Newsgroup: it.news.net-abuse
Titolo: spam cinese da se stesso

Ho un filtraggio abbastanza complesso via procmail che lascia passare
solo la posta da corrispondenti o dominii accademici noti e "diverte" i
messaggi di sospetto spam in 3 diversi folder a seconda del grado di
"sospetto" (rigetta quelli certi, mette da parte gli spam sospetti
secondo un pattern scoring, mette da un altra parte il resto).
Stamattina mi sono trovato uno spam "cinese" (per lo meno si qualifica
di essere nel "big5" character set e ha un subject cinese, anche se il
contenuto pare una banale frame HTML con un link
http://e8e8ya.xxking.com/ADSL.htm
) che e' passato nonostante tutto
(i mail in cinese dovrebbero essere rigettati da subito ... potrebbe
essere una questione di variazione nella sintassi intrappolata ... ma e'
la header che mi pare vagamente strana)
Nella seguente header ho sostituito il mio username con USERNAME e il
nostro dominio con VECCHIODOMINIO e NUOVODOMINIO (abbiamo recentemente
cambiato dominio ... quello vecchio ha un MX che punta a quello del
nuovo che lo sa gestire)
Ovviamente lo spam e' stato inviato a USERNAME@VECCHIODOMINIO (tutti
gli spam che ricevo sono inviati a quello e nello scoring ne tengo conto
[*] ... ed e' per quello che NON intendo dare il mio nuovo indirizzo)
... le occorrenze di NUOVODOMINIO sono inserite o aggiunte dal nostro
masquerading nel sendmail.
Evidentemente questo signore di Taiwan si e' collegato al nostro MX
dichiarandosi come VECCHIODOMINIO e mettendo nel From e nel To solo lo
USERNAME.
E' possibile difendersi da una cosa simile a livello di sendmail ?
Return-Path: <twix_pboi_q_w_m@VECCHIODOMINIO>
Received: from oort.NUOVODOMINIO (oort [155.253.16.49])
        by poseidon.NUOVODOMINIO (8.9.1/8.9.1) with ESMTP id BAA26823
        for <USER...@poseidon.NUOVODOMINIO>; Thu, 28 Nov 2002 01:19:32
+0100 (MET)
Received: from mail (
61-228-51-198.HINET-IP.hinet.net
 [61.228.51.198])
        by oort.NUOVODOMINIO (8.11.6+Sun/8.11.6) with SMTP id
gAS0JTf24278
        for <USSERNAME@VECCHIODOMINIO>; Thu, 28 Nov 2002 01:19:30 +0100
(MET)
Message-Id: <200211280019...@oort.NUOVODOMINIO>
From: "USERNAME" <USERNAME@NUOVODOMINIO>
To: "USERNAME" <USERNAME>@NUOVODOMINIO>
[*] potrei rigettare tutto quanto va al vecchio indirizzo, ma ci sono
sempre colleghi distratti o gestori di mailing list in cui non posso
modificarmi che tengono il vecchio ...
-- 
----------------------------------------------------------------------
nos...@ifctr.mi.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.

 di essere nel "big5" character set e ha un subject cinese, anche se il
Il motivo per cui era transitato nonostante procmail era che la riga
content-type conteneva uno spazio dopo l'uguale
Content-Type: text/html; charset= "big5"
mentre il mio procmail (ereditato da SpamBouncer) filtrava
^Content-Type: text/html; charset="big5"$
Mi era gia' capitato una altra volta di dovere modificare la regola
(cercare un content type splittato su due righe).
Secondo voi si tratta di mailer "broken" o fanno apposta a modificare
quelle header fuori standard per bypassare i filtri ?
(Non capisco bene la logica, perche' se uno rigetta TUTTI i messaggi in
cinese e' perche' non capisce il cinese, e quindi perche' mai uno
spammatore cinese dovrebbe considerarlo un potenziale cliente ?)


 gAS0JTf24278
A parte le altre considerazioni, da quel che possiamo dire (e abbiamo
fra i clienti aziende che scambiano email con Taiwan) rigettare la
posta da IP con "
hinet-ip.hinet.net
" nel reverse DNS si e' sino ad ora
per noi dimostrato sicuro.
--
furio ercolessi
http://www.spin.it/spam/

 spammatore cinese dovrebbe considerarlo un potenziale cliente ?)
Non esiste una logica.  Lo spamware cinese e coreano generalmente 
non riporta al suo utilizzatore i messaggi non consegnati, ossia
assorbe silenziosamente tutti i rimbalzi; o almeno HiMailer fa cosi': 
http://groups.google.com/groups?selm=1lmqnugttu58pe6b6jtj6opseb694uiso0%404ax.com
Una volta che uno finisce in una lista cinese o coreana, non c'e' 
quantita' di bounce al mondo (o alcuna altra procedura nota) che possa 
farlo uscire.  
