Newsgroup: it.news.net-abuse
Titolo: Consiglio regione puglia: fusse che fusse...


Jul 21 10:14:36 mail postfix/smtpd[10634]: disconnect from
89-97-223-94.ip19.fastwebnet.it
[89.97.223.94]
bye G.L.
-- 
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 
89-97-223-94.ip19.fastwebnet.it
[89.97.223.94]
No, quasi tutto il phish e' spedito attraverso abuso AUTH
(username/password deboli), non da malware.  
Tuttavia, potrebbe essere trojanizzato il PC che ha inviato il
messaggio al server di 
consiglio.puglia.it
 (il cui IP si trova
forse in una Received piu' in basso).
furio

 (username/password deboli), non da malware.
Anch'io ho pensato che avessero abusato del loro server smtp
pero' il primo MX ha indirizzo .93 e non .94.


 forse in una Received piu' in basso).
Tra l'altro, ha una regolarita' impressionante: uno ogni quarto
d'ora esatto. Quasi quasi tolgo il controllo sul sender, e vediamo
cosa arriva.



X-OriginalArrivalTime: 20 Jul 2008 23:00:49.0092 (UTC) 
FILETIME=[7366B040:01C8EA
BC]
X-TM-AS-Product-Ver: SMEX-8.0.0.1259-5.500.1027-16044.000
X-TM-AS-Result: No-42.390000-5.000000-31
X-TM-AS-User-Approved-Sender: No
X-TM-AS-User-Blocked-Sender: No
To: undisclosed-recipients:;
<a href="
http://www
 (dot) tiirafoorumi (dot) 
info/themes/subSilver/images/jpg.html"><img src
="
http://www
 (dot) tiirafoorumi (dot) 
info/themes/subSilver/images/cccc.gif" border="0" alt=
""></a>


 su un web server appartenente alla Regione Puglia :D ?
Puo' darsi. BTW, .93 e' l'MX primario, .92 e' quello secondario, che e'
anche l'indirizzo del server web. Cio' che mi arriva, mi arriva dal .94


Renaissance wrote:
Dopo averlo fatto "sfogare", sembra non stiano piu' bussando... :-)
bye G.L.


 pero' il primo MX ha indirizzo .93 e non .94.
Server configurati con IP di uscita diverso da quello di entrata
sono abbastanza comuni.
La macchina troianizzata (con lo scopo di nascondere la vera
sorgente, tipicamente in Romania) e' 74.219.248.250  (
rr.com
broadband business, IP statico).
furio

 broadband business, IP statico).
Ora che ho lasciato passare l'email, non "bussano" piu'.
Sto ipotizzando che magari per un momentino il sysadmin abbia lasciato
il relay aperto. Solo che, fosse stata una momentanea distrazione,
e lasciando questa email in queue, mi chiedo come mai il loro server
stesse ignorando (o male interpretando) il reject 450 (oppure... e'
il mio mta che dovrebbe rispondere con un altro codice?)
Grazie delle info.


> stesse ignorando (o male interpretando) il reject 450
un bel 5xx no eh :) ?

 un bel 5xx no eh :) ?
L'email e' stata respinta in quanto e' sconosciuto il dominio
del sender address: 450 e' il default che ho su postfix.
Lo devo davvero cambiare? :-)
access_map_reject_code = 554
defer_code = 450
unknown_address_reject_code = 450
unknown_client_reject_code = 450
unknown_hostname_reject_code = 450
unverified_recipient_reject_code = 450
unverified_sender_reject_code = 450
reject_code = 554
relay_domains_reject_code = 554
access_map_reject_code = 554
invalid_hostname_reject_code = 501
maps_rbl_reject_code = 554
multi_recipient_bounce_reject_code = 550
non_fqdn_reject_code = 504
unknown_local_recipient_reject_code = 550
unknown_relay_recipient_reject_code = 550
unknown_virtual_alias_reject_code = 550
unknown_virtual_mailbox_reject_code = 550


 Lo devo davvero cambiare? :-)
Mi rispondo da solo: 4xx, a quanto ho capito, e' un "soft reject".
Forse e' meglio lasciarlo cosi', non sia che vengano permanentemente
rifiutate email il cui sender e' su un dominio con servers
temporanamente down.


 down.
eeeh ?!? naaaah !!!
cmq, se decidi di lasciare quei 450, preparati a vedere i
retry di invio "over and over" fino alla scadenza (come è
appunto successo... o meglio come stava succedendo)

 appunto successo... o meglio come stava succedendo)
Oddio, non sono molti, e' un server a basso traffico. :-) BTW,
se non erro dovrei modificare "unverified_sender_reject_code"
da 450 a 550, giusto?


 da 450 a 550, giusto?
No, e' unknown_address_reject_code. Fatto, denghiu'. :-)


> No, e' unknown_address_reject_code. Fatto, denghiu'. :-)
di nulla; ma già che ci sei, dai un'occhiata anche agli altri;
considera che il "4xx" equivale ad un "ritenta più tardi" mentre
il "5xx" ad un "sorry, non c'è trippa per gatti" :) per cui credo che
per diverse casistiche sia più opportuno un 5xx di un 4xx :-)
dopotutto se una mailbox non esiste o se ci sono problemi
che comunque impedirebbero *sempre* il recapito di un dato
messaggio, non ha senso chiedere al mittente di ritentare e
sottoporre il mailserver ricevente ad una transazione inutile

ObiWan wrote:


Dunque, per come ho configurato postfix, e/o comunque per le casistiche
mie, per il momento il 450 veniva emesso solo per per il caso
"Sender address rejected: Domain not found". Che poi, e' uno dei
controlli impostati al fine di ridurre junk mail/spam.


 controlli impostati al fine di ridurre junk mail/spam.
E direi che cosi' deve rimanere.
Pensa solo a un temporaneo acciacco dei dns, con un 5xx rifiuteresti la 
mail, con un 4xx diresti al server di riprovare piu' tardi.

Neoviruz wrote:


Vale a dire, se il mio dns, o quello del mio provider, va giu',
attacchera' a dare "domain not found" a tutto spiano sul sender,
qualunque cosa gli arrivi? Mmhh... ripiazzo il 450. :-)


 qualunque cosa gli arrivi? Mmhh... ripiazzo il 450. :-)
Ottima scelta :)

 Ottima scelta :)
Eh mi sa... anche considerando che i dns di alcnuni domini di
cui ospitiamo la posta vanno giu' volentieri anche per piu' di
2 gg. :-)


 tardi.
uh... aspè ... frena... se hai un server che funge da MX per "n"
domini, se arriva una email *indirizzata* ad un domio che
non è gestito dal tuo server che fai... rispondi con un 450 ?!?
Il tuo discorso fila se il check viene fatto sul dominio mittente,
ma non mi quadra se invece il check è sul destinatario

 (username/password deboli), non da malware.
vero anche per loro, hanno l'utente info con stessa password
NFO new count for 89.97.223.93
GOL for *** info        info *** 
http://dsbl.org/listing?89.97.223.93

 
"Sender address rejected: Domain not found"
Mi pare sia abbastanza esplicativo.

 Mi pare sia abbastanza esplicativo.
si si... ero abbastanza rinco :P