Newsgroup: it.news.net-abuse
Titolo: [spam]scatena le tue fantasie zitqgsnug bs dxyyw

 To: 
ermin...@lycos.it
Subject: scatena le tue fantasie zitqgsnug bs dxyyw Date: Sun, 01 Jun 03
16:24:00 GMT
X-Mailer: AOL 7.0 for Windows US sub 118 MIME-Version: 1.0
Content-Type: multipart/alternative; boundary=".1.DE3_9__7C3AD_E"
X-Priority: 3
X-MSMail-Priority: Normal
Vuoi dare libero sfogo a tutte le tue fantasie?
allora clicca qui:
http://www.veryhappydomain.biz/sex/
troverai tutte le foto e i filmati di centinaia di famose pornostar!
ma non solo: all'interno ti aspetta anche una archivio completo di filmati
amatoriale..
perche aspettare?
clicca subito 
http://www.veryhappydomain.biz/sex/
....................
Attenzione!!!'utilizzo del servizio ÿFFFFE8 consentito solo a persone
Maggiorenni!! per rimuovere la tua email da invii successivi clicca qui:
http://www.veryhappydomain.biz/sex/unsubscribe_email.php
 vaqpnapuh cp
ejmw oc eed
gurhbp qdora b czlq eajnwo
--------------------------------------------------
l'indirizzo di posta 68.113.64.131 mi risulta registrato presso:
charter.com
---------------------------------------------------- Authoritative answers
can be found from: 64.113.68.in-addr.arpa  nameserver =
ns1.com21.leeds.al.charter.com
. 64.113.68.in-addr.arpa  nameserver =
ns.com21.leeds.al.charter.com
. 
ns.com21.leeds.al.charter.com
   internet
address = 66.168.216.9 
ns1.com21.leeds.al.charter.com
  internet address =
24.196.17.8
------------------------------------------------------------------- Domain
names in the .com and .net domains can now be registered with many
different competing registrars. Go to 
http://www.internic.net
 for detailed
information.
   Domain Name: 
CHARTER.COM
   Registrar: NETWORK SOLUTIONS, INC.
   Whois Server: 
whois.networksolutions.com
 Referral URL:
 
http://www.networksolutions.com
 Name Server: 
NS1.CHARTER.COM
   Name Server: 
NS2.CHARTER.COM
   Name Server: 
NS3.CHARTER.COM
   Name Server: 
NS4.CHARTER.COM
   Status: ACTIVE
   Updated Date: 07-may-2003
   Creation Date: 30-jul-1994
   Expiration Date: 29-jul-2006
-------------------------------------------------------------------------
dal sito di networksolution credo sia giusto scrivere a :
pri...@networksolutions.com
in relazione al dominio 
veryhappydomain.biz
 risulta registrato da  enom
inc.
Domain Name:         
VERYHAPPYDOMAIN.BIZ
 Domain
ID:                  D4688343-BIZ Sponsoring Registrar:  
                     ENOM, INC.
...... tralascio varie amenita' tipo: 
	Registrant Name:         Johny Walker
	Registrant Organization: Whiskey corp 
e leggo:
Name Server:               
NS1.SOUTH-WATERS.BIZ
 
Name Server:               
NS2.SOUTH-WATERS.BIZ
Name Server:               
NS1.TRANSZAMBA.BIZ
 
Name Server:               
NS2.TRANSZAMBA.BIZ
 
Created by Registrar:      ENOM, INC. 
Last Updated by Registrar: ENOM, INC.
Domain Registration Date:  Sat May 17 11:27:30 GMT 2003 
Domain Expiration Date:    Sun May 16 23:59:59 GMT 2004
Domain Last Updated Date:  Sun May 18 19:25:52 GMT 2003
sul sito 
enom.com
 trovo la mail per gli abuse: 
ab...@enom.com
mi piacerebbe avere un vostro commento sulla mia ricerca, mi scuso per la
lungaggine e per eventuali errori,
se volete farmi notare quali parti del
messaggio risultano superflue evitero' cosi' di spedirle ancora. 
grazie
ilpiyo

 
http://www.veryhappydomain.biz/sex/
intanto dai un'occhiata per capire se e' un dominio 'normale' o uno spammer
che usa trucchi per nascondersi...
http://dnsreport.com/tools/dnsreport.ch?domain=veryhappydomain.biz
come vedi ci sono delle 'stranezze' sui dns server..
di interessante trovi anche che c'e' un record MX ...
0  
a.mx.veryhappydomain.biz
.  IP=61.129.70.182 e si presenta come
lineaperfetta.biz
ad occhio un postfix, e su quell'ip gira anche un apache che serve altri
siti, quali 
www.mp3-jukeboz.biz
.
questa macchina e' quindi in controllo dello spammer ..
inetnum:      61.129.0.0 - 61.129.255.255
netname:      CHINANET-SH
descr:        CHINANET Shanghai province network
adesso occupiamoci dell'hosting.
Come hai visto ci sono dei trucchetti con il dns, vediamo di capire quali.
innanzitutto vai su 
http://www.samspade.org/t
e scegli 'the safe web browser'
e prova ad aprire il sito 
www.veryhappydomain.biz
noterai fra gli header due righe..
X-Cache: MISS from net-cache
X-Cache-Lookup: MISS from net-cache:80
hmm... non stai quindi connettendo al 'vero' sito dello spammer, ma ad un
proxy.
vediamo come funziona :
1) tu (chiunque) chiedi ai dns su che ip si trova il sito
www.veryhappydomain.biz
2) i dns ti rispondono puntando a questo proxy aperto messicano
3) il proxy cerca il sito, e quindi prova a risolvere l'host
www.veryhappydomain.biz
4) i dns a lui (il proxy) e solo a lui dicono l'indirizzo VERO del sito
5) il proxy si prende il sito dall'hosting vero, e tu lo prendi dal proxy...
non saprai mai dove lo pesca
certo che per fare questo giochino il server dns che usa il proxy deve
ricevere i dati veri dal dns dello spammer (a noi mente, ma al proxy deve
dire la verita'...)
ora bisogna scoprire quale e' il DNS server che interroga il proxy
messicano.
ti conviene fare alcune operazioni :
1) prova a vedere se su quella macchina c'e' un dns server (e quindi prova a
fare un dig usando quell'ip)
2) prova a vedere a chi e' registrato quel range di IP, e vedi se per caso
e' uno dei dns autoritativi
3) vedi se c'e' un dns attivo negli ip vicini al proxy (porta 53 tcp e udp)
4) fai lo stesso giochino dello spammer e vedi qual e' il server che fa la
query.
per fare l'ultimo punto DEVI avere un server dns tuo (BIND o similia) e un
dominio per il quale controlli i dns.
Configuri il tuo internet explorer per usare il proxy che usa lo spammer (in
questo caso 200.53.170.12) e provi a connetterti al TUO sito ... tu farai la
richiesta direttamente al proxy, il proxy provera' a risolvere l'indrizzo ip
del tuo sito facendo fare al SUO dns una query al TUO dns autoritativo.
BINGO ... l'ip del server dns che il proxy usa per fare la query al tuo dns
e' lo stesso che usa per fare la query per trovare il sito dello spammer. Ed
e' proprio il DNS server al quale il bind dello spammer risponde con i dati
veri !
trovato il server che il proxy usa lo interroghi per risolvere l'ip di
www.veryhappydomain.biz
 e ti fornira' il dato giusto.
se facciamo la prova, vediamo che il dns che usa il proxy e' : 200.153.199.1
a questo punto interrogando 200.53.199.1 per 
www.veryhappydomain.biz
 dovrei
avere l'indirizzo giusto del server.
infatti se provo a fare la query mi risponde : 200.53.165.9  [mentre secondo
tutti gli altri dns era 200.53.170.12]
e quindi i dati che abbiamo sono :
61.129.70.182 (mail server per 
www.veryhappydomain.biz
)
e 200.53.165.9 l'ip che il dns usato dal proxy risolve per l'host
www.veryhappydomain.biz
.. a questo punto pero' mi perdo. la macchina in questione ha aperte una
porta ssh e una porta pop3 ... nulla che c'entri minimamente... e non mi
aspettavo di trovare la macchina in quel range.
mi sa che mi sono perso qualcosa io. Chi mi da' una mano ?

 siti, quali 
www.mp3-jukeboz.biz
.
.. e anche 
www.veryhappydomain.biz
 :-) Ma non se visto dal proxy in 
questione :-(
HEAD via proxy 200.53.170.12 per 
www.veryhappydomain.biz
 
-----------------------------------------
HTTP/1.0 200 OK
Date: Tue, 03 Jun 2003 11:19:37 GMT
Server: Apache/2.0.44 (Unix) PHP/4.2.3
Last-Modified: Wed, 28 May 2003 01:52:48 GMT
ETag: "295849-4309-b35e7c00"
Accept-Ranges: bytes
Content-Length: 17161
Content-Type: text/html; charset=ISO-8859-1
X-Cache: MISS from net-cache
X-Cache-Lookup: MISS from net-cache:80
Age: 34449
Via: HTTP/1.0 mxmtypopinktx1 (Traffic-Server/5.2.1 [cHs f ])
HEAD diretta su 61.129.70.182 per 
www.veryhappydomain.biz
 
---------------------------------------------------------
HTTP/1.1 200 OK
Date: Tue, 03 Jun 2003 13:04:30 GMT
Server: Apache/2.0.44 (Unix) PHP/4.2.3
Last-Modified: Sun, 25 May 2003 20:04:15 GMT
ETag: "aea1c-4309-992cadc0"
Accept-Ranges: bytes
Content-Length: 17161
Connection: close
Content-Type: text/html; charset=ISO-8859-1
Direi che non sono la stessa macchina, a prima vista. Ora, una HEAD a 
un mio server http usando come proxy il solito 200.53.170.12, da:
HTTP/1.0 200 OK
Date: Tue, 03 Jun 2003 16:04:59 GMT
Server: Apache-AdvancedExtranetServer
Last-Modified: Mon, 30 Sep 2002 08:23:41 GMT
ETag: "300a89-b1e-3d980a0d"
Accept-Ranges: bytes
Content-Length: 2846
Content-Type: text/html
Age: 4239
Via: HTTP/1.1 mxmtypopinktx1 (Traffic-Server/5.2.1 [cMsSf ])
Nella prima HEAD ci sono due righe proxy-like che non vengono inserite 
da 200.53.170.12. Il traffico sul mio server e' stato generato da 
200.53.170.12 direttamente. Possibile conclusione: i dns di transzamba 
e south-waters risolvono 
www.veryhappydomain.biz
 nell'ip di un altro 
proxy quando interrogati da mxmtypopinktx1, e in un altro proxy ancora 
quando interrogati da questo secondo proxy. Rimarrebbe da scoprire, nel 
caso, come abbiano fatto a trovare il secondo proxy in 200.53.165.9, 
visto che per gli utenti esterni a quella rete non lo e'. Potrebbe anche 
essere che 
www.veryhappydomain.biz
 sia dietro a dei reverse/acceleration 
proxy che inseriscono le righe mancanti [1]. Visto che gestisci un
dominio, prova a fare lo stesso giochetto: risolvi un tuo server web in 
200.53.165.9 se interrogato da 200.53.170.12 e poi prova a accedervi
passando da 200.53.170.12 per vedere quale host tenta di risolvere il 
nome e quale host interroga il server web.
Fabio
[1] I vecchi siti su 216.93.166.92 tipo scaricalamusica (che ora e' 
    servito da questo nuovo proxy aperto) erano dietro a un reverse 
    (acceleration) proxy.

avere l'indirizzo giusto del server.
Non risponde, già morto?
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Non risponde, già morto?
Stanno cambiando proxy: gia' ieri sera i messicani che gestivano il 
proxy abusato ed il relativo dns dovevano aver subodorato qualcosa e 
i loro dns non risolvevano piu' correttamente 
www.veryhappydomain.biz
. 
Oggi la situazione e' questa: 
www.veryhappydomain.biz
 si risolve in 
200.102.130.42, il quale, pero' apparentemente non e' un proxy, ma solo 
un host dietro a un firewall linux 200.180.217.227 che redirige tutto il 
traffico diretto alla 80/tcp di tutte le macchine da lui protette a un 
proxy squid che ascolta sulla porta 3128. In pratica il vero proxy e' il
200.180.217.227 stesso. Non so se gli spamemr lo abbiano cercato apposta 
con questa configurazione o se non se ne siano accorti. Sta di fatto che 
200.180.217.227 e' anche il name server ma non e' in grado di risolvere 
www.veryhappydomain.biz
, non so per quale motivo. Diciamo che per ora 
stanno preparando la struttura per il nuovo accesso al sito ma hanno 
qualche problemino a far risolvere correttamente il nome host al proxy. 
La configurazione di quelle macchine e' dozzinale e forse c'e' qualche 
malfunzionamento locale che impedisce allo spammer di fare il suo 
giochetto. Notare per esempio, porta sorgente e ip delle risposte del 
proxy a una GET fatta sulla porta ->>80/tcp<<- dell'host 200.102.130.42
con una richiesta tipo:
$ nc 200.102.130.42 80
HEAD 
http://200.102.130.42
 HTTP/1.0
Host:200.102.130.42
[...]
06/04-10:59:14.107978 0:3:6B:DC:23:EF -> 0:60:97:78:75:F4 type:0x800 
len:0x16B 
200.180.217.227:3128
 -> 
151.36.98.220:1703
 TCP TTL:40 TOS:0x38 
ID:18099 IpLen:2 0 DgmLen:349 DF
***AP**F Seq: 0xA12900ED  Ack: 0xB1F19018  Win: 0x16D0  TcpLen: 20
48 54 54 50 2F 31 2E 30 20 35 30 34 20 47 61 74  HTTP/1.0 504 Gat
65 77 61 79 20 54 69 6D 65 2D 6F 75 74 0D 0A 53  eway Time-out..S
65 72 76 65 72 3A 20 53 71 75 69 64 2F 32 2E 34  erver: Squid/2.4
2E 53 54 41 42 4C 45 37 0D 0A 4D 69 6D 65 2D 56  .STABLE7..Mime-V
[cut]
200.102.130.42 apparentemente non e' acceso. Il sistemista che ha 
configurato il netfilter e il proxy trasparente deve aver bevuto 
parecchio la sera prima. Ovviamente squid tenta di chiudere la  
connessione, ma poiche' il four way exchange e, poi, i vari reset non 
appartengono alla sessione iniziale a causa dello SNAT cannato, viene 
fuori un pastrocchio tcp/ip che si risolve solo con il timeout da 
entrambe le parti. Tutto funziona correttamente se l'host destinazione 
della richiesta http e' su.
Attendiamo sviluppi.

 Attendiamo sviluppi.
Sono previsti sviluppi :-)
--
furio ercolessi
http://www.spin.it/spam/

 Sono previsti sviluppi :-)
Ci sono stati, anche se non penso se siano quelli a cui ti riferivi :-( 
Ora hanno risolto il problema con il dns e il sito e' raggiungibile 
attraverso il proxy. Anzi, direi _i_ proxy: 
$ lynx --head --dump 
http://www.veryhappydomain.biz
HTTP/1.0 200 OK
Date: Wed, 04 Jun 2003 20:08:40 GMT
Server: Apache/2.0.44 (Unix) PHP/4.2.3
Last-Modified: Wed, 28 May 2003 01:52:48 GMT
ETag: "295849-4309-b35e7c00"
Accept-Ranges: bytes
Content-Length: 17161
Content-Type: text/html; charset=ISO-8859-1
X-Cache: MISS from broadcaster
Age: 196
X-Cache: HIT from 
server.viaradiointernet.com.br
Connection: close
L'ETag e' lo stesso di ieri e, quindi, e' verosimile che anche il 
server che hosta il sito sia lo stesso di ieri, ma sono presenti 
linee diverse in relazione al percorso della richiesta: sono ancora 
presenti due proxy ma tutti e due sono diversi dai precedenti e, 
quindi, e' probabile che anche il primo (broadcaster) sia un proxy 
abusato e non un acceleration proxy messo di fronte al server web.
Fabio

 Da poco mi diletto nel dare la caccia agli spammers,
e dalle risposte ricevute aggiungo da molto poco....
vi ringrazio e torno a farmi un po' di cultura analizzando attentamente
cio' che avete scoperto.
io non ho un mio dominio da gestire, devo quindi chiedervi dove trovare
info sul funzionamento di un proxy che su un pc standalone non ho mai
ovviamente installato.
dite che leggere manuali di squid e magari testarlo in qualche modo puo'
essere utile?
oppure c'e' qualche sito che approfondisce la questione spam -> proxy
aperti, magari piu' tecnico dell'ottimo collinelli?
grazie ancora
ilpiyo
-- 
Don't care to belong to a club that accepts people like me as members. 
							Groucho Marx
---------------
http://utenti.lycos.it/ilpiyo--------------------------
 

 a uno a uno con le pinzette.
LoL, come tante piccole zecche.
Fabrizio (una metafora perfetta)

 Ci sono stati, anche se non penso se siano quelli a cui ti riferivi :-( 
Effettivamente Telecom Argentina non agisce, pur essendo perfettamente
a conoscenza della situazione.  Siamo qui di fronte al caso dell'ISP
che decide con perfetta coscienza e lucidita' di fornire supporto a 
una delle principali spamhaus del mondo.
Il banco dei mail servers di produzione di Telecom Argentina (
200.3.94.0/23
) 
e' ora entrato in SPEWS [ 
http://spews.org/html/S1125.html
 ] - listing
con effetti collaterali presumibilmente piuttosto grandi.
Ora ne sono rimasti solo due in Argentina:
ns1.south-waters.biz
.   2H IN A         217.21.117.88
ns2.south-waters.biz
.   2H IN A         200.43.81.73
ns1.transzamba.biz
.     2H IN A         202.78.167.172
ns2.transzamba.biz
.     2H IN A         203.197.199.53
ns.super-zonda.com
.     2D IN A         200.43.172.200
ns1.super-zonda.com
.    2D IN A         200.43.81.73
ns2.super-zonda.com
.    2D IN A         203.197.199.54
ns3.super-zonda.com
.    2D IN A         202.78.167.172
ma entrambi funzionano bene, mentre qualcuno degli altri non risponde.


 con effetti collaterali presumibilmente piuttosto grandi.
Ora anche in SBL:
http://www.spamhaus.org/sbl/sbl.lasso?query=SBL9403
"All of the Telecom Argentina SBL listings below need to be terminated 
 before this listing of the Corporate Mail Relays of 
telecom.com.ar
 will 
 be removed for the SBL"
