni di utilizzo:
"PAGHERETE ESCLUSIVAMENTE IL COSTO DELLA CHIAMATA SENZA ALCUN COSTO
AGGIUNTIVO. L'esecuzione di questo programma chiudera' la connessione
locale con il vostro internet provider, dopodiche' il vostro modem vi
riconnettera' ad un server mediante numerazione audiotex ad un costo di
1,55 euro al minuto + iva per una durata massima di trenta minuti.
attivando la connessione di questo programma si dichiara di essere
maggiorenni. ATTENZIONE QUESTO SERVIZIO E' RIGOROSAMENTE VIETATO AI MINORI
DI 18 ANNI"
provo poi i siti citati nel dialer
http://213.26.194.17/private/trovasuinternet/index.html
error 403: forbidden ip
ok.. non si puo' accedere senza dialer
inserendo questo indirizzo a mano l'autocompletamento mi propone 
http://213.26.194.17/siti/msn/
 che riconosco essere un sito raggiunto da
un altro banner di hotmail e che guardacaso propone una marea di link a un
fantomatico xxx.exe per l'accesso (sorpresa: un dialer!)
provo quindi: 
http://172.16.100.15/
 ma va in timeout
barbun]$ ping 172.16.100.15
PING 172.16.100.15 (172.16.100.15) from 41.255.80.210 :
56(84) bytes of data.
[ctlr c]
--- 172.16.100.15 ping statistics ---
37 packets transmitted, 0 received, 100% loss, time 36013ms
si presuppone che il sito sia down
passo quindi ai database whois
barbun]$ whois 213.26.194.17
% This is the RIPE Whois server.
% The objects are in RPSL format.
% Please visit 
http://www.ripe.net/rpsl
 for more information.
inetnum:      213.26.194.0 - 213.26.194.255
netname:      STARLINE
descr:        Starline SpA
descr:        Call'center
country:      IT
admin-c:      MP7528-RIPE
tech-c:       SW241-RIPE
status:       ASSIGNED PA
notify:       
net...@cgi.interbusiness.it
mnt-by:       INTERB-MNT
changed:      
net...@cgi.interbusiness.it
 20000118
source:       RIPE
route:        
213.26.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
remarks:      Send report of network abuse/spam
remarks:      only to: 
ab...@interbusiness.it
 .
remarks:      If you report abuse to any other address
remarks:      you will get no response.
notify:       
net...@cgi.interbusiness.it
mnt-by:       INTERB-MNT
changed:      
ma...@cgi.interbusiness.it
 20011009
source:       RIPE
person:       Massimo Ponzi
address:      Starline SpA
address:      Via Candia, 66
address:      I- 00192 Roma
address:      Italy
phone:        +39 6 3337073
fax-no:       +39 6 3337553
e-mail:       
star...@voitek.net
nic-hdl:      MP7528-RIPE
changed:      
dom...@cgi.interbusiness.it
 20000118
source:       RIPE
person:       Szwarc Wojciech
address:      Szwarc Wojciech
address:      Via Cornovecchio 11
address:      I-00188 Roma (RM)
address:      Italy
phone:        +39 6 33677004
fax-no:       +39 6 8075711
nic-hdl:      SW241-RIPE
changed:      
cgia...@cgi.interbusiness.it
 19970618
source:       RIPE
barbun]$ whois 172.16.100.15
OrgName:    Internet Assigned Numbers Authority 
OrgID:      IANA
NetRange:   172.16.0.0 - 172.31.255.255 
CIDR:       
172.16.0.0/12
 
NetName:    IANA-BBLK-RESERVED
NetHandle:  NET-172-16-0-0-1
Parent:     NET-172-0-0-0-0
NetType:    IANA Special Use
NameServer: 
BLACKHOLE-1.IANA.ORG
NameServer: 
BLACKHOLE-2.IANA.ORG
Comment:    This block is reserved for special purposes.
            Please see RFC 1918 for additional information.
RegDate:    1994-03-15
Updated:    2002-09-12
OrgTechHandle: IANA-ARIN
OrgTechName:   Internet Corporation for Assigned Names and Number 
OrgTechPhone:  
+1-310-823-9358
OrgTechEmail:  
res...@iana.org
il primo whois fa risalire il server intero a cui ci si collega a Starline
SpA (un call center) con riferimento a Massimo Ponzi (proprietario o
tecnico?) all'indirizzo di Via Candia 66 Roma, telefono +3963337073, fax
+3963337553 e mail 
star...@voitek.net
il secondo whois fa riferimento al sito che va in timeout e chiarisce
perche' non funziona: non esiste alcun server in ascolto a quell'ip e il
dialer fornisce un indirizzo falso
in caso di dubbi invito chiunque a ripetere i passi da me compiuti per
verificare le informazioni
saluti a tutti
note:
1) esistono numerosi editor esadecimali anche sotto altri sistemi
operativi: andate per esempio su tucows per procurarvene uno
2) i database whois sono consultabili anche via web al sito 
www.ripe.net
-- 
palladium: un nuovo 1984?
http://www.complessita.it/tcpa/

dialer fornisce un indirizzo falso
E' una classe per reti private (intranet).
Sono dei range di indirizzi che sono vietati su internet, concessi
solo su reti interne.
Te le elenco:
10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255
Ciao
Qam