Newsgroup: it.news.net-abuse
Titolo: individuazione mittente spam


Date: Mon, 26 May 2003 19:59:35 +0300
References: 7$040139@gSf2
X-Originating-IP: [247.9.184.53]
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
X-OriginalArrivalTime: Mon, 26 May 2003 19:59:35 +0300
FILETIME=[447:8217748]
X-MSMail-Priority: Normal
Precedence: bulk
X-AntiAbuse: This header was added to track abuse, please include it with
any abuse report
X-AntiAbuse: Primary Hostname - 37.253.205.44
X-AntiAbuse: Originator/Caller UID/GID - [0 6] / [2 5]
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.79; en-US; rv:1.0)
Gecko/43.81
X-Originating-Host: [21.6.163.254]; Mon, 26 May 2003 19:59:35 +0900
X-Owner: 26A2bo
X-Scanner: exiscan for exim4 (
http://duncanthrax.net/exiscan/
)
*I0W9-2toyH-B7jIRFVFtq*
Mime-Version: 1.0
Content-Type: multipart/alternative;
 boundary="----=_NextPart_002_0068_BTWJLPTW.GRZMHFBJ"
------=_NextPart_002_0068_BTWJLPTW.GRZMHFBJ
Content-Type: text/plain;
 charset="ISO-8859-1"
Content-Transfer-Encoding: 8 bit
------=_NextPart_002_0068_BTWJLPTW.GRZMHFBJ
Content-Type: text/html;
 charset="ISO-8859-1"
Content-Transfer-Encoding: 8 bit
<html>
<head>
<title>scar<!--DjlIgg-->ica la<!--SGl0O5UU--> <!--GNcKPNN-->musica!</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
</head> <!--RwxMM-->
<body bgcolor="#FFFFFF" text="#000000">
<font face="Verdana, Arial, Helvetica, sans-serif"><!--RHcbc33-->
<b><!--s0KxjP44-->
<br>
<!--2SbFF-->CLICCA <!--qlaXaa--><a
href="http://%77%77%73%69%78@%77%77%77.%73%63%61%72%69%63%61%6c%61%6d%75%73%
69%63%61.%63%6f%6d" target="_blank">WWW<!--pp--> <!--orr-->.
S<!--6NN-->CARICALAMUSICA <!--LqZEz66-->
<!--RbQ55-->. CO<!--heCxll-->M</a> <!--SDJJ--></b>
<!--X2oGPTQQ--></font> <!--Qpp-->
<p><!--wu1hgg-->
<font face="Verdana, Arial, Helvetica, sans-serif"><!--yjj-->
<b>e<!--gzii--> scop<!--h5xMM-->ri i<!--YX1bHQww-->l nu<!--7Bypp-->ovo
mod<!--WrLN9gg-->o <!--JOAA-->
  <!--h8FqsAMM-->per scaricare<!--qhZvv--> MP<!--ykXr44-->3 su<!--dThBB-->
internet!!<!--Ut9sH6EE--></b><!--FF-->
</font><!--tPlii-->
</p>
<p><!--oswI33-->
<font face="Verdana, Arial, Helvetica, sans-serif"><!--h4qVEmmm-->grazie
al<!--BgKK--> mot<!--A0Onpoo-->ore di<!--sz4uDuXX--> ri<!--Gbb-->cerca
<!--Hblyy-->
  di<!--AxVSS--> <!--CFF--><b>SCARICALA<!--bv0Ck00-->MUSICA</b>
<!--LXaa-->potrai <!--FBB--><br>
  scaricare<!--1CtC33--> q<!--22-->ualunque <!--cTDD-->mp3 di<!--YjLTsQQ-->
arti<!--IqL30ee-->sti italia<!--Tth8Axx-->ni <!--Xrr-->e
stranie<!--T0e33-->ri!<br>
  Troverai pressoch&egrave; qualunque brano, provare per
credere!!</font><!--XHZoo-->
</p>
<p><!--H9kk-->
<font face="Verdana, Arial, Helvetica, sans-serif"><!--D8cEE-->ECCO
L<!--e2tDUW55-->E CA<!--ch83zJJJ-->NZONI <!--R4Pk6YY-->PIU'
<!--3oBpp-->SCARICATE:</font>
<!--0H4Tii--></p>
<p>
<!--BYiV2gg--><font face="Verdana, Arial, Helvetica, sans-serif">
<!--XyeHDJGG--><i><!--QvHH-->
<b><!--2xe28Vyy-->
<font size="2"><!--BvUU-->GENERE <!--hbzWp88-->
  DA<!--Bp933-->NCE:</font><!--GG-->
</b><!--BfBB-->
</i><!--pp-->
<br>
  <!--Jd9Mfwff--><font size="1">R<!--3BhYvv-->ichard <!--NN-->X
<!--1uublJJ-->Vs Libert<!--Qtt-->y X<!--88--> -<!--BTXUrr--> Being<!--5hh-->
Nobod<!--ZkJ5Yadd-->y <!--dGG--><br>
  T<!--zjj-->he O<!--i79qq-->nes <!--uIO5RR-->- Super<!--Oh4oo-->star
<!--W6QoMGG--><br>
  Tom<!--88--> Jon<!--kOV00-->es -<!--lmuLL--> Bl<!--NGZ3ETT-->ack
Betty<!--ss--><br>
  Panj<!--SAee-->abi M<!--dr5gg-->C -<!--W6u68zz--> Mun<!--BxYe12CC-->dian
T<!--YydQQ-->o Ba<!--cZiQpHmm-->ch K<!--yy-->e</font>
<!--VkCpp--></font>
<!--Xzihh--></p>
<p><!--ltt-->
<font face="Verdana, Arial, Helvetica, sans-serif"><!--Oss-->
<i><!--DD-->
<b>
<!--99--><font size="2">HITL<!--F3Hxuu-->IST <!--bjJ9G22-->
  E<!--owmk22-->UROPE:</font>
<!--rg7ww--></b>
<!--pkGhh--></i><!--CTz44-->
<br>
  <!--CC--><font size="1">5<!--j8toHW77-->0
C<!--H8rpwYY-->ent -<!--p1zNJPHH--> I<!--61RiTT-->n <!--FdOTBXX-->Da
Cl<!--pFF-->ub <!--GH7Rdcc--><br>
  Emi<!--5dtEMhpp-->nem <!--qhXWW-->- <!--guWvuBdd-->Lose
Y<!--K8SWW-->ourself <!--qq--><br>
  Bl<!--Zhss-->ue fe<!--ILkc22-->at. <!--HYQQ-->Elton Joh<!--77-->n
<!--cXX-->- S<!--T6Yg77-->orry Seem<!--ZZ-->s <!--jj-->To B<!--lww-->e
<!--zsJthZZ-->The <!--Gx3RR-->Hardest Wo<!--vv-->rd<br>
  obbie<!--M88--> Willia<!--mI5nWW-->ms <!--183EcUU-->- Feel<!--kDNN-->
<!--a0EE--></font>
<!--tJXpUwss--></font><!--6ATT-->
</p>
<p>
<!--CC--><font face="Verdana, Arial, Helvetica, sans-serif">
<!--I38QQ--><b><!--GudBss-->
<i><!--7FVKK-->
<font size="2">HITL<!--Xaa-->IST <!--j8khQyQQ-->
  ITALIA:<!--0O6IYY--></font><!--027bxx-->
</i><!--g1jl7ZZ-->
</b><!--EJqXmff-->
<br>
  <!--lGN72k99--><font size="1">Giorgia<!--n00--> -<!--co9aTT-->
Gocce<!--Bhv6BB--> <!--8lRh3ss-->Di Memor<!--w88-->ia <!--Q9GcCnn--><br>
  Eli<!--eFxhv7WW-->sa -<!--ll3vuu--> Almeno<!--zfwCff--> T<!--7Pa88-->u
Nell'Univers<!--Tb1QArkk-->o <!--WgfPrr--><br>
  L<!--o5g1FjEE-->e Vi<!--I8hh-->brazioni -<!--SO0rr-->
Dedica<!--vA0CjKK-->to <!--HmG1Uy22-->A Te<!--YY-->
<!--irDdEE--></font><!--0x9dbss-->
</font><!--j8XJbb-->
</p>
<p><!--UdK6pSS-->
<font face="Verdana, Arial, Helvetica, sans-serif">vai<!--JI50p99-->
<!--qJJJ-->su <!--3hsoycLL--><a
href="http://%77%77%73%69%78@%77%77%77.%73%63%61%72%69%63%61%6c%61%6d%75%73%
69%63%61.%63%6f%6d" target="_blank">scaricalamu<!--IZTT-->sica</a>
<!--ZWdmm-->
  e<!--JY7HPP-->...BUON DOWNLOAD!<!--FFn6KK-->!</font>
<!--fXznn--></p>
</body>
</html>
------=_NextPart_002_0068_BTWJLPTW.GRZMHFBJ--

 69%63%61.%63%6f%6d" target="_blank">scaricalamu<!--IZTT-->sica</a>
Obfuscation... oooh spammer pudico, non vuole che gli si veda il suo 
dominio!  (ovviamente con dati di registrazione falsi)
http://www.scaricalamusica.com/
scaricalamusica.com
.    2D IN NS        
ns1.south-waters.biz
.
scaricalamusica.com
.    2D IN NS        
ns1.transzamba.biz
.
scaricalamusica.com
.    2D IN NS        
ns2.south-waters.biz
.
scaricalamusica.com
.    2D IN NS        
ns2.transzamba.biz
.
ns1.transzamba.biz
.     2H IN A         200.43.50.252	[vivo]
ns2.transzamba.biz
.     2H IN A         200.43.81.89	[vivo] 
ns1.south-waters.biz
.   2H IN A         200.43.83.180	[vivo]
ns2.south-waters.biz
.   2H IN A         200.45.225.158	[vivo]
E' sui nameservers di super-zonda.  Vuol dire che questi nameservers
puntano verso un proxy lasciato aperto:
www.scaricalamusica.com
.  10M IN A  210.220.73.5
Sempre lo stesso.. il sito in realta' sta a 216.93.166.92 come
gia' discusso (vedere threads precedenti).
Segnalazione a 
servepath.com
 per 216.93.166.92, a 
telecom.com.ar
 per
tutti i nameservers con gli IP che iniziano per 200, a 
tosolutions.net
 e 
enom.com
 per la registrazione del dominio con dati
falsi, se non rispondono scalare a internic.
--
furio ercolessi
http://www.spin.it/spam/

tutti i nameservers con gli IP che iniziano per 200, a 
Quasi. A scopo didattico, ecco qualche dato in più sul meccanismo...
Facciamo le cose un passo per volta, dando per noti solo i TLD:
dig +norec 
www.scaricalamusica.com
. @
g.gtld-servers.net
ci dice che i name server sono ns[12].
transzamba.biz
 e
ns[12].
south-waters.biz
. Chiediamo i loro IP a un gTLD server:
dig +norec 
ns1.south-waters.biz
. @
e.gtld.biz
ns1.south-waters.biz
.   7200    IN      A       200.43.83.180
I gTLD server conoscono il nome perché si tratta di un glue record
(whois nameserver 
ns1.south-waters.biz
 -h 
whois.nic.biz
), gli altri IP
sono:
ns2.south-waters.biz
.   7200    IN      A       200.45.225.158
ns1.transzamba.biz
.     7200    IN      A       200.43.50.252
ns2.transzamba.biz
.     7200    IN      A       200.43.81.89
Però non è dato sapere da chi sono stati registrati.
ns1.south-waters.biz
 non c'entra niente e infatti a una query
(dig +norec 
www.scaricalamusica.com
. @
200.43.83.180
) risponde con un
referral a .com.
Nonostante l'importanza di questi server in tutto il meccanismo, non ci
sono listing dedicati a loro (puoi fare aggiornare tu SBL e ROKSO?):
http://openrbl.org/ip/200/45/225/158.htm
 (listing obsoleti o generici)
http://openrbl.org/ip/200/43/81/89.htm
 (idem)
http://openrbl.org/ip/200/43/50/252.htm
 (SBL8972, ma è generico)
Stranamente 
ns2.transzamba.biz
 corrisponde a 
www.estudioingaramo.com.ar
.
Questo sembra il sito di uno studio legale, ma il dominio è registrato
da Mp3 NEA S.A., che dichiara come propria attività principale "vendita
e distribuzione di musica digitale". Il sito è opera di
http://www.jargon.com.ar/
 che sembra una società legittima, e quindi mi
chiedo se uno dei loro dipendenti per caso non lavora per conto terzi
installando name server sulle macchine dei clienti a loro insaputa.
Ancora più strano: il sito è raggiungibile tramite un CNAME a un
hostname dinamico di 
no-ip.com
, potrebbe quindi essere una DSL.
Si veda anche 
http://mp3nea.hypermart.net/
 (apparentemente abbandonato,
fa riferimento a un 
mp3nea.com
 che non esiste e indica (c) 1999).
Nessuna di queste macchine usa BIND, ma djbdns. Osservando i suoi
hostname si può notare come 
jargon.com.ar
 sia un seguace fedele della
parola di DJB.
Tutte hanno ssh attivo, una webmin e per il resto non ho notato altro di
interessante.
Interessante il tentativo di sviare le ricerche, i name server a cui
sono effettivamente delegati 
transzamba.biz
 e 
south-waters.biz
 sono
208.249.126.3[6789], IP di Media3 che non c'entrano niente, *ma* sono
già in parecchie blacklist per altri motivi.
Continuiamo ripetendo la query a quelli che sappiamo essere i server
autorevoli per il dominio:
dig +norec 
www.scaricalamusica.com
. @
200.45.225.158
;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 4
;; ANSWER SECTION:
www.scaricalamusica.com
. 600    IN      A       210.220.73.5
;; AUTHORITY SECTION:
scaricalamusica.com
.    600     IN      NS      
ns1.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns2.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns3.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns4.catramina.com
.
;; ADDITIONAL SECTION:
ns1.catramina.com
.      600     IN      A       200.43.50.252
ns2.catramina.com
.      600     IN      A       66.96.85.49
ns3.catramina.com
.      600     IN      A       200.45.225.158
ns4.catramina.com
.      600     IN      A       200.45.225.158
catramina.com
 funziona esattamente come 
transzamba.biz
: ha una delega
falsa (a una macchina di Eddy Marin, che non c'entra niente) con
hostname DNSn.*, e glue record tipo NSn.* provenienti da un altro
dominio.
Secondo il SOA, il master è ns1 (AKA 
ns1.transzamba.biz
). ns[34] è
ns2.south-waters.biz
, mentre ns2 non risponde alle query ed è un IP
della banda di Hivelocity, di nuovo un tentativo di sviare le indagini
implicando un altro spammer.
Per completezza, questo è il record di ROKSO su superzonda (è piuttosto
datato):
http://www.spamhaus.org/rokso/search.lasso?evidencefile=2499
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 referral a .com.
... qui mi sono perso qualche passaggio :-( perche' la query su 
200.43.83.180? Perche' south-waters.non c'entra? Quali info di 
registrazione significative mancano in relazione ai name server 
nsX.transzamba.biz
? 
Grazie
Fabio

 200.43.83.180? 
% dig ns 
scaricalamusica.com
 @
G.GTLD-SERVERS.NET
scaricalamusica.com
.	2D IN NS	
ns1.south-waters.biz
.
scaricalamusica.com
.	2D IN NS	
ns1.transzamba.biz
.
scaricalamusica.com
.	2D IN NS	
ns2.south-waters.biz
.
scaricalamusica.com
.	2D IN NS	
ns2.transzamba.biz
.
% dig a 
ns1.south-waters.biz
 @
A.GTLD.biz
ns1.south-waters.biz
.	2H IN A		200.43.83.180
E' un glue record, come Marco ha fatto notare.
La cosa e' sottile.  Solo i nameservers autoritativi di .biz 
conoscono questo record A!  I servers autoritativi di 
south-waters.biz
non solo non lo conoscono, ma sono finti (i 208.249.126.*).
% dig a 
www.scaricalamusica.com
 @
200.43.83.180
www.scaricalamusica.com
.  10M IN A  210.220.73.5
% dig a 
ns1.south-waters.biz
 @
200.43.83.180
[...]
;; res_nsend to server 
200.43.83.180
: Connection timed out   
Direi che se uno capisce cosa fa questo spammer ha capito piu' o meno
tutto di come e' organizzato il DNS.  Utile esercizio!


 Utile esercizio!
Molto, grazie.
Fabio

 tutto di come e' organizzato il DNS.  Utile esercizio!
[  mi scuso per il repost, ma fra il server di interbusiness, quello tedesco
e google pare che ci siano dei problemini, per cui non trovo alcuni messaggi
postati ieri]
utile e pericoloso, diciamo che al momento gli sta andando bene...
comunque, per chi non lo conoscesse c'e' un sito web che ti aiuta un po' se
non sei abile con il dig e non hai voglia di correre dietro ai certi
giochini, che al momento sono banali... 
http://dnsreport.com
ad esempio per il nostro amico di 
scaricalamusica.com
http://dnsreport.com/tools/dnsreport.ch?domain=scaricalamusica.com
piccola nota, i dati di registrazione di 
veryhappydomain.biz
 e
scaricalamusica, come molti altri sono falsi, e questo va contro le regole
di quasi tutti i registrar
inoltre, per 
veryhappydomain.biz
 c'e' un record mx con un
server funzionante sul 61.129.70.182 che si presenta come 
lineaperfetta.biz
.
[
http://openrbl.org/ip/61/129/70/182.htm
]
e sullo stesso ip c'e' anche il sito di 
mp3-jukebox.biz

 di quasi tutti i registrar
Infatti mi pare che 
bellezze.biz
 e 
mp3-jukebox.biz
 siano andati
(i loro nameserver autoritativi sono ora gli stessi *.
gtld.biz
 che
ovviamente non forniscono record A).  Chi sta segnalando in questa
direzione sta facendo bene.
Inoltre c'e' una escalation di SBL verso lo host "Apolo-Gold-Telecom"
[ 
http://www.spamhaus.org/sbl/listings.lasso?isp=telecom.com.ar
 ]
e in questa fase e' opportuno che 
telecom.com.ar
 riceva quante piu'
segnalazioni possibile in modo che si convincano a dare una pedata
nel posteriore a questa spamhaus  (anche se non e' affatto ovvio che
leggano abuse@).


 
http://dnsreport.com/tools/dnsreport.ch?domain=scaricalamusica.com
Grazie della segnalazione. Conoscevo 
dnsreport.com
 perche' qualche
tempo fa qualcuno lo aveva usato sul mio dominio :-) laciando una
traccia nei log del server di posta. Coumunque sarei interessato 
a... "correre dietro a certi giochini". O a provarci, per lo meno.
A proposito di dnsreport: uno dei check che vengono eseguiti sul server
riguarda l'accettazione di posta nel formato domain literals da parte
del server smtp. Io ho sempre rifiutato questo traffico e dnsreport, 
ovviamente, mi ha sempre mostrato un WARN. A parte il commento di 
dnsreport, rifiutare posta con indirizzi domain literals e' considerato 
"disdicevole"? Nel caso potrei accettarli almeno quando il destinatario 
fosse postmaster, anche se chiunque abbia problemi con il mio server 
puo' scrivere a postmaster usando le informazioni contenute nel banner.
Fabio

 riguarda l'accettazione di posta nel formato domain literals da parte
non entriamo in guerre sante su RFC e dintorni. I literals non hanno senso
(imho) visto che un mailserver puo' ricevere posta per svariati domini, e
non saprebbe se pippo @ [1.2.3.4]  e' l'utente pippo @ dominio1 o pippo @
dominio2
puo' aver senso accettare la mail per abuse e postmaster@[ip]  ma gestendola
in modo che arrivi all'amministratore del mail server, non ad un cliente che
ha la posta sul tuo server.

 dominio2
 
Nessuna guerra santa. Sono d'accordo e volevo solo avere il conforto di 
qualche altra opinione.
Fabio

 per i literals e non hai reverse dns, afaik.
- My server doesn't accept mail to postmaster@[a.b.c.d] and doesn't have
reverse DNS. What do I do now ?
- You will have to configure your server to either accept email to addresses
using the RFC specified IP literal as domain or you will have to set up
reverse DNS. Without this, DSBL can't send you a confirmation email and you
won't be able to remove your server.
quindi direi che non e' necessario configurare il server per accettare la
mail all'ip. E' sufficiente che il revers sia mappato correttamente.

 per i literals e non hai reverse dns, afaik.
                 ^
Sono andato a vedere e quella "e" e' una "o" :-) se non ho capito male. 
Bah, spero di non aver mai bisogno di uscirne... In ogni caso, a questo 
punto, configuro per ricevere la posta di admin, noc e postmaster anche
su addres literals, cosi' taglio la testa al thori^Wtoro.
Fabio

 Sono andato a vedere e quella "e" e' una "o" :-) se non ho capito male.
oops.. vero..
non esci se non hai literls *e* non hai reverse..
quindi ne esci se hai literals *o* reverse
tu hai scritto giusto, io ho letto male, perdendomi sul fatto che la
negazione di un and diventa un or ..

 entrambe, quindi e' un AND. ;)
Hai ragione... maledizione a tutti quei non...
Fabio

 incoerenti? :-)
Questo e' sicuramente uno tra i piu' grossi problemi di Interbusiness.
Molti clienti lo scoprono con orrore quando cercano di uscire da UPL o
DSBL.  Una banalita' si tramuta improvvisamente in tragedia ;-)
