Newsgroup: it.news.net-abuse
Titolo: I.net e virus: ma che politica è?

Sto ricevendo decine di virus inviati direttamente dal servizio antivirus di
I.net!
Ma sono pazzi, incompetenti o che altro?
Mimmus
#######################################################
Da: Servizio Antivirus 
I.NET
 [mailto:
av-a...@inet.it
]
Inviato: martedě 6 aprile 2004 9.40
A: 
us...@katamail.com
Oggetto: ALERT: virus found from 
xxx...@aol.com
Gentile Cliente,
Il Servizio Antivirus di 
I.NET
 ha rilevato che una mail
indirizzata a Lei e proveniente da:
xxx...@aol.com
e' infetta da Virus informatici.
A scopo cautelativo, la mail infetta non Le e' stata
inoltrata direttamente.
Qualora desideri conservarla o farla esaminare da un
esperto, la trovera' in un file allegato a questo
messaggio.
Se invece decidera' di aprire il file allegato, Lei
esporra' il Suo computer al rischio di una infezione.
Alternativamente, Lei potra' decidere di cancellarlo.
Buon lavoro,
Staff 
I.NET
 Corporate Messaging
--- English version
Dear Customer,
I.NET
's Antivirus Service detected an eMail containing
a Virus addressed to you and coming from:
xxx...@aol.com
To protect you, this eMail was not sent directly to you.
Should you want to keep it or have a Technical Expert
to examine it, you will find it in a file attached to
this message.
Should You open the attached file, you risk exposing
your computer to an infection.
Otherwise, You might choose to delete it.
Good work,
Staff 
I.NET
 Corporate Messaging
----------------------------------------------------------------------
Per il personale tecnico: Informazioni in merito al Virus rilevato:
For technical support: Informations regarding the Virus detected:
/av_quarantine/avdV7v0DS archive: Mail
/av_quarantine/avdV7v0DS/[From 
xxx...@aol.com
][Date Tue, 6 Apr 2004 09:37:57
+0200]/UNNAMED ok.
/av_quarantine/avdV7v0DS/[From 
xxx...@aol.com
][Date Tue, 6 Apr 2004 09:37:57
+0200]/text ok.
/av_quarantine/avdV7v0DS/[From 
xxx...@aol.com
][Date Tue, 6 Apr 2004 09:37:57
+0200]/letter_user.name.doc infected: I-Worm.NetSky.q
/av_quarantine/avdV7v0DS disinfection failed: I-Worm.NetSky.q

 
[snip]
replagli (???) che inviare notifiche quando i mittenti sono falsi è da 
incompetenti.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Due linee rette s'incontrano
	all'infinito, quando ormai non gliene frega più niente

 incompetenti.
mah.. se la notifica viene inoltrata solo al destinatario non vedo il
problema (salvo l'eventuale flood della mailbox...)
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 vedo il problema (salvo l'eventuale flood della mailbox...)
Siccome la maggioranza sono indirizzi fasulli creati da worm per me 
il problema invec esiste, visto che ritornerebbero centinaia o 
migliaia di bounce in poche ore..
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group | X-Planet Community
http://www.fiag.it
       | 
http://www.x-planet.org

 Ma sono pazzi, incompetenti o che altro?
incompetenti, imho.
Qauntomento dovrebbero eliminare l'attachment anche se sinceramente 
la politica migliore secondo me potrebbe essere quella che adotto io,
ovvero:
Le mail in arrivo sono testate dal sistema AV. Se viene trovato un 
virus la mail viene spoglaita dell'attachment, viene cancellata e 
viene salvata in una area di spool dei miei hard disk. Il Sender non 
riceve nessuna notifica della cancellazione in quanto nella maggior 
parte dei casi i Sender sono faculli. Il destinatario non riceve 
nessuna notifica della avvenuta cancellazione, ma ha sempre la 
possibilità di accedere via web o ftp alle sue cartelle di spool per 
eventualmente controllare la propria situazione.


 bounce in poche ore..
quale è la parte non chiara della parola "destinatario"? Se il
*destinatario* non esiste, il bounce o non c'è - perchè il server
destinazione rifiuta il virus a livello di smtp transaction- oppure -se il
record MX corrisponde a un relayer che non ha visibilità delle utenze
finali- c'è lo stesso indipendentemente dalla generazione della notifica
(che in ogni caso bouncerebbe verso il server antivirus e non verso il
presunto mittente).


 presunto mittente) 
il caso tipico è quando:
8392mni...@x-privat.org
 manda una mail a 
djeaidj...@x-privat.org
Il mittente non esiste e quindi è inutile avvisarlo che sta mandando 
un virus, il destinatario non esiste e quindi la mail viene mandata a
postm...@x-privat.org
 con intasamenteo della casella postamaster in 
breve tempo.


 breve tempo.
Perfetto.
Ergo, il tuo server sta accettando e passando all'antivirus una mail
diretta ad un utente che su quel dominio non c'è.
Il problema, imho, è qui, non nel fatto di inoltrare la notifica o no.
Perchè senno il problema ti si pone esattamente identico per qualsiasi
tentativo di invio di posta con generazione a dizionario o forza bruta sul
tuo dominio, indipendentemente dalla presenza o meno di un virus dentro.
Anzi, in quel caso rompi le pelotas altrui generando bounces verso gli
utenti il cui indirizzo è stato falsificato, invece di ritrovarti "la
casella postmaster riempita in breve tempo".


 quale è la parte non chiara della parola "destinatario"?
"dmitry"
-- 
Quem plantar a paz, vai colher amor
Um grito forte de liberdade
Na Estação Primeira ecoou!

 ritrovarti "la casella postmaster riempita in breve tempo"
ergo magari ho impostato di non mandare i bounce?


 dalla presenza o meno di un virus dentro 
dimenticavo. Il problema della forza bruta non si pone in quanto c'č 
un sistema che banna un ip per X minuti quando questi invia piů di X 
messaggi a utenti inesistenti in X tempo.


 messaggi a utenti inesistenti in X tempo.
e quindi banna anche quello che finisce nell'antivirus.. il problema dove
sta, se all'AV non ci arriva?


 ergo magari ho impostato di non mandare i bounce?
Complimenti.. perfettamente RFC compliant, eh?
Immagino che i tuoi utenti saranno contenti che chi gli scrive e sbaglia a
digitare non viene nemmeno avvertito che l'email non arriverà mai a
destinazione...


 Complimenti.. perfettamente RFC compliant, eh?
No, perfettamente CarloCaccia-Compliant.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 arriverà mai a destinazione...
i miei utenti se non sono contenti mi scrivono e me lo dicono.


 solo un bene, imho.
No, su tutta la linea.
In particolare, i bounce si evita di mandarli quando non servono, ma ci
*devono* essere quando servono...


 
Non ti è capitato (come ad un mio utente) di essere bersaglio di un 
nonmiricordoqualevirus che reinviava se stesso più volte (probabilmente 
per un errore di programmazione); se ci metti il fatto che l'untore 
aveva una fastweb in fibra è arrivato a 1500 avvisi in qualche decina di 
minuti (lui aveva una analogica).


Mmah, inoltrare un virus, sapendo di farlo, non mi pare una bella cosa., io
l'avrei 'strippato'.
Pero', a pensarci bene, loro fanno il minimo indispensabile, poi se la vede
l'utente....
Grazie per le chiacchiere
Mimmus

 minuti (lui aveva una analogica).
Oh, no, mi è capitato eccome...
Anche sulla mia mailbox personale, quanto a quello...
Nei periodi di burst le notifiche vengono disabilitate, proprio per questa
ragione, e all'helpdesk si prodigano ad intervenire in questi casi.
Un'altra soluzione è la notifica dei virus diretti all'utente inviata come
digest giornaliero (qui ci sto lavorando...)
Il concetto, al di là di tutto, è che la notifica del blocco non è dannosa
di per sè, purchè inviata al destinatario...


 
Io ho preso questa politica: se il virus ha una qualche probabilità di 
inviarsi a email buone segnalo la cosa al destinatario e se posso (vedi 
virus in JS) le respingo a livello postfix, altrimenti cestino la 
segnalazione (tanto a me le notifiche arrivano comunque).
In periodi brutti (oramai ogni qualche mese) metto un filtro su mozilla 
che mi cestina i vari sober.c (una ecatombe) o altri.
Non sarà la soluzione migliore in assoluto ma è quella che crea meno casini


 migliore in assoluto ma è quella che crea meno casini
Il reject dei virus via postfix è buono, ma tranne rari casi richiede di
essere effettuato in mime_checks o body_checks.
Se gestisci 150K contatti smtp/die non è una via molto applicabile andarci
dentro di regexp, se non al costo di *tanta* potenza di calcolo...


 
Oddio, non sono tanti i virus che si propagano via js o come allegato 
con iframe..
Ed il mandare un iframe come allegato di posta mi sembra poco utile.
Un pflogsumm -yesterday mi segna una cosa tipo questa
Postfix log summaries for Apr  5
Grand Totals
------------
   23710   messages received
   18865   messages delivered
    3936   messages deferred
     554   messages bounced
       2   messages forwarded
     920m  bytes received
    1033m  bytes delivered
    3347   senders
    1967   sending hosts/domains
    2149   recipients
     750   recipient hosts/domains
Nel resto del responso non c'è il localhost usato dall'antivirus: lo 
salta a piè pari o i dati vanno divisi per 2?
Ciao


 ergo magari ho impostato di non mandare i bounce?
Complimenti. Tu e le rfc, non siete buoni amici, vero?
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Be afraid if you see a programmer with a screwdriver.

 solo un bene, imho.
Non stiamo parlando della netiquette, eh. Stiamo parlando degli
_standard_ implementativi del software. Questa affermazione e` ridicola.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
sigfault

 bella cosa., io l'avrei 'strippato'
concordo


 No, perfettamente CarloCaccia-Compliant
ma se sono nel tuo kill-file perchè non perdi occasione per leggermi 
attraverso gli altri? :) 
