Newsgroup: it.news.net-abuse
Titolo: ci ho capito na apascio

 risposto ... indagheranno dicono)
Poco da indagare.. e' un proxy aperto.
Certo che la server farm di Tin, che accetta tutto dai proxy aperti, deve 
avere una potenza mica da ridere - la massa di proxy spam ormai e' 
apocalittica.
--
furio ercolessi
http://www.spin.it/spam/

 62.42.228.20
Gia'
% dig a 
www.bellezze.biz
 @
200.43.227.117
www.bellezze.biz
.       10M IN A        62.42.228.20
Proxy aperto per ridirigere il web.  E' il giochetto che e' e' stato 
discusso ieri, basato sulle views Bind.
inetnum:      62.42.0.0 - 62.43.255.255
netname:      ES-ONO-20000503
descr:        ONO
% dig a 
www.bellezze.biz
 @
dns01.ono.com
www.bellezze.biz
.       4m44s IN A      216.93.166.92
http://spamhaus.org/SBL/sbl.lasso?query=SBL7233


 
bellezze.biz
.           245     IN      NS      
ns4.catramina.com
.
Mai - dicasi *mai*! - chiedere la lista degli NS di uno spammer a
un nameserver non autoritativo per il suo TLD, soprattutto se e'
uno spammer specializzato in trucchi DNS.
I nameservers autoritativi per 
bellezze.biz
 te li danno solo
{a,b,c,d,e,f}.
gtld.biz
 :
% dig 
bellezze.biz
 @
a.gtld.biz
bellezze.biz
.           2H IN NS        
NS1.SOUTH-WATERS.biz
.
bellezze.biz
.           2H IN NS        
NS1.TRANSZAMBA.biz
.
bellezze.biz
.           2H IN NS        
NS2.SOUTH-WATERS.biz
.
bellezze.biz
.           2H IN NS        
NS2.TRANSZAMBA.biz
.
NS1.SOUTH-WATERS.biz
.   2H IN A         200.43.227.117
NS1.TRANSZAMBA.biz
.     2H IN A         200.43.50.101
NS2.SOUTH-WATERS.biz
.   2H IN A         200.3.82.242
NS2.TRANSZAMBA.biz
.     2H IN A         200.43.227.174
(che sono quelli che ho postato prima, e in generale sono anche
quelli che si trovano nel record whois del dominio).
I "catramina" - che lo spammer ha indicato nel suo file di zona -
possono benissimo essere nameservers altrui con la query recursiva
aperta al mondo.
Queste cose le hano insegnate Ralsky e Cowles molti anni fa...


aperta al mondo.
Aspetto una versione di BIND che di default ignori le query provenienti
da lame delegation...
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery


To: "lorella" 
lor...@virgilio.it
Subject: Mp3  pronti  da  scaricare!            Pkwmjhimxn
Date: Wed, 07 May 2003 20:17:12 -1100
MIME-Version: 1.0
Content-Type: text/plain;
 charset="iso-8859-1"
Content-Transfer-Encoding: base64
X-Priority: 1
X-MSMail-Priority: High
X-Mailer: Microsoft Outlook Express 6.00.2462.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2462.0000
Il testo è codificato (come mai il content-type non risulta
multipart/related?) - portate pazienza ma non ho tempo per studiare
tutti i sacri testi in una volta -
In chiaro vedo:
VAI SU 
HTTP://WWW.MP3-JUKEBOX.BIZ
e scopri il nuovo modo per scaricare MP3 su internet!!
[cuttone]
vai su 
http://www.mp3-jukebox.biz
 e...BUON DOWNLOAD!!
[cuttino]
se non vuoi ricevere da noi altre comunicazioni gratuite come
questa clicca qui: 
http://www.mp3-jukebox.biz/unsubscribe_email.php
e rimuovi la tua email da successivi invii
E guarda guarda che ti ritrovo:
mp3-jukebox.biz
 resolves to 62.42.228.20 ovvero 
ma3-b-cache.ono.com
[AS6739] Spain
whois -h 
whois.neulevel.biz
 
mp3-jukebox.biz
Domain Name:                                 
MP3-JUKEBOX.BIZ
Domain ID:                                   D4384888-BIZ
Sponsoring Registrar:                        ENOM, INC.
Domain Status:                               ok
Registrant ID:                               CAE3E6B41C28BED7
Registrant Name:                             Federico Ciniselli
Registrant Organization:                     ferry ltd
Registrant Address1:                         radial plaza
Registrant City:                             offzone
Registrant Postal Code:                      34334
Registrant Country:                          United States
Registrant Country Code:                     US
Registrant Email:                            
in...@mp3-jukebox.biz
[...]
Name Server:                                 
NS1.SOUTH-WATERS.BIZ
Name Server:                                 
NS2.SOUTH-WATERS.BIZ
Name Server:                                 
NS1.TRANSZAMBA.BIZ
Name Server:                                 
NS2.TRANSZAMBA.BIZ
Created by Registrar:                        ENOM, INC.
Last Updated by Registrar:                   ENOM, INC.
Questo, tanto per informarvi...
--
Jolly

Salve a tutti, non ho partecipato mai a newsgroup e mi scuso in
anticipo se replico nel posto sbagliato.
La mia situazione è abbastanza grave.
State parlando del sito 
mp3-jukebox.biz
, ed io sono il frateralph
della firma.
La cosa gravissima è che io NON SONO IL PROPRIETARIO DEL SITO (ovvio),
bensì sono il grafico (sono un libero professionista) che ha
confezionato il sito per un cliente l'anno scorso.
Il sito in questione è stato COPIATO IN TUTTO E PER TUTTO dal sito del
mio cliente, compresa la firma a pie' pagina.
Sto ricevendo email di protesta in quanto l'unica persona
riconducibile al sito sono io.
Ho postato il problema anche su 
html.it
 
http://forum.html.it/forum/showthread.php?s=&threadid=443446
sono stato costretto a mettere in entrata del mio sito un popup in cui
dichiaro che non ho nulla a che fare con il sito in questione, ma sto
perdendo lavoro a causa di questo disguido, per non parlare delle noie
per le accuse che ricevo.
Ho scritto alla ENOM, a diverse email, ma non mi hanno risposto.
Mi potete aiutare.
Grazie.
Andrea Biagioni.


www.bellezze.biz
.       4m44s IN A      216.93.166.92
come si fa a risalire al DNS utilizzato dal proxy?
sto cercando di recuperare il vero indirizzo di 
www-over-the-top.biz
ma tutto sto spam è della nostra amata M***** che è tornata in grande
stile?
thanx,
-- 
Marco
"I trolls sono stupidi. Gli spammers pure. [vedi Regola 1]"

 come si fa a risalire al DNS utilizzato dal proxy?
In questo caso, notato che l'IP apparente del sito web era
su 
ono.com
, ho provato uno degli NS di 
ono.com
 ed e' andata bene.
Piu' in generale occorre configurare l'IP apparente del sito
come proxy porta 80 sul proprio browser, visitare un sito di
cui si ha il controllo del nameserver e vedere da dove e' arrivata
la query.   Tuttavia non e' detto che quel nameserver lasci
risolvere ad esterni.
In ogni caso abbiamo gia' un ottimo elemento in mano: 216.93.166.92,
rete 
servepath.com
, SBL7233.


su 
ono.com
, ho provato uno degli NS di 
ono.com
 ed e' andata bene.
Comunque si tratta di uno spammer già ampiamente noto e catalogato,
questo è il vero name server: 
http://openrbl.org/ip/66/96/85/49.htm
 .
Tutto il /20 è in SBL da febbraio, quindi direi che ci sono zero
possibilità di ottenere qualcosa.


 come proxy porta 80 sul proprio browser, visitare un sito di
Potrebbe anche non funzionare. Meglio mettere momentaneamente
una riga in hosts.
Fabio

risolvere ad esterni.
chiapperi ... non è semplicissimo.
tra l'altro il nuovo spam che punta a quel sito è davvero rognoso!
stessa mail con from identico e to differente, ma cmq faked.
ultima riga con caratteri random.
ho ricevuto 3 copie della mail, inviata (o proxata attraverso)
macchine completamente diverse:
213.227.60.114
216.78.53.21
210.6.92.123
spampal ha bloccato solo l'ultimo dei tre (hong kong).
curioso è anche vedere che la version /release di Outlook Express (il
mailer usato) cambia di volta in volta!
cmq sembra che il filtro antispam di tiscali segnali la mail come spam
(X-Media-Type: Suspected Spam)


 Potrebbe anche non funzionare. 
Penso che se non funzionasse non vedresti il sito dello spammer.
Il motivo per cui vedi il sito dello spammer e' che quella macchina
e' un open GET proxy su porta 80, e quindi ti fa vedere qualunque
pagina le chiedi.


 pagina le chiedi.
Quella macchina funziona come proxy _sicuramente_ per una GET tipo
GET /path HTTP/1.x\r\nHost:nome.virtual.domain, perche' altrimenti
lo spammer non l'avrebbe scelta. Se la metti come proxy nella conf
del browser, gli invierai una GET che avra' una sintassi del tipo:
GET 
http://nome.virtual.domain/path
 HTTP/1.x. Non tutti i proxy si
premurano d'onorare entrambe le richieste. E' la differenza che ho
cercato, evidentemente inutilmente, di far presente nel thread dal
titolo "Come gli spammer nascondono le loro tracce ..." di qualche 
giorno addietro, distinguendo tra i proxy "convenzionali" e quelli
transparent/surrogate.
Quindi, in pratica, se usi esplicitamente quella macchina come tuo
proxy funziona spesso, se metti una riga in hosts funziona sempre,
a patto che tu non stia gia' usando un proxy (da disabilitare, per
l'occasione, ovviamente).
Fabio

 sto cercando di recuperare il vero indirizzo di 
www-over-the-top.biz
chiedilo adesso a 
ns.thrunet.com
e ti dira' 216.93.166.92