Newsgroup: it.news.net-abuse
Titolo: decine di "user unknown" sul ns server

Mi collego per analogia ai msg di questi giorni riguardo le "failure
delivery", per un problema sorto nelle ultime 2/3 settimane sul ns server.
Abbiamo decine di bounce causa "user unknown" e all'inizio pensavo fosse
un attacco con dizionario, ma mi pare strano per vari motivi:
- IP di provenienza estremamente diversi fra loro
- persistenza nel tempo
- combinazioni "strane" di nomi (tipo nome/cognome + una sigla), come ad
es potrebbe essere "JohnWhite_cx*
onenet.it
"
- arrivano sia direttamente verso il ns MX che tramite l'MX di back-up
(pur essendo il ns sempre funzionante)
La cosa all'inizio non mi dava fastidio, ma comincio ad essere stufo di
tutte quelle inutili righe nel log di errore e inoltre non vorrei si sia
trattato veramente di uso scorretto del ns dominio da parte di
spammer/scammer e simili.
Pertanto sono alla ricerca di suggerimenti :)
Grazie,
Gabriele Polidori
-- 
OneNET Point Trieste					Tel: 
+39 040 771190
via San Francesco 28/c				Fax: 
+39 040 3726154
34133 Trieste - Italy					
http://www.onenet.it/TS/
Lun e Sab: 10-13 / 16-21
da Mar a Ven: 16-21


un virus che manda email?
ciao
John

Abbiamo decine di bounce causa "user unknown"
Non so se c'entra qualcosa, ma io uso mailwasher con la (deprecata)
funzione di bounce, e da un po' di giorni mi arrivano in casella i
bounce spediti da me, dato che a quanto pare molti spammer hanno
imparato a mettere come reply-to l'indirizzo dello spammato.
La dovro' disattivare, contenti? :)
ps. come mai nessuno ha risposto al mio ultimo messaggio? Mi ero
risposto da solo?
--
Federico Spano`

 (pur essendo il ns sempre funzionante)
Guardando i logs (nell'MX di backup) vedo che questa roba viene
prevalentemente da mailservers di produzione, esempio
gv-m1.usfamily.net
[207.225.145.195]
smtpout.mac.com
[17.250.248.86]
gri.invitrogen.com
[198.140.179.211]
zmail-3.hanmail.net
[211.43.197.64]
Direi che quasi sicuramente uno spammer ha falsificato questi
indirizzi nel mittente e stanno arrivando bounce.
Poiche' sembra che tutti i destinatari abbiano un underscore 
nell'indirizzo, se mi dici che non hai underscores negli indirizzi
legittimi te li faccio sparire.
--
furio ercolessi
http://www.spin.it/spam/

Pertanto sono alla ricerca di suggerimenti :)
Accetta quella posta e guarda che succede... Io ho dovuto farlo per
wonderland.linux.it
 per evitare che mi venissero consegnati alla
macchina di casa circa un migliaio di rimbalzi al giorno, cortesia di
Al Ralsky.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

legittimi te li faccio sparire.
Uhm... Da /etc/postfix/
virtual.re
:
/.+_.+@wonderland\.linux\.it$/                          spamtrap2
/^[a-z\.]{4,}@wonderland\.linux\.it$/                   spamtrap2
Che sia sempre Ralsky?


 Al Ralsky.
Pensavo di provare, ma devo ricordarmi di farlo solo per una o due ora
al massimo, sennò divento scemo poi a controllare tutto !
Però poi che si fa ? il problema è la gran varietà di IP di provenienza
e, come dice Furio, anche a me parevano mail server legittimi
(altrimenti sarebbero stati bloccati dalle DNSbl).


 legittimi te li faccio sparire.
mmhh devo controllare... alcune spam-trap hanno l'underscore (le lascio
per i simpaticoni di 
aziende.it
 & Dada).
Se scopro chi è il "mandante", setto il forward di tutti gli "unknown"
verso di lui !


 Al Ralsky.
Ecco fatto, per 5 minuti che bastano ed avanzano...
"BALLS AND PENIS ENLARGMENT" ! cavoli, per il "penis" sapevo, ma non
avevo letto prima che anche le palle si possono ingrossare !
Perň pensandoci bene, potrei spammare lo spammer e dirgli che se vuole
gliele ingrosso io a calci; di sicuro costa meno ed č piů veloce del
metodo da lui proposto.
Guarderň dopo gli headers, comunque sono domini 
numerici.biz
 (tipo
7462.biz
 per capirci); poi riattivo quel forward e lo setto sul dominio spammante.
Ma una volta capito chi č, come posso agire? intendo se legalmente posso
ricavarci qualcosa...


 avevo letto prima che anche le palle si possono ingrossare !
Come no... quando uno dice che ne ha du' balle cosě...
ok, torno a lurkare :-)
-- 
Bye by V.

 Al Ralsky.
Lo spam è stato inviato da svariati IP (a occhio dial-up) in giro per il
mondo, mi viene il dubbio siano macchine abusate.
I domini pubblicizzati appartengono alla stessa persona (Edward
Davidson, di NY) e sono:
7462.biz
 (non raggiungibile)
32547.biz
 (funzionante e perfino con un form per segnalare lo spam!)
Adesso che so chi è il mandante, a parte il problema di fermarlo (ma
penso basterà che inoltri qualche esempio ai vari abuse), volevo sapere
se è personaggio conosciuto; inoltre se posso impostare il forward dei
msg che fin'ora rimbalzavo verso di lui o se è controproducente... so
che non è bello da farsi, però...


 
32547.biz
 (funzionante e perfino con un form per segnalare lo spam!)
32547.biz
.         IN NS        
NS1.TRIBLEDNS.COM
.
32547.biz
.         IN NS        
NS2.TRIBLEDNS.COM
.
NS1.TRIBLEDNS.COM
. IN A         66.151.47.195
NS2.TRIBLEDNS.COM
. IN A         66.151.47.196
http://spamhaus.org/SBL/sbl.lasso?query=SBL9003
http://spews.org/html/S1100.html
  [UltimateDiets]  (mandante?)
http://spews.org/html/S1274.html
  [cybernetemail]  (esecutore?)
http://www.spamhaus.org/rokso/search.lasso?evidencefile=2444
Si va a finire a Boca Raton, dove ci sono numerose connessioni fra
spammers...
