Newsgroup: it.news.net-abuse
Titolo: Lo "spettrale" Outblaze.com


La lettura degli header a me che sono un autodidatta appare
difficoltosa grazie al continuo uso dei bogon, cmq mi pare che
l'indirizzo di presentazione sia assegnato alla Corea e che
l'indirizzo supposto dello spammer faccia capo ad outblaze, che credo
non sia una nuova conoscenza.
Vedo pure che il server 
cm147.cavy10.catvnet.ne.jp
 è all'indice di
Spamcop.
Suggeritemi per favore qualche mossa per segnalazioni: comincio
cercando ed avvertendo l'amministratore del relay?
--
Gabriele Orlando ---> 
pierro...@people.it
<<Homo sum humani nihil a me alieno puto>>
(Publio Terenzio Afro, Heautontimoroumenos)

 Spamcop.
Outblaze e' una delle maggiori forze su cui la comunita' antispam
internazionale puo' contare, grazie soprattutto all'intelligenza
e lavoro di prima qualita' del grande Suresh Ramasubramanian.
Gli spammers assolutamente detestano Outblaze, al punto da 
falsificare sistematicamente i loro domini dovunque possono
per far loro arrivare il maggior numero di rimbalzi e segnalazioni
fasulle.
Non c'e' assolutamente nessuna risorsa di Outblaze coinvolta nello
spam che mostri qua sopra.  Il trojaned a 61.215.249.147 e'
l'unica informazione estraibile dagli header.  Il mailer
usato per guidare il bot e' probabilmente il DMS di Panov, la
release 2.
furio

 cercando ed avvertendo l'amministratore del relay?
Se vuoi creare il massimo danno allo spammer concentrati sulla URL.
Tuttavia questi sono spam abbastanza laboriosi da tracciare.
Si tratta di "vero" bulletproof hosting.
Si parte sempre dai TLD servers:
% dig ns 
mulieric.com
 @
a.gtld-servers.net
;; ANSWER SECTION:
mulieric.com
.   172800  IN NS   
aa.ecologymb.com
.
mulieric.com
.   172800  IN NS   
bb.ecologymb.com
.
;; ADDITIONAL SECTION:
aa.ecologymb.com
. 172800  IN    A       61.129.102.179
bb.ecologymb.com
. 172800  IN    A       211.156.249.81
Stile di Leo Kuvayev, ed infatti:
http://www.spamhaus.org/SBL/sbl.lasso?query=SBL38878
http://www.spamhaus.org/SBL/sbl.lasso?query=SBL38690
Questi nameservers sono il cardine dell'hosting e la risorsa
piu' importante.
61.129.102.179 -->  
online.sh.cn
  (chinanet shanghai)
		    Tuttavia questo NS e' gia' stato messo KO da Shanghai,
		    non funziona e quindi inutile segnalarlo.
211.156.249.81 -->  
wtonline.net
.  
E pure il sito sta qui:
% dig a '*.
mulieric.com
' @
211.156.249.81
*.
mulieric.com
.   3600  IN A    211.156.249.88
[ In realta' il tracciamento del sito puo' pure essere piu' complesso
del risultato dato dalla wildcard, vedi ad esempio questo post di Spamless 
http://groups.google.com/group/news.admin.net-abuse.sightings/msg/e3bf0705dfbb5d86
per un'idea di come si dovrebbe lavorare ;-)   Io sicuramente non
ho la sua pazienza, in genere. ]
Questo e' un problema, perche' tutta la rete 
211.156.240.0/20
 
("Zhan Jiang Wan Tong Co.,Ltd.", 
wtonline.net
, dice APNIC) e'
e' attualmente in mano a spammers (i $$$ corrompono i cinesi con molta
facilita' e interi ISP vengono "dati in uso" per periodi dell'ordine
di qualche mese).
--->  
http://www.spamhaus.org/SBL/sbl.lasso?query=SBL35034
Volendo segnalare, l'unica cosa che puo' avere un senso qui e'
segnalare agli upstreams che stanno dando connettivita' a questa rete.
Il sistema autonomo non aiuta perche' e' tutto nel gran calderone
di AS4134 (Chinanet backbone), tuttavia una traccia mostra un
cammino che fnisce con
   ... 59.34.237.22 -> 219.132.38.66 -> 211.156.249.89
dove 219.132.38.66 incredibilmente fa capo, secondo il whois di
APNIC, a un bar(?) ("LIAN-JIANG-ZHONG-CHUN-SHI-NETBAR"), come gia'
discusso in 
http://www.spamhaus.org/SBL/sbl.lasso?query=SBL38975
Questo suggerisce uno scenario in cui un'organizzazione di spammers
ha raccolto gli IP di un ISP deceduto e li ha sistemati su un
ammasso di PC in uno scantinato sotto a un bar, ma sto lavorando di 
fantasia :-)
Ma 219.132.38.66 e' sicuramente un IP di Chinanet-Guangdong, e
l'abuse desk di Guangdong e' l'unico braccio su cui si puo'
pensare di far leva in questo momento --> abuse%
gddc.com.cn
Possibile messaggio:
"Chinanet Guangdong!! Many bad american spammers in 
211.156.240.0/20
 
 ZhanjiangWantong! Connected through 219.132.38.66 
 LIAN-JIANG-ZHONG-CHUN-SHI-NETBAR! Please disconnect spammers!!!
 Thank you!!!!"
furio

 wrote:
[Cut]
Ti ringrazio, la sofisticazione dei passaggi mi risultava veramente
ardua, seguirņ i tuoi consigli.
A presto, G.
