Newsgroup: it.news.net-abuse
Titolo: bombardamento di email (forse OT)


To: 
acc...@dominio1.com
Subject: Alert Message!!! 
Dear User
Your router has detected and protected you against an attempt to gain 
access to your network.  This may have been an attempted hacker intrusion, 
or perhaps just your Internet Service Provider doing routine network 
maintenance.
Most of these network probes are nothing to be worried about - these 
types of random probes should NOT be reported, but you may want to report 
repeated intrusions attempts.  Save this email for comparison with future 
alert messages.
Your router Alert Information
Time: 09/20/2010, 15:08:59
Message: Smurf
Source: 172.29.255.255
Destination:172.29.252.64, Type:3, Code:3 (from PPPoE1 Outbound)
 
Visit the UXN Combat Spam web site to get more detailed information about 
the intruder - 
http://combat.uxn.com/
1. Type the intruder's IP address into the IP WHOIS search engine
2. Click the Query Button
3. Detailed network and administration information will be displayed
dominio1 e dominio2 sono entrambi domini del cliente
il sito indicato è irraggiungibile
ho googlato 2 minuti ma non ho trovato nulla
any hint?
Grazie
S.

 access to your network.  This may have been an attempted hacker
[...]
Uhm... non è che per caso il tizio ha uno di quei routers "SoHo" che
hanno l'opzione per inviarti un "mail alert" nel caso in cui rilevino
una
qualsiasi "situazione anomala" ? Mica per altro ma in quel caso, è
possibile che il classico "rumore di fondo" (leggasi portscan et
similia) di Internet stia causando l'invio di una valanga di tali
messaggi da parte del router ... che ovviamente usa per l'invio
il mailserver che è stato configurato nelle proprie opzioni :P



è quello a cui sono arrivato anche io, ripensando meglio alla cosa
30 secondi *dopo* aver postato il suddetto collega mi ha dato altri 
dettagli..
connettività hdsl telecom ma... ma da oggi hanno "qualcosa" di infostrada 
per il voip..
considerando che gli ip sono di infostrada/libero.. ho consigliato di 
contattare chi di dovere e fare delle verifiche..
/me che la prox volta posto con molta + calma :-)
grazie comunque
S.

 S.
Esperienza personale.. se non postavi non ti sarebbe mai venuto in mente.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 the intruder - 
http://combat.uxn.com/
Appropo', che fine ha fatto il sito in questione?
Lo trovo nella cache di Google, ma il sito "un c'e' piu'"...
Ciao
M.
-- 
Nessun Bit e' stato maltrattato o ucciso
per scrivere questo messaggio
http://www.qtp.it/Gallery/profile.php?uid=2311

 il sito indicato Ă¨ irraggiungibile
Infatti il record A risolve su localhost -> puoi vedere da quanto tempo
non sia piu' raggiungibile, basandoti 
p.es
. sulle date delle ultime
registrazioni della wayback machine :
==
- 
http://web.archive.org/web/*/http://combat.uxn.com
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

maintenance.
La macchina 172.29.252.64 sta cercando di fare broadcast su una porta
chiusa da un firewall, riceve in risposta un ICMP 3:3 - e vorrei pure
vedere - e il "router-con-firewall" in questione, vedendo quell'ICMP,
pensa che sia un attacco ad amplificazione di broadcast tipo Smurf, e
dà l'allarme.
Per prima cosa io cercherei di capire dov'e' installato "brnt", che è
un tipico nome da router :-D, e siccome dentro brnt c'e' scritto che,
in caso di rogne, deve contattare il tuo cliente, penso che lui abbia
o debba avere qualche idea sul chi e cosa.
A quel punto, o istruisce brnt per NON mandare mail, oppure risistema
qualsiasi sia il problema alla rete che provoca quel traffico, oppure
cambia l'indirizzo di mail e mette... okay! Okay! Scherzavo! Esco con
le mani in alto!
Leonardo ctlinnd newgroup gestapo
-- 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!


Direi che é roba che viene da Infostarda (no, non é un typo...)
% Information related to '212.52.79.0 - 212.52.88.255'
inetnum:        212.52.79.0 - 212.52.88.255
netname:        IOL-5
descr:          Italia OnLine S.P.A
descr:          Via Lorenteggio 257 - 20152 Milano
country:        IT
admin-c:        IHM1-RIPE
tech-c:         IHM1-RIPE
remarks:        rev-srv:      
ns1.libero.it
remarks:        rev-srv:      
ns2.libero.it
status:         ASSIGNED PA
mnt-by:         AS1267-MNT
mnt-routes:     AS1267-MNT
source:         RIPE # Filtered
remarks:        rev-srv attribute deprecated by RIPE NCC on 02/09/2009
[..]
inetnum:        151.67.0.0 - 151.67.255.255
netname:        IUNET-BNET67
descr:          IUnet
descr:          Via Lorenteggio 257
descr:          Milano, I-20100
country:        IT
admin-c:        AN2056-RIPE
tech-c:         AN2056-RIPE
status:         ASSIGNED PA
mnt-by:         AS1267-MNT
mnt-lower:      AS1267-MNT
mnt-routes:     AS1267-MNT
source:         RIPE # Filtered
visto che 172.29.255.255 é fasullo come... beh scegli te, le tette della 
Parietti, una moneta da 3 €... Direi quindi
e-mail:       
hostm...@iol.it
e-mail:       
ab...@iol.it
e-mail:       
ab...@libero.it
aggiungerei 
ab...@inwind.libero.it

 Direi che é roba che viene da Infostarda (no, non é un typo...)
Direi anche, alla luce di quanto letto dopo (eh avrei dovuto leggere 
prima) che il mio post é inutile, vabbè.

 prima) che il mio post é inutile, vabbè.
:-)
ben(ri)sentito comunque ;-)

 qualsiasi "situazione anomala" ?
Eheheh... :)
Mi ricordo di una volta in cui un iscritto ad un nostro Mailman aveva 
messo la risposta automatica per ferie :)
Ciao
Luca

 messo la risposta automatica per ferie :)
tzk... azienda di "tot" persone, mailboxes a stufo +
alias di gruppo multipli e cosette del genere, viene
messo in piedi un alias "everyone" che include tutti
e dicesi tutti gli indirizzi (inclusi gli alias degli alias
etc..) e viene *forzato* via policy l'invio delle "conferme
di lettura" (sic) e di quelle di recapito (ari-sic)
Un tizio invia una email richiedendo (come se non
bastasse) conferma di lettura usando come from
"everyone" e come to "everyone"
... BOUM
<g>

 <g>
ROTFL..
dovrei avere del napalm da qualche parte
/me che pensa che il problema maggiore nell'IT sia la non educazione 
degli utonti
S.

"everyone" e come to "everyone"
X-Loop should have been your friend, perdiana :-|
(Vista succedere su un vacation -- "ho mandato una mail al mio indirizzo
per vedere se funzionava" "Dal suo indirizzo?" "Sģ" "Ma avete un sistema
di controllo dei loop?" "EEEEHHH?" "Puppa. Lasci stare... ora guardo")
Leonardo


 X-Loop should have been your friend, perdiana :-|
Eh ma prima di tutto NON avevo messo in piedi io
quell'ambaradan, poi... beh, non so quanto avrebbe
potuto giovare X-Loop, vedi...
immagina un "tot" (ma tanti) di indirizzi, più vari alias
di gruppo (ed alias che includono altri alias..etc...),
a questo aggiungi l'invio automatico forzato delle
conferme di ricezione e di quelle di lettura; a questo
punto come ciliegina sulla torta mettici un "everyone"
che contiene *tutti* gli indirizzi (inclusi quelli dei gruppi
e sottogruppi etc...) se ora uno prova ad inviare un
MAIL FROM: everyone@puppa
RCPT TO: everyone@puppa
il risultato è che ci sarà gente che riceverà la mail
anche 10 volte (ma di più) e che OGNI email genererà
una conferma di ricezione ED una conferma di lettura
che verrà inviata ad "everyone" ... in pratica non si è
trattato di un mail-loop ma più banalmente di un modo
rapido per spararsi in un piede :D
Ah dimenticavo, considerando che l'azienda aveva
(ha) filiali sparse sul territorio nazionale ed in giro per
il mondo, connesse tramite VPN e che le mail sono
ANCHE arrivate alle varie filiali, credo tu possa
immaginare lo stato dei vari links WAN :D

RCPT TO: everyone@puppa
c'e' invece la pinza Burdizzo; certo, ci vuole un po' di pazienza.


 certo, ci vuole un po' di pazienza.
beh quella ci vuole comunque anche
con la pinza per crimpare :D

 le mailing list e i gruppi.
Per le mailing list è facile, c'è l'header apposta "Auto-submitted".
Per i gruppi la vedo un po' più "da inventare". Io stabilirei per policy che 
un indirizzo di gruppo non possa essere mai usato come mittente.
Ciao,
-- 
  Daniele Orlandi					つづく

 c'e' invece la pinza Burdizzo; certo, ci vuole un po' di pazienza.
Non la conoscevo.
Io avrei usato la pinza grip. Si trova piu' facilmente... e da' tanta 
soddisfazione, se usata nei posti giusti.
Fabrizio

 Lo trovo nella cache di Google, ma il sito "un c'e' piu'"...
Un sacchissimo di tempo fa, ad un mio commento, Furio disse qualcosa tipo 
che la buona volonta' e' una bella cosa, ma ci vogliono le risorse.
Era un sito molto comodo.
Fabrizio

 Lo trovo nella cache di Google, ma il sito "un c'e' piu'"...
eggià, se però ti accontenti c'è ancora questo
http://web.archive.org/web/20051107091021/http://combat.uxn.com/
:)

 Fabrizio
