Newsgroup: it.news.net-abuse
Titolo: Spews?

Vedo che spews - per il momento - è "morto".
Vedo anche che su 
http://mirror.bliab.com/spews/
continuano ad aggiornare i mirror delle zone e
che 
l1.spews.dnsbl.sorbs.net
 è ancora raggiungibile.
Che sappiate voi spews continua ad essere "mantenuto"
o costoro stanno mirrorando dei cadaveri?

 Vedo che spews - per il momento - è "morto".
http://punto-informatico.it/p.asp?i=45088


L'ultimo aggiornamento che ho qua e' datato Aug 29 12:14
furio

 L'ultimo aggiornamento che ho qua e' datato Aug 29 12:14
Lo usi ancora?

Che sappiate voi spews continua ad essere "mantenuto"
Non mi risulta il contrario, ma d'altra parte non conosco chi/cosa
gestisce SPEWS. In ogni caso si stanno valutando varie opzioni per
rendere la zona disponibile tramite SORBS in maniera affidabile.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery


Si', sinora i periodi di indisponibilita' sono sempre stati brevi, 
e quindi usiamo la copia locale (il nostro sistema di posta e'
ovviamente insensibile a DDoS verso DNSBL in quanto usa esclusivamente
dati locali).
Chiaro che se il problema dovesse persistere lo staccheremmo.
--
furio ercolessi

 
korea.services.net
Questo e' anche l'ordine di query che consigli?
Sai anche darmi informazioni (o un URL da visitare) per sapere esattamente
quali DNSBL sono collegate tra loro, ed in quale sequenza?
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: 
do...@despammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

 quali DNSBL sono collegate tra loro, ed in quale sequenza?
Hmm, cosa intendi per collegate?  Se intendi 'la lista A contiene la
lista B', credo di no  (blackholes conteneva sbl, ma ora non piu').
Se intendi 'i gestori si parlano fra loro e talvolta si scambiano
informazioni', sicuramente si'.
furio

 informazioni', sicuramente si'.
PArtiamo dallo scopo di questa mia domanda: per ridurre al minimo il
traffico e rendere la scansione piu' rapida, vorrei ridurre il numero di
interrogazioni, evitando di interrogare un server i cui risultati coincidono
con quelli di un altro (cioe' se tutti gli IP che trovo sul server A sono
presenti anche in B, quindi in caso di mirror), ma ovviamente anche quelli
che operano lo "scambio di informazioni" ossia se ci sono server che fanno
da "collettori" di piu' liste interrogare un certo server A mi puo' evitare
di interrogare anche i server B e C (in quanto otterrei gli stessi
risultati).
L'ideale per me sarebbe identificare quelle 2, 3 massimo 4 liste che
comprendono la maggior parte dei risultati, quindi in sostanza, che tu
sappia, qual'e' il "collegamento" logico tra i vari server?
Attualmente sto considerando (in ordine decrescente di hit che ho rilevato
finora):
6213 
blackholes.easynet.nl
5879 
list.dsbl.org
5693 
dnsbl.njabl.org
3968 
proxies.relays.monkeys.com
3933 
cbl.abuseat.org
1059 
sbl.spamhaus.org
Ho invece avuto problemi con:
korea.services.net
 (falsi positivi in quanto blocca tutta la Corea, quindi
anche i server Bigfoot)
relays.ordb.org
 (scarsi risultati)
securityscan.reynolds.net.au
 (scarsi risultati)
bl.spamcop.net
 (Falsi positivi perche' lista anche i server TIN)
spamsites.relays.osirusoft.com
 (Osirusoft down)
spews.relays.osirusoft.com
 (Osirusoft down)
blackholes.mail-abuse.org
 (a pagamento)
Risultano anche a te?
Ne hai altri da consigliarmi?


 1059 
sbl.spamhaus.org
Confermo !
Aggiungo tra le mie liste "preferite" :
dynablock.easynet.nl
dialups.visi.com
e la lista degli header check di easynet
http://abuse.easynet.nl/spamlist-usage.html
CiaU
-- 
Alex
"...Owner of a lonely heart Much better than a Owner of a broken heart..."
(YES,90125,©1983)

 Ne hai altri da consigliarmi?
Beh, la UPL di 
monkeys.com
 e la PSS, entrambe per i proxies. PSS ha
un problema di banda scarsa in questo momento e forse e' meglio 
aspettare un pochino, anche perche' Max in Argentina in questo momento 
sta mettendo su casa, verniciando etc; e anche la OPM di Blitzed.org.
Tuttavia queste tre messe assieme difficilmente contengono molti IP 
che DSBL+CBL+Easynet gia' non contengano.
Adottare UPL ha comunque delle valenze "politiche": lo scopo di UPL
non e' solo fermare lo spam, ma anche cercare di responsabilizzare 
gli ISP per migliorare la rete.  Personalmente condivido l'approccio
di Ron Guilmette e quindi ho messo la UPL davanti a tutto per mandare 
i possessori di proxy aperti per prima cosa alla procedura di
rimozione di UPL, che richiede che ci sia qualcuno che legge
abuse@(dominio nel reverse DNS)  e quindi per tutti quelli in
Interbusiness e' un bel casino ;-)
furio ercolessi

che DSBL+CBL+Easynet gia' non contengano.
Secondo le mie prove delle ultime settimane OPM non blocca praticamente
nulla rispetto a DSBL, ed UPL circa l'1% di quando blocco con DSBL.
Di contro, ultimamente UPL sta elencando anche i mail server di alcuni
grandi ISP americani che forniscono connettività ai proxy hijacker e
quindi ho smesso di usarla.
(BTW, se qualcuno avesse circa 500 Kbps di banda da dedicare a una
buona causa sarebbero utili altri secondari di DSBL...)


 che DSBL+CBL+Easynet gia' non contengano.
Uhm, allora penso che siano gia' sufficienti quelli che ho...
Ti ringrazio ancora!


 migliaia?
Attraverso worms che una volta installati diventano distributori di
spam controllati remotamente.  Uno di questi si chiama SoBig.
furio ercolessi

rendere la zona disponibile tramite SORBS in maniera affidabile.
E come promesso, ecco tornato il sito: 
http://spews.sorbs.net/
 .


 spam controllati remotamente.  Uno di questi si chiama SoBig.
Ah, allora avevo capito bene...
Ma in questo caso sono MILIONI...:-((
Il codice di SoBig per quanto ho potuto vedere e leggere e' abbastanza
generico (il meccanismo usato penso che sia piu' che altro il meccanismo di
upload ed auto-execute), ci sono prove reali che e' stato di fatto usato su
larga scala per fare da relay di spam? C'e' un modo per riconoscere spam
(quindi non parlo del virus che si autoreplica) inviato attraverso un
sistema infetto con SoBig?


 Ma in questo caso sono MILIONI...:-((
http://www.lurhq.com/sobig.html

 primi due, ma penso che 5 liste siano sufficienti...;-)
se hai scelto di usarne 5, prova a togliere monkeys e aggiungi
dynablock.easynet.nl

 
http://www.lurhq.com/sobig.html
Molto interessante, grazie!


 sistema infetto con SoBig?
Si', dalle porte proxy aperte.
http://www.lurhq.com/sobig.html
http://www.lurhq.com/sobig-e.html
http://www.lurhq.com/sobig-f.html
furio ercolessi

 
dynablock.easynet.nl
Uhm... Non vorrei/posso aggiungere blocchi su IP dinamici dial-up perche' il
filtro, almeno in questa fase, non verra' applicato per impedire le
connessioni (essendo un server locale verranno consentite sempre e solo dai
sistemi appartenenti alla stessa subnet) ma per identificare gli IP delle
mail in transito.


 
dynablock.easynet.nl
Attenzione che alcuni giorni fa 
dynablock.easynet.nl
 ha cambiato 
politica, da soli dialup e' passata a dialup+DSL dinamiche.
Da meno di 50M IPs il 17 agosto, ora ne contiene 94M e continua
a crescere.
Questa crescita e' un po' alla garibaldina, nel senso che (vi 
assicuro) e' difficile per un umano valutare tre milioni di IP
al giorno, e quindi in questa fase c'e' molto 'trial and error'
coinvolto e un certo numero di falsi positivi.
Non e' una critica ma solo un warning relativo al transiente che
la lista sta attraversando.
furio ercolessi

 
http://www.lurhq.com/sobig-f.html
Ho letto, e ti ringrazio, sono descrizioni molto utili e che ho letto con
attenzione.
Pero' (scusami se ti rubo tempo, ma penso che siano comunque informazioni
utili per tutti coloro che sono interessati alla lotta antispam) prova a
spiegarmi meglio: per riconoscimento "dalle porte proxy aperte" cosa
intendi? L'uso di DNSBL che listano gli IP di open proxy?
Ma se e' questo, in caso di virus come SoBig, non si rischia che questi IP
coincidendo con quelli di ignari utenti (quindi IP dinamici o statici
assegnati agli utenti da un provider) questi si vedrebbero filtrate tutte le
loro mail, anche legittime? In sostanza il caso di proxy "normali" non c'e'
problema, ma per quelli derivati da virus come si comportano le blacklist?
Un discorso simile varrebbe per le DNSBL di indirizzi dinamici e dial-up...
Tieni presente che non uso queste liste nello stesso tuo contesto in quanto
io attualmente sto sviluppando un software per effettuare il filtraggio
"batch" di email, quindi non uso le blacklist per bloccare connessioni
dirette a me (in quanto non ho connessioni dirette se non da macchine
appartenenti alla mia stessa rete) ma per identificare nelle "Received:"
tracce del passaggio per IP di sistemi open relay ed open proxy, mediante
lookup alle 5 liste che ho indicato.


 In sostanza il caso di proxy "normali" non c'e' problema
Dipende da come sono configurati. Se si permette, per imperizia,
che siano usati da fuori della propria rete allora è auspicabile
che finiscano in blacklist perchè possono essere sicuramente usati
per inviare spam.

 lookup alle 5 liste che ho indicato.
Devi usare solo UNA Received, quella che ha messo il tuo mailserver
(o quello del tuo ISP), e scartare tutte quelle sotto.  Altrimenti avrai
molti problemi.
furio ercolessi

 rifiutate le email, con un messaggio d'errore che di solito
Si, tutto vero e logico, se si ragiona in termini di mail server SMTP
"classico".
Il problema e' che io voglio analizzare delle mail intere, e se io guardo le
Received alla ricerca di IP di server blacklistati, e' possibile che in caso
di messaggi regolari di un utente infetto (o quanto meno di un IP che
apparteneva ad un sistema infetto) si raggiunga la Received del suo ISP e
rifiuti la mail perche' l'IP mittente ("Received: from") risulta listato.


 molti problemi.
Ah, si, ecco, penso che questa possa essere la soluzione migliore. Anche se,
dato che le mail da analizzare possono provenire da provider diversi, non e'
semplice trovare un algoritmo affidabile per far "fermare" la scansione
inversa dei Received. Qualche idea?


 inversa dei Received. Qualche idea?
Un algoritmo per ogni provider :-)
furio ercolessi

 Un algoritmo per ogni provider :-)
No, troppo complesso e rischioso (dovrei quanto meno mantenere un elenco di
nomi ed indirizzi IP dei mail server di tutti i provider, non solo
italiani...).
Sto quindi cercando di trovare un algoritmo di validazione che possa
analizzare tutte le received ed incrociare le informazioni tra loro (ad es.
il server che compare nel "by" di una received deve essere lo stesso che ha
compare nel "from" della successiva) con ulteriori lookup al DNS per risolve
re nomi (il nome mostrato e quello dichiarato con HELO) ed IP (quello
presente nel "from") e tentare di identificare i passi "affidabili" da
quelli "a rischio", fino alle Received fasulle.
Non so se sia mai stato tentato e quindi se sia possibile, comunque per non
dover reinventare l'acqua calda, se qualcuno sa di procedure simili gia'
realizzate od analizzate mi farebbe un favore...;-)


 realizzate od analizzate mi farebbe un favore...;-)
Mi sembra che hai descritto esattamente quello che fa la parte di analisi 
headers di SpamCop.  Il codice usato due anni fa giace abbandonato in
sourceforge, lo sviluppo attuale e' fatto solo da Julian e non e'
pubblico.
http://spamcop.net/source.shtml
https://sourceforge.net/projects/spamcop/
Non credo che il tuo scopo sia raggiungibile facilmente con lo spamware
odierno.
furio ercolessi

 odierno.
Beh, la mia analisi delle linee Received e' solo "accessoria" ossia deve
servire solamente a cercare di evitare falsi positivi, derivati
dall'intercettazione di indirizzi IP di dial-up "legittimi" ma listati in
proxy o altre liste DNSBL (come dicevamo nella precedente email) all'interno
dei messaggi.


rifiuti la mail perche' l'IP mittente ("Received: from") risulta listato.
appunto non è possibile analizzate TUTTI i received altrimenti se la
mail è stata inviata da un utente dialup prima o poi -se usi bl che
listano gli ip dialup o dinamici- lo vai a marcare sicuramente.
è lo stesso motivo per cui con programmi come spampal, spamterminator,
spam assassin etc non puoi usare DUL o simili.
-- 
Marco
"I trolls sono stupidi. Gli spammers pure. [vedi Regola 1]"

 spam assassin etc non puoi usare DUL o simili.
con SpamPal puoi. Ci sono dei plugin appositi per la verifica dei
direct-to-mx . C'e' un po' di configurazione da fare, per cui non trovi
queste opzioni nel programma di base, ma se vai a vedere nei forum dei
plugin trovi tutto.

plugin trovi tutto.
fico! mo me lo guardo per bene!
grazie mille
