Newsgroup: it.news.net-abuse
Titolo: E per gli spam con PDF?

Qualche trucco SpamAssassin per gli SPAM con solo un PDF attached?
Thanks
Mimmus 

 con solo un PDF attached?
oh yeah :) becca le signatures che trovi qui, sia
quelle relative a scam/phish che le signatures
di MSRBL ed installale in modo che ClamAV le
usi; non dico che elimineranno al 100% i PDF e
l'image spam ma di sicuro ... aiuteranno :D
http://www.sanesecurity.com/clamav/downloads.htm
poi per l'eventuale aggiornamento automatico
prendi uno degli scripts che puoi trovare qui
http://www.sanesecurity.com/clamav/usage.htm
ciao

MOLTO interessante, grazie mille.
Le provo subito.
M. 

 Le provo subito.
considera che, come ho già scritto,
"freshclam" non gestisce direttamente
quelle signatures per cui dovrai usare uno
degli scripts disponibili sul sito per aggiornare
le signatures usando rsync e magari creando
un cronjob opportuno
ciao

Si, perfetto, ho fatto proprio cosě.
Questi i risultati di ieri, impressionanti:
SPAM Statistics for Aug 22:
====================
3758             UserUnknown
2503             
sbl-xbl.spamhaus.org
1105             Clean
892              SpamAssassin
593              
dul.dnsbl.sorbs.net
479              Virus
294              
combined.njabl.org
94               
list.dsbl.org
47               
korea.services.net
15               DomainDoesNotResolve
---------------------------------------------------
4438 (18.86)    Total SPAM (Avg SpamAssassin score)
479             Total Virus
9780            Total
Virus Statistics for Aug 22:
====================
1677             Clean
77               Email.Spam.Gen681.Sanesecurity.07060604
62               Email.Spam.Gen997.Sanesecurity.07071300
38               Email.Spam.Gen479.Sanesecurity.07050800
30               Email.Spam.Gen1162.Sanesecurity.07082003
22               Email.Loan.Gen083.Sanesecurity.07060800
22               Email.Loan.Gen090.Sanesecurity.07061800
17               Email.Webaccount-5
13               Email.Spam.Gen1085.Sanesecurity.07073002
13               Email.Spam.Gen1024.Sanesecurity.07072303
13               Email.Spam.Gen1014.Sanesecurity.07072000
11               Email.Spam.Gen182.Sanesecurity.07013101
10               Email.Spam.Gen1090.Sanesecurity.07073102
10               Email.Malware.Sanesecurity.07082200
9                Html.Phishing.Bank.Rockv2Gen28.Sanesecurity.07061800
7                Email.Spam.Gen1177.Sanesecurity.07082205
7                Email.Hdr.Sanesecurity.07061900
6                Email.Malware.Sanesecurity.07082103
6                Email.Spam.Gen632.Sanesecurity.07053004
6                Email.Spam.Gen595.Sanesecurity.07052401
5                Html.Loan.Gen006.Sanesecurity.06120200
5                Email.Webaccount-7
5                Email.Img.Gen021.Sanesecurity.06126001
5                Email.Webaccount-4
5                Html.Spam.Gen074.Sanesecurity.07010501
4                Email.Malware.Sanesecurity.07082201
4                Email.Malware.Sanesecurity.07082102
4                Email.Spam.Gen1119.Sanesecurity.07080501
4                Email.Webaccount-6
3                Email.Spam.Gen1123.Sanesecurity.07080601
3                Email.Spam.Gen1007.Sanesecurity.07071800
3                Email.Spam.Gen1066.Sanesecurity.07072708
3                Email.Spam.Gen465.Sanesecurity.07050603
3                Email.Hdr.Sanesecurity.07012400
3                MSRBL-SPAM.Meds.2698
3                Email.Spam.Gen1170.Sanesecurity.07082105
2                Email.Spam.Gen588.Sanesecurity.07052112
2                Email.Spam.Gen1060.Sanesecurity.07072702
2                Email.Spam.Gen859.Sanesecurity.07062400
2                Email.Spam.Gen1175.Sanesecurity.07082203
2                Email.Img.Gen149.Sanesecurity.07082200
2                Email.Spam.Gen1084.Sanesecurity.07073001
2                Email.Img.Gen138.Sanesecurity.07080104
2                Email.Spam.Gen306.Sanesecurity.07040303
2                Email.Spam.Gen1045.Sanesecurity.07072512
2                Email.Spam.Gen1127.Sanesecurity.07080605
1                Email.Spam.Gen1059.Sanesecurity.07072701
1                Email.Phishing.RB-1492
1                Email.Spam.Gen281.Sanesecurity.07031000
1                Email.Spam.Gen990.Sanesecurity.07071105
1                Email.Spam.Gen1178.Sanesecurity.07082206
1                Worm.SomeFool.P
1                Html.Phishing.Bank.Rockv2Gen78.Sanesecurity.07081807
1                Email.Spam.Gen1009.Sanesecurity.07071802
1                Exploit.HTML.IFrame
1                Email.Malware.Sanesecurity.07082108
1                Email.Spam.Gen374.Sanesecurity.07041701
1                Email.Spam.Gen903.Sanesecurity.07062812
1                MSRBL-Images/0-0-OmI
1                Email.Hdr.Sanesecurity.07041201
1                Email.Malware.Sanesecurity.07082104
1                MSRBL-SPAM.Meds.2686
1                Email.Stk.Gen596.Sanesecurity.07071900.pdf
1                Email.Spam.Gen383.Sanesecurity.07042306
---------------------------------------------------
479             Total virus
2156            Total
Grazie ancora
Mimmus 

ObiWan ha scritto:

In che contesto lo hai testato?
SUl tuo server personale o su un server per molti utenti?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Just because you're paranoid doesn't mean they AREN'T after you.

 un server per molti utenti?
su un server "secondario" che gestisce
soltanto 5 domini (con diversi utenti, certo
ma sicuramente non ad "altissimo traffico")
e sinceramente ho notato che con le sigs
parecchia robaccia viene segata da Clam

ObiWan ha scritto:

falsi positivi?
Quei maledetti pdf passano che è una bellezza ma non mi vorrei ritrovare con 
la gente "leggermente" incazzata
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
You know you've been spending too much time on the computer when your
friend misdates a check, and you suggest adding a "++" to fix it.

 incazzata
si.. ti capisco; al limite potresti provare ad usare
le signatures per fare "scoring" (lo so che non è
una bella cosa, ma per lo meno potrai testarle
senza far incaxxare nessuno)

 SUl tuo server personale o su un server per molti utenti?
Su un server aziendale per 450 utenti, con il numero di mail che vedi nelle 
statistiche del post precedente.
Mimmus 

> 2503             
sbl-xbl.spamhaus.org
uhm .. perchè non usi "zen" al posto di "sbl-xbl" ?

Mimmus ha scritto:

c'è qualcosa che mi sfugge..
Ho tirato giù le signature ma i file di test passano allegramente.
Ho quindi abilitato il log su clamav e me lo riconosce senza problemi :-(
/var/amavis/tmp/amavis-20070824T082751-30199/parts/p002: 
Html.Phishing.Sanesecurity.TestSig FOUND
/var/amavis/tmp/amavis-20070824T090135-00715/parts/p002: 
Html.Phishing.Sanesecurity.TestSig FOUND
nel log di amavisd invece c'è un bel CLEAN :-(
dove posso controllare (oltre a aspettare un phish "vero"?)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
What this country needs is a good five cent ANYTHING!

 dove posso controllare (oltre a aspettare un phish "vero"?)
hmm .. sembra un problema di amavis; clam a quanto risulta dai
logs fa il suo dovere ed intercetta i test-files ma sembra che
amavis ignori la cosa ... mumble... fai una prova; ripesca un
"PDF spam" da qualche parte e prova ad inviartelo e verifica
che venga intercettato da Clam, se a quel punto amavis non
lo sega.. direi che sarebbe il caso di dare un'occhiatina alla
config di quest'ultimo

ObiWan ha scritto:

Ci avevo pensato ma la config va bene, amavisd bekka il FOUND e stop.
Tra le altre cose ho un altro server che becca più phishing del mio (con le 
sig normali) e la configurazione è la solita..
Me lo mandi un pdf spam? io li ho segati tutti :D
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
You need no longer worry about the future.  This time tomorrow you'll
be dead.

Dimmi... dimmi... non è che stia dietro a tutti i dettagli e i 
cambiamenti...
Mimmus 

Fatto, grazie. Non č che stia proprio dietro a tutte le novitą 
quotidianamente...
Mimmus 

 
A me si aggiorna regolare, la cosa che non mi va giù è che clamav nei log 
dice found ma amavis non lo prende..
è una cosa abbastanza strana: ho disabilitato il nod32 e lasciato solo 
clamav, ho poi inviato un eicar e un test per il phishing. Il risultato per 
clamav è stato questo
/var/amavis/tmp/amavis-20070824T113904-18394/parts/p004: 
Eicar-Test-Signature FOUND
/var/amavis/tmp/amavis-20070824T113835-18390/parts/p002: 
Html.Phishing.Sanesecurity.TestSig FOUND
ma solo l'eicar è stato stoppato; se non ricordo male amavis controlla il 
FOUND finale e basta
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
A new dramatist of the absurd
Has a voice that will shortly be heard.
	I learn from my spies
	He's about to devise
An unprintable three-letter word.

 male amavis controlla il FOUND finale e basta
non è che si "incarta" con quel "TestSig" ??

 
non dovrebbe..
da quello che vedo nella definizione di amavis:
  ['ClamAV-clamd',
    \&ask_daemon, ["CONTSCAN {}\n", "/var/run/clam/clamd"],
    qr/\bOK$/, qr/\bFOUND$/,
    qr/^.*?: (?!Infected Archive)(.*) FOUND$/ ],
cerca il banale FOUND e basta :-(
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Cleaning your house while your kids are still growing is like
shoveling the walk before it stops snowing.
		-- Phyllis Diller

 E ad ogni found lui butta dentro..
non hai un troiaio di pdf da rigirarmi?
magari quelle le segnala e basta (non mi chiedere perché...)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Documentation is like sex: when it is good, it is very, very good; and
when it is bad, it is better than nothing.
		-- Dick Brandon

> non hai un troiaio di pdf da rigirarmi?
esagerato.. you've new mail ;-)

   is now by default treated as spam, and no longer as a virus.
quindi dalla 2.5 se non viene azzerato @virus_name_to_spam_score_maps le 
segnalazioni con HTML o altro vengono trattate come spam e passate alla 
sezione omonima (che io non uso).
Una volta inserito nel config
@virus_name_to_spam_score_maps = ();
è andato tutto a posto...
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Duct tape is like the force.  It has a light side, and a dark side, and
it holds the universe together ...
		-- Carl Zwanzig

 
()&£(%%£//9'670384
è un problema di amavis.
ho fatto il downgrade dalla 2.5.2 alla 2.4.5 (stesso file di configurazione) 
e il test è andato a buon fine
UFFAAAAAA
chissà che differenze ci sono..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Boys will be boys, and so will a lot of middle-aged men.
		-- Kin Hubbard

> ()&Ł(%%Ł//9'670384
ho provato ad usare babelfish ed
anche google ma si rifiutano di
tradurre; ho addirittura tentato con
un traduttore che gestisce anche
il Klingon, il Romulano ed altri...
ma NISBA :)

 è andato tutto a posto...
ottimo; se ti consola, mentre ero a pranzo stavo
pensando al tuo problema e, dopo aver escluso
tutto il resto ho pensato che
<idiot_mode_on>
avessi inviato la mail da un account che era
stato posto in whitelist o che comunque non
veniva bloccato da alcuni dei filtri
</idiot_mode_on>
mica per altro, ma mi consola sapere che i
famosi "5 minuti di imbecillità" non sono una
prerogativa solo mia :D


E' macedone, ma codificato in UTF13.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 E' macedone, ma codificato in UTF13.
Azz.. perň porcamiseria avrebbe anche
potuto mettere un char-encoding opportuno
noh :) ?
vabbč dai la smetto sennň qui l'OT non
finisce piů :D

 E' macedone, ma codificato in UTF13.
Confermo, il Romulano è più complesso (figures il Vulvaniano!) ;-)
¢‡∞◊‰˛¸˚ˇŒÆ›
-- 
Salva saluti da:
echo 40959219681464777729187986074393988395592896740592906P | dc
Volete un mondo pulito? Scopate!

 figures il Vulvaniano!
Ops carino, però è un typo e parlavo di Vulcano. 
Pace e prosperità. \\ //
