Newsgroup: it.news.net-abuse
Titolo: spam "attention foreign residents"


Subject: Re: Attention all foreign citizens
Date: Mon, 10 Dec 2001 21:07:22 -0500
MIME-Version: 1.0
Content-Type: text/html;
 charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 5.00.2615.200
X-MimeOLE: Produced By Microsoft MimeOLE V5.00.2615.200
<HTML>
<BODY>
<FONT color=3D"#0000FF"><B>
<FONT face=3D"MS Sans Serif">
<FONT size=3D2> Doubling your investment is more achievable<BR>
than you think!<BR>
<FONT color=3D"#0000FF"><B>0  <BR>
200% return could have been achieved in less than 30 days!<BR>
Learn about our strategy trading in the InterBank Foreign<BR>
Currency Exchange.<BR>
 <BR>
Get our Reports, Charts and Strategies on the U.S. Dollar vs<BR>
Japanese Yen and Euro.<BR>
 <BR>
<FONT color=3D"#0000FF"><B> Example:<BR>
<FONT color=3D"#0000FF"><B>0  <BR>
A $5,000 Investment in the Euro vs the dollar, "properly positioned",<BR>
on 7/17/01 could possibly have returned $12,500 on 08/10/01. <BR>
<BR>
Must be 21 years of age. <BR>
<BR>
For additional information, stop by our website..today.<BR>
<BR>
<a href=3D"
http://www.servicenetbest.com/invest
">click here</a> <BR>
<BR>
This email advertisement is sent out to those who subscribed<BR>
on our web site or one of our many affiliated web sites.  <BR>
If you received this email in error or you would like to opt-out<BR>
from our database, please go to the following: <BR>
<BR>
<a href=3D"mailto:
consul...@hr.vmsite4.info
">click here</a><BR>
<BR>
<BR>
<BR>
<BR>
</FONT></FONT>
</BODY>
</HTML>
--
LZP
mail: 
l...@libero.it
CDex in italiano e le FAQ di it.comp.software.emulatori su:
http://digilander.iol.it/lzpsite/

 
Beh questo e' Ralsky, si vede lontano un miglio :-)
http://www.spamhaus.org/rokso/search.lasso?evidencefile=1290
Nota due caratteristiche tipiche:
1) 168.191.157.84 e' un dialup
   [ 
sdn-ar-003txdallP148.dialsprint.net
 ].
   E' casuale che sia Sprint, poteva essere AT&T o
   Level3 o Telia o qualsiasi altra cosa [ _non_ e'
   questo il supporto a spammers da parte di Sprint
   di cui si parla di solito ].
   Quando l'account viene segato il web rispunta 
   immediatamente su un altro IP, sempre dialup.
   Il tipo ha evidentemente un serbatoio di accounts
   pronti all'uso.
2) Ci sono diversi nameserver dichiarati per questo
   dominio:
 
servicenetbest.com
.     2D IN NS        
NM1.GRINDBIND.com
.
 
servicenetbest.com
.     2D IN NS        
KO1.GRINDBIND.com
.
 
servicenetbest.com
.     2D IN NS        
NS3.GRINDBIND.com
.
 
servicenetbest.com
.     2D IN NS        
NS1.NETWORKBEAT.NET
.
 
servicenetbest.com
.     2D IN NS        
NS2.NETWORKBEAT.NET
.
 
servicenetbest.com
.     2D IN NS        
DV1.GRINDBIND.com
.
 
NM1.GRINDBIND.com
.      2D IN A         65.69.110.1
 
KO1.GRINDBIND.com
.      2D IN A         24.182.105.208
 
NS3.GRINDBIND.com
.      2D IN A         65.160.45.60
 
NS1.NETWORKBEAT.NET
.    2D IN A         64.86.190.58
 
NS2.NETWORKBEAT.NET
.    2D IN A         65.174.218.253
 
DV1.GRINDBIND.com
.      2D IN A         4.60.111.133
   ma di questi solo uno funziona, 64.86.190.58 (rete
   Teleglobe).  Gli altri servono a depistare, presumibilmente.
   Questo nameserver e' il cardine attorno a cui ruota
   tutto, in quanto indica l'IP a cui si trova
 
www.servicenetbest.com
 (il record sta nelle cache per
   soli 2 minuti, permettendo movimenti rapidi) e altre 
   decine o centinaia di domini spam-advertised.
Si suppone che l'uomo abbia una linea dedicata (probabilmente
64k sono sufficienti) per il nameserver, un gran numero 
di linee telefoniche per i siti web e per l'invio degli
spam, uno o piu' routers con molte interfacce seriali e uno 
o piu' apache con server virtuali su numeri IP in rete interna.  
I routers fanno una mappatura NAT tra i server virtuali e
gli IP dei collegamenti dialup; il nameserver diffonde i
numeri dei siti in quel momento.
Gli spam sono inviati abusando di relay aperti in giro per
il mondo in parallelo, presumibilmente a milioni al giorno.
Una frazione significativa di tutto lo spam in circolazione
e' originata da Ralsky.
Chi vuole mandare un lart, si concentri sulla rete in 
cui si trova il nameserver: attualmente Teleglobe.net,
a meno che non abbia voglia di giocare un po' a whack-a-mole 
con i dialups.
--
furio ercolessi
http://www.spin.it/spam/


From: 
e14...@kimo.com.tw
Subject: The perfect investment tool
con il solito link al sito:  "
http://65.166.104.67/invest
"
E mo' che faccio..%-))
Ho reinviato il tutto ad ATT anche se visto il risultato della prima
segnalazione mi sembra che serva come il due di picche quando c'è fiori di
briscola, ma a quanto ho capito mandarlo anche a Sprint è abbastanza
inutile. 
Grazie in anticipo,
Ciao, Josh
ps. Almeno sapessi cos'è un lart..;-)

 ps. Almeno sapessi cos'è un lart..;-)
Un Luser Attitude Readjustement Tool.
http://www.spamfaq.net/terminology.txt
  3.2.4


 
http://www.spamfaq.net/terminology.txt
  3.2.4
Grazie per il link, almeno mi erudisco un po' ;-)
Però oltre a quanto ho fatto, nel mio piccolo ho finito le alternative
rimaste...se ho capito bene..?
Ciao, Josh

 a sprint e Att.
In effetti ti ho dato un'informazione sbagliata.
Pur pubblicizzando lo stesso "servizio" dello spam Ralsky che ha 
iniziato questa thread (
http://www.servicenetbest.com/invest
),
la tua copia proviene da un'altra importante spam factory, 
quella di Scelson.  Il committente, che dev'essere piuttosto
danaroso, ha dunque affidato l'incarico a due diverse spam 
factories, e tra le piu' grosse del mondo.
La tua copia aveva 
http://65.166.104.67/invest
 
Questo IP e' attualmente incluso in SBL e SPEWS:
 
http://www.spamhaus.org/SBL/sbl.lasso?query=SBX388
 
http://spews.org/ask.cgi?S398
da cui si risale a Scelson:
http://www.spamhaus.org/rokso/search.lasso?evidencefile=1070
Il blocco 
65.166.104.0/24
 e' su Sprint, quindi a prova di
bomba.  Mi pare che l'unico sforzo serio contro Sprint in
questo momento lo stia facendo Spamhaus, che ha incluso in SBL
i loro corporate servers.  Per aiutare, si puo' chiedere al
proprio ISP di filtrare la posta con SBL, oppure cambiare
provider di posta ed usarne uno che utilizza SBL ed e'
pronto a sostenere i danni collaterali derivanti dal blocco
di parti della rete Sprint.


 di parti della rete Sprint.
Se ho ben capito il funzionamento, anche questo potrebbe essere inutile
visto che Sprint provvede solo all'hosting in questo caso. Infostrada
potrebbe quindi rispondermi, immagino a ragione, che non ci sono elementi
per filtrare la posta di Sprint visto che lo spam non proviene da li.
Così come non esistono ragioni per filtrare la posta da ATT, visto che anche
se viene usata come generatore di accounts, collabora con le politiche
antispam terminando gli account coinvolti.
Sembra che stiano in una botte di ferro, più o meno..
Grazie per l'aiuto comunque.
Ciao, Josh