Newsgroup: it.news.net-abuse
Titolo: aiuto per decifrare headers

         Mon, 19 May 2003 13:39:27 +0000
Il primo dei "Received" (dall'alto in basso, quindi in ordine inverso
a come sono stati messi dai vari SMTP server) e' di 
libero.it
, e gli
credo. Il secondo e' sempre di 
libero.it
, e credo pure a lui. Questo
header mi dice che 
libero.it
 ha ricevuto il messaggio dall'IP
65.54.168.123. Tale IP, secondo il whois di ARIN, e' stato assegnato
a Microsoft Corp. Gli header che seguono, cioe' il terzo e il
quarto, mi sembrano poco affidabili in quanto privi della stringa
"( ... IP_number)".
Se le cose stanno cosi', lo spam e' partito da un SMTP di Microsoft,
cosa che mi sembra alquanto improbabile.
Se invece prendo per buono il terzo header, che ricordo e' stato messo da
un server di Microsoft, mi viene da chiedere: possibile che un SMTP server
gestito da Microsoft sia configurato in modo da tenere nascosto l'IP di
provenienza del messaggio ? A questo punto mi devo fermare, il
terzo header e' attendibile, perche' ce lo ha messo una macchina
gestita da microsoft, ma non mi dice da quale IP ha ricevuto il messaggio.
La mia caccia allo spammer questa volta si deve fermare qui, ha vinto
lui.
Qualcuno sa dirmi dove sbaglio (ammesso che stia sbagliando) ?
Saluti,
Lobster

 qui, ha vinto lui.
Prima di gettare la spugna controlla qui:
http://spamhaus.org/SBL/sbl.lasso?query=SBL8820
Soprattuttuo questo dovrebbe fare al caso tuo:
"Sources of spam via Hotmail servers since march 2003. Spamvertized 
domains: 
buy-dns.com
, 
romna.com
 (with obfuscated URLs)."
Ditemi se sbaglio...
-- 
Cornelius dixit.
Co-moderatore di 
www.fab4fans.com
Redattore di 
www.scidecom.org

 
Puoi spiegarmi come sei arrivato a quel'IP (212.252.6.201)
partendo dagli headers che ho postato io ?
Cosi' la prossima volta lo faccio da solo. Grazie.
Saluti,
Lobster

 partendo dagli headers che ho postato io ?
Received: from 212.252.6.201 by 
bay3-dav19.bay3.hotmail.com
 with DAV;
il suddetto computer ha usato hotmail (via web o via outlook express). Quel
received e' stato aggiunto, appunto, da hotmail.
Nel record SBL e' proprio scritto che lo spammer usa hotmail per l'invio.
Concentrati soprattutto su siti reclamizzati e servizi finanziari

 
L'IP in quella posizione non e' affidabile. L'unico IP affidabile
e' quello che ci mette il server SMTP e lo trovi tra parentesi
tonde, non subito dopo la parola "from". Quello che trovi tra la parola
"from" e la parentesi tonda e' quello che l'utente ha passato
al server con il comando HELO, quindi ci puoi trovare qualsiasi
cosa.
Il fatto che l'IP in questione sia inserito in una blacklist non vuol
dire niente. In quella posizione mi e' capitato di trovare anche
degli indirizzi IP che cercando su 
iana.org
 risultavano
non essere mai stati assegnati a nessuno.
Ergo, di quell'IP non ci possiamo fidare, per risalire allo
spammer, ammesso che sia possibile farlo, dobbiamo usare altre vie.
Saluti,
Lobster

 cosa.
well, devi prendere queste cose cum grano salis... E basarti un po'
sull'esperienza. Confronta ad esempio con un mio messaggio spedito
attraverso hotmail a un mio indirizzo di libero:
Received: from 
smtp5.libero.it
 (193.70.192.55) by 
ims1b.libero.it
 (7.0.012)
        id 3E9351990107DF36 for mio.indirizzo@libero; Sat, 24 May 2003
17:46:39 +0200
Received: from 
hotmail.com
 (64.4.22.79) by 
smtp5.libero.it
 (7.0.012)
        id 3EBBE142017DD7C1 for mio.indirizzo@libero; Sat, 24 May 2003
17:46:39 +0200
Received: from mail pickup service by 
hotmail.com
 with Microsoft SMTPSVC;
  Sat, 24 May 2003 08:46:38 -0700
Received: from mio.ip by 
dav22.law15.hotmail.com
 with DAV;
 Sat, 24 May 2003 15:46:37 +0000
noti per caso somiglianze col tuo? :-P
Il mio PC e' identificato appunto da mio.ip
Anche SBL ti dice che quello spammer e' solito usare hotmail, quindi perche'
non fidarsi da quello che ti dice hotmail?
Quindi protesta pure con hotmail, ma sappi che il pc che ti ha spedito lo
spam si trova in turchia.


considero la linea autentica
*********
In line: Received: from mail pickup service by 
hotmail.com
 with Microsoft
SMTPSVC;         Mon, 19 May 2003 06:39:28 -0700
Probabilmente una linea falsa - non ho trovato un valido indirizzo IP
**********
Analisi di:
IP del mittente (o del mailserver che consegna):212.252.6.201
Ha detto di essere :
Mailserver che riceve [by]:
bay3-dav19.bay3.hotmail.com
Il mailserver cha ha ricevuto la mail è 
bay3-dav19.bay3.hotmail.com
 che è
diverso da quello che l'ha consegnata nella precedente riga Received:, che è
hotmail.com
ma l'ip di quello della prima linea è nello stesso netblock di quello che stiamo
analizzando adesso
considero la linea autentica
Listato da:
*  
relays.osirusoft.com
*  
sbl.spamhaus.org
212.252.6.201 è una fonte di spam conosciuta
******************
****RISULTATI*****
******************
- 212.252.6.201([No rDns configured]): Spam source
Abuse address probabile: 
ab...@superonline.com
Ciao Excal

 noti per caso somiglianze col tuo? :-P
E beh ... allora vuol dire che sei tu lo spammer !
Scherzo ...
Grazie 1000 per le dritte.
Saluti,
Lobster

 Analisi effettuata con Abuse! :
E beh ... allora mi arrendo.
Grazie 1000 per il tempo che mi hai dedicato. Un'ultima richiesta: che
sito hai usato per decifrare gli header ? Ho fatto una breve ricerca su
google con "analisi header abuse" ma come immaginerai e' venuto fuori
di tutto e di piu'.
Se mi dai l'URL me lo memorizzo e non scoccio piu'.
Saluti,
Lobster

> Grazie 1000 per le dritte.
prego assai, rompi pure le scatole sul NG per chiedere dritte, info, aiuto,
ma non basarti esclusivamente su tool automatici. Parti da quelli, ma fai tu
l'analisi finale. Cosi' potrai trovare siti, redirector, servizi finanziari,
camuffi, ecc ecc ecc

 spammer, ammesso che sia possibile farlo, dobbiamo usare altre vie.
--
furio ercolessi
http://www.spin.it/spam/


http://sourceforge.net/projects/spam-abuse/
Scaricati il programmino e buon divertimento :)
Ciao Excal
P.S. Con Win98SE quando tenti di chiudere il programma
da un errore. L'autore (Zello) ne e' al corrente, ma a parte
questo piccolo inconveniente è un programma utilissimo,
che ti consente di spedire i LART direttamente.

 
http://sourceforge.net/projects/spam-abuse/
Ahi ahi ahi ... io uso Linux.
Fa niente, cerchero' qualcosa per Linux.
Saluti,
Lobster