Newsgroup: it.news.net-abuse
Titolo: unicreditsbanca.com: cancellato il dominio?

How I am searching:
Searching for 
unicreditsbanca.com
 A record at 
k.root-servers.net
[193.0.14.129]: Got referral to 
i.gtld-servers.net
. [took 92 ms]
Searching for 
unicreditsbanca.com
 A record at 
i.gtld-servers.net
.
[192.43.172.30]: Reports that no A records exist. [took 146 ms]
Answer:
No A records exist for 
unicreditsbanca.com
. [Neg TTL=172800 seconds]
Details:
i.gtld-servers.net
. (an authoritative nameserver for com.) says that there
are no A records for 
unicreditsbanca.com
.

are no A records for 
unicreditsbanca.com
.
Secondo me è un po' troppo presto per esultare, secondo me stanno solo
facendo delle modifiche nei dns per incasinare la vita a chi li sta
braccando.
In effetti al momento non è neppure risolvibile 
nsa7.sx2xp.com
 che è
uno dei due dns autoritativi del dominio in questione.
E ci sono anche dei casini facendo un dig +trace....
;; Received 497 bytes from 194.219.142.100#53(
J.ORSN-SERVERS.NET
) in
5132 ms
;; reply from unexpected source: 213.145.82.34#53, expected
192.42.93.30#53
;; Warning: ID mismatch: expected ID 33755, got 46371
com.                    172800  IN      SOA     
a.gtld-servers.net
.
 
nstld.verisign-grs.com
. 1121160525 1800 900 604800 900
;; Received 110 bytes from 192.42.93.30#53(
G.GTLD-SERVERS.NET
) in 219
m
Boh, stiamo a vedere.
Ciao,
QAM

 braccando.
Ai loro ... ma mi domando perchè gli ISP italiani (99.9% dei casi i
clienti usano i dns del loro ISP) non alterano i DNS locali per
reindirizzare questo sito su una pagina di avviso.

 m
Questi mi sembrano casini tuoi interni :-)
furio

 Questi mi sembrano casini tuoi interni :-)
Anche io ho risposte molto simili ... ma non è che le richieste verso
i TLD vengono filtrate?

 abbastanza cooperativi ultimamente).
http://www.yesnic.com/ENG/whois/query_win.php3?domain_name=unicreditsbanca&domain_type=.com
Il whois lo riporta ancora ... peraltro con le e-mail in plaintext e
nessuna validazione antispam per accedere a questi dati ...
Poco serio ...

 nessuna validazione antispam per accedere a questi dati ...
Guarda qui:
http://www.dnsstuff.com/tools/whois.ch?ip=unicreditsbanca.com&email=on

abbastanza cooperativi ultimamente).
Veramente e' vivo e vegeto su 210.105.177.89 . 


Ha cancellato il DOMINIO non il sito...cmq quello č il terzo IP che cambiano
ormai

192.42.93.30#53
Così impari a usare queste root alternative gestite da incompetenti,
ben ti sta.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

ben ti sta.
Parli di ORSN?
Non sapevo che fossero incompetenti, non si finisce mai di imparare...
comunque la macchina in questione non č critica, č un "coso" a mio uso
e consumo per prove varie....
Ciao,
QAM


Si', mi riferivo al dominio, non certo all'IP.
furio

 reindirizzare questo sito su una pagina di avviso.
Oh, la risposta a questo e' facilissima.
1) costi addizionali che si ritiene il mercato non percepisca come
   un miglioramento del servizio;
2) paura di essere accusati di "censura" o "intercettazione di
   traffico" su basi di principio, con gravi rischi di immagine a fronte 
   di vantaggi ritenuti scarsi;
3) paura di commettere errori di valutazione, ritenere rogue un
   nameserver che ha domini legittimi o comunque che interessano
   agli utenti, e cassare traffico che gli utenti desiderano.
Tutto questo senza che l'entita' bloccata abbia il feedback immediato
che i blocchi di mail forniscono, e quindi non abbia idea di quello
che accade.
Probabilmente non c'e' ISP che se la senta di intraprendere questa
strada autonomamente.  Un approccio di questo genere sarebbe _forse_
possibile solo se le istituzioni colpite (banche e affini) se la 
sentissero di investire in un servizio che dovrebbe garantire elevata
professionalita' e assumersi tutte le responsabilita' relative,
anche sul fronte legale.
Inoltre, una eventuale misura di questo genere probabilmente
spingerebbe gli spammers sempre piu' verso gli hosting completamente
trojanizzati  (tipo quelli di 
joreys.com
 o 
gzugj.com
 in questo
momento), difficilmente attaccabili dal lato DNS a meno di non
iniziare a usare SORBS DUL sui nameserver ...
furio



Č proprio quello che continuo a non capire. Il mio DNS (Fastweb)
continua a risolvere 
unicreditsbanca.com
, anche adesso che č
cambiato in 220.92.192.130 (o proprio perche' e' cambiato?).

 cambiato in 220.92.192.130 (o proprio perche' e' cambiato?).
Il DNS non è stato aggiornato. L'IP cambia perchè lo spammer agisce su
nsa6.sx2xp.com
Se guardi cambia spesso l'ip del sito
Mauro

 cambiato in 220.92.192.130 (o proprio perche' e' cambiato?).
Beh, il DNS ha il caching.  Quello che vedi e' il record nei
resolver di Fastweb, che non e' ancora spirato.
Lo vedo anche da qui, visto che Fastweb ha i nameservers aperti
al mondo (beata, spensierata gioventu'!):
% dig a 
www.unicreditsbanca.com
 @
dns1.fastweb.it
;; ANSWER SECTION:
www.unicreditsbanca.com
.  5h35m27s IN A  220.92.192.130
Ancora 5 ore e mezza poi se ne va.
furio

 trojanizzati
Anche qui vedo piu` vantaggi che svantaggi, una volta che li releghi in
una fogna piu` facilmente si puo` filtrare il traffico relativo, anche
quello web.

 quello web.
Temo tu non abbia presente quello cui si riferisce Furio... :-/
Si parla di hosting con DNS e http fornito da intere botnet che proxano 
le risorse "vere" dello spammer, potendo cambiare sia l'ip del DNS che 
l'IP del server HTTP anche svariate volte al minuto...
Difficili da bloccare o anche solo da tracciare, con i mezzi 
convenzionali...
-- 
Здрасти!
cat: .signature: No such file or directory

    agli utenti, e cassare traffico che gli utenti desiderano.
Questo se cassano la recursione verso il nameserver.
Potrebbero invece creare una entry autoritativa che fornisce -per il 
dominio da cassare- informazioni diverse da quelle reali.
Potrebbe, appunto, rispondere con un ip dove un server HTTP risponde con 
una pagina che spiega il problema e fornisce una form per richiedere 
informazioni o altro al gestore del listing...


 informazioni o altro al gestore del listing...
Io agirei diversamente... [OT]
Mando avanti 3 SCV, faccio costruire 5 torrette lanciamissili, ci metto
due/tre siege attorno e poi con un ghost gli ficco una bomba dritta in
server farm...
ok, la smetto di giocare a starcraft!
Max

 all'utente che "lo voglio vedere lo stesso, tu -ISP- fatti i cazzi tuoi".
Utenti di questo tipo sono in grado di impostare un altro DNS o di
configurare altri forwarders, se non sanno come fare è MEGLIO che non
vadano su certi siti.
Un pò come mettere i medicinali nell'armadietto più alto ... sono
lì, ma i bimbi non ci arrivano ...

 al mondo (beata, spensierata gioventu'!):
Basta che siano chiusi ai zone transfer, no?

Nicolas Eymerich wrote:

Tanto dai resolver (che non sono autoritativi per nessuno, di solito) 
non trasferisci nulla comunque.
Avere aperta la recursion al mondo è invece un ottimo modo di far 
abusare i propri DNS per un sacco di scopi curiosi ed interessanti[1].
[1] 
http://jameslick.com/zombies/Tracking%20A%20Zombie%20Army%202005.pdf
per un esempio inerente al tema.



www.unicreditsbanca.com
  218.95.47.182
Fastweb non lo risolve più, ma 
whois.sc.net
 adesso da'
211.48.55.142 (Kornet) che non è accessibile.
Tutto questo mi sta facendo capire che il mondo dei DNS è
meravigliosamente complesso :)

 resolver di Fastweb, che non e' ancora spirato.
In quello di Wind c'e' ancora, e pure vecchio...
www.unicreditsbanca.com
  218.95.47.182

    agli utenti, e cassare traffico che gli utenti desiderano.
4) Il fatto che nel 90% dei casi i *grossi* ISP gestiscono i DNS con
    i piedi per cui evitano accuratamente qualsivoglia modifica dato
    che altrimenti potrebbe "saltare tutto in aria"
:-D
Ciao

 vadano su certi siti.
Consentimi: questo non sta a te stabilirlo.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 server farm...
Slurp...carne fresca per i miei zerg! <beg>



Si', d'accordo, ma sai che lavoro.  I nameservers usati dagli spammers
sono di ordini di grandezza piu' stabili dei loro domini.
Avresti centinaia o migliaia di domini da inserire ogni giorno.
furio

 Consentimi: questo non sta a te stabilirlo.
Dissento ... gli utenti babbioni hanno solo benefici dall'essere
protetti. Del resto un sistema antispam non fa cose molto diverse
(ovvero decide cosa gli utenti devono leggere e cosa no).


Non proprio.
Un sistema antispam degno di questo nome provvede a fornire immediatamente
un feedback all'entita' affetta dal blocco e apre a quest'ultima un 
canale di comunicazione.  Questo consente a quest'ultima, almeno in
principio, l'eliminazione delle fonti di abuso che hanno causato il
blocco e la rimozione di quest'ultimo; e il tutto senza che l'utente
finale sia stato disturbato.
Nel caso di siti web irraggiungibili l'entita' affetta dal blocco non
puo' avere idea di cio' che sta accadendo, e quindi tutto il carico
della segnalazione di falsi positivi passa sull'utente, ossia l'entita'
la cui vita si sta cercando di rendere piu' felice.  Creargli del
lavoro addizionale non va in questa direzione.
Detto questo, sono convinto che i blocchi DNS siano praticabili,
ma l'operatore deve essere _certo_ che la risorsa e' controllata dallo
spammer, e questo ancora non lo garantisce da problemi con la sua utenza
dovuta a:
* spammer che usa scudi umani  (certi hosting negli USA sono a prezzo 
  bassissimo esattamente per raccogliere scudi umani - la gente e' 
  stupida e si lascia abbindolare senza verificare prima la reputazione
  dell'hoster);
* spammer che ha siti che interessano alla gente.
Sta nella sensibilita' ed esperienza dell'operatore valutare i rischi.
furio

 (ovvero decide cosa gli utenti devono leggere e cosa no).
Col piffero.
Innanzitutto l'utente è al corrente del fatto di essere sotto antispam e
può, in non pochi casi, decidere di non utilizzare i filtri.


 ma l'operatore deve essere _certo_
Nel caso in questione è più che ovvio.
1) Phishing (si traduce con "tentata truffa")
2) L'abuso è stato riconosciuto e denunciato dal legittimo titolare
del "marchio" (la banca)
Che poi non tocchi ai singoli ISP ma piuttosto alla polpost di fare
queste notifiche è vero ... ma poichè la polpost è più concentrata
sulle cazzate (vedi il caso autistici) direi che, in seconda battuta,
devono essere gli ISP a sopperire a questo "vuoto di potere", se non
altro per proteggere gli utenti.
Quanto alla mancanza di feedback basta una pagina di avviso che spieghi
all'utente perchè è stato fatto l'oscuramento via DNS (che NON è
oscuramento del sito) e quali sono i rischi ...

 oscuramento del sito) e quali sono i rischi ...
Feedback sull'utente e non su chi puo' intervenire per bloccare
gli abusi ... I don't like that ;)
furio

 gli abusi ... I don't like that ;)
Ok ... ma "piuttosto che niente meglio piuttosto" ...

 Avresti centinaia o migliaia di domini da inserire ogni giorno.
Esattamente; credo sia la critica più significativa da portare...
La mole di lavoro è tale da essere affrontabile solamente se il settore 
bancario fosse in grado di mettere in piedi una task force dedicata allo 
scopo, che funga da sorgente autoritativa.
Gestendosi anche le eventuali rogne derivanti da eventuali errori di 
valutazione (che, quando si parla di settore bancario, possono essere 
rogne molto costose...)


 trovarmi un resolver del mio provider
Perchè se uno capita su una pagina con scritto "questo dominio è una
farloccata fatta per spillarti i dindi" (supponendo che l'isp che
dirotta un DNS lo dirotti su opportuna pagina di avviso) e non capisce
cosa sta succedendo ... allora E' babbione.