Newsgroup: it.news.net-abuse
Titolo: Interpretazione header

>
X-Priority: 3
Content-Type: text/html; charset="iso-8859-1"
To: my
Content-Transfer-Encoding: Quoted-Printable
Received: from 
aezimrxpfaqdzkvr.com
 by 
6X1K6Y0S.aezimrxpfaqdzkvr.com
 with
SMTP for my; Wed, 08 Jan 2003 22:17:55 -0800
Importance: Normal
X-UIDL: 615860da4fb4aa358db52b225e76e99a

ammesso che l'header non sia falsato il dato di maggiore importanza è l'ip
di origine ovvero 24.207.236.102
puoi verificare personalmente le info andando qua:
http://www.ripe.net/perl/whois
e inserendo quel indirizzo ip dovresti trovare maggiori informazioni.
In questo caso: This address space is assigned at various other places in
the world and might therefore not be in the RIPE database
Ragion per cui dovresti avere bisogno di maggiori dati per fare una ricerca
avanzata e non credo sia il caso ;)

 ha scritto nel messaggio
news:avjbc7$ehk$1...@lacerta.tiscalinet.it...

Fin qui c'ero arrivato anch'io. Ma non riesco ad andare avanti, nemmeno
cercando nella blacklist di SPEWS .
In questo caso qual è il comportamento più responsabile.
Qualcosa dovrei pur fare ... spero
Fare finta di niente :-(( mi auguro di no)
E' un brutto inizio per me. Il primo caso sul quale mi sono applicato
seriamente è praticamente intrattabile per un normale utente della rete.
Saluti
Arturo

 
http://www.ripe.net/perl/whois
no. Il ripe ti da' solo le informazioni per l'europa.
comunque il tuo isp ha ricevuto la mail da una vera fogna.
Vedi 
http://openrbl.org/ip/24/207/236/102.htm
indirizzo di un proxy aperto, conosciuto e catalogato (presente in DSBL,
opm.blitzed, osirusoft, njabl)

 opm.blitzed, osirusoft, njabl)
Grazie, ho imparato qualcosa.
Arturo

 opm.blitzed, osirusoft, njabl)
Charter Communications (che usa il range 24.207.128.0 - 24.207.255.255,
come indicata 
whois.arin.net
) e' in questo momento una rete gestita male,
e l'abuse desk sembra allo sbando.
--
furio ercolessi
http://www.spin.it/spam/

- Dominio dell'email utilizzata come drop-box (header From:): 
hotmail.com
- Percorso eseguito dall'email:
1) "
aezimrxpfaqdzkvr.com
" (24.207.236.102) ha inviato l'email a MYISP.it
- Schema dei server attraversati (1):
SPAMMER --> 
6X1K6Y0S.aezimrxpfaqdzkvr.com
 --> MYISP.it --> CASELLA LOCALE
- Server utilizzato per inviare l'email (2) (5): MYISP.it
- Server presente in blacklist: vedi openrbl
- Indirizzo IP dello spammer (3): 24.207.236.102
- NS Lookup dell'ip dello spammer (24.207.236.102):
sp2-24.207.236.102.charter-stl.com
- IP Block a cui appartiene 
24.207.236.102
: vedi database RIPE
- Abuse.net: E-mail da contattare per 
sp2-24.207.236.102.charter-stl.com
:
postm...@stl.com
- Abuse.net: E-mail da contattare per la drop-box
(
adeline1...@hotmail.com
) (4): 
ab...@hotmail.com
NOTE:
(1): Vengono considerati tutti gli header dell'email. Potrebbero perň
essercene alcuni falsificati e quindi l'analisi non sarebbe piů valida.
Accertarsi sempre che non ci siano intestazioni false.
(2): Dato che questo messaggio non č stato ricevuto dal nostro server
l'informazione potrebbe non essere attendibile. Infatti nel caso in cui il
tuo provider registri negli header dei passaggi a server interni, l'email
potrebbe sembrare aver avuto origine dal tuo stesso provider. Se č cosě ,
piů probabilmente si tratta di un caso di spam Direct-to-MX.
(3): In alcuni casi questo IP potrebbe non essere realmente quello dello
spammer ma quello di un proxy aperto che non lascia traccia negli header. Lo
si potrebbe verificare attraverso openrbl.
(4): Fare attenzione a questo campo. Il mittente dello spam potrebbe essere
falso o inventato anche se il formato dell'indirizzo email č corretto.
Quindi anche l'indirizzo che compare in questo campo potrebbe non esistere
in quanto 
abuse.net
, se non trova il record nel proprio database restituisce
come valore di default postmaster@dominio.
(5): Se l'email č partita localmente da un mailserver (ex. localhost o
127.0.0.1), quest'informazione potrebbe non essere attendibile. In questo
caso il server utilizzato per inviare l'email č direttamente l'IP dello
spammer.
----------------------------------------------------------------------------
----
CONCLUSIONE
Il messaggio di spamming con oggetto "Fw: Remember Me? AINNRGLOPV" č stato
inviato al server MYISP.it (vedere (1) e (2)).
Il server utilizzato per inviare il messaggio č MYISP.it. Sarebbe opportuno
innanzi tutto verificare se si tratta o meno di un relay aperto attraverso
openrbl (cioč se accetta di inviare email da parte di chiunque invece che
accettarle solo dai proprio utenti) e, in tal caso, č necessario avvisare il
postmaster in modo tale che possa correggere il problema. In entrambi i casi
č opportuno inviare a postm...@MYISP.it gli header dell'email di spamming
ricevuta. (sempre tenendo conto di (5) e di (2))
L'indirizzo IP dello spammer č 24.207.236.102 (vedi (3)). Questo č molto
importante dato che proprio grazie a questo IP puň essere rintracciato.
L'indirizzo IP 24.207.236.102 si risolve in
sp2-24.207.236.102.charter-stl.com
. Pertanto sembra appartenere al provider
stl.com
.
Si puň quindi scrivere un'e-mail a 
postm...@stl.com
 affinchč vengano presi
i dovuti provvedimenti nei confronti del proprio utente.
Il provider al quale lo spammer si appoggia per la sua drop-box (casella di
posta presente nell'header From:) 
adeline1...@hotmail.com
 č 
hotmail.com
(vedere (4)).
Possiamo quindi scrivere a 
ab...@hotmail.com
 affinchč la casella venga
chiusa.