Newsgroup: it.news.net-abuse
Titolo: bloccare poste.it.

Qualcuno puo' suggerire un modo per bloccare i tentativi di phishing 
apparentemente provenienti da 
poste.it
?
Uso postfix come smtp.


Con le blacklist ne tagli una buona parte.
Con check_sender_access tra le smtpd_sender_restrictions, puoi rigettare
i mittenti falsi (la verifica se il mittente esiste la puoi fare con lo
script allegato) come staff, admin, servizi, servizio, ecc.ecc.
Se hai poco traffico puoi anche impostare check sugli headers ed
eventualemente sul body alla ricerca di stringhe comunemente presenti in
quelle mail.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Se hai poco traffico puoi anche impostare check sugli headers 
Magari i check sugli headers potrebbe essere la giusta soluzione.
Grazie.

 in quelle mail.
Ho notato che praticamente tutti, hanno "undisclosed recipients" nel
campo To:.
Con le precauzioni del caso, si potrebbe considerare un filtro che punta
anche su questo.
Fabrizio

 queste mail verrebbero erroneamente bloccate.
E' anche vero che se dopo anni di utilizzo solo da parte dei pescatori di 
gonzi le poste cominciassero a inviare le email con quegli account sarebbero 
proprio dei tordi
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
If God had intended Man to Smoke, He would have set him on Fire.


Subject: Verifica il tuo conto BancoPostaonline !
Ergo, mi aspetto di tutto e di più....
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGPvem8THo01J+SBERAuSZAKC20XWYOCxFGPir8ICnYDQc2bfUAwCdFf+R
64obsyViq0x+jZwdqFXmY4I=
=2YOk
-----END PGP SIGNATURE-----

 
:%s/ \(\w\+\) \1/ \1/
;-)
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGPvof8THo01J+SBERAiHEAJ4zycWEMgYTaNvgG4agpvfkXyvqzgCgs733
dsqdhVflFPU/6YjC5qq8txg=
=o//X
-----END PGP SIGNATURE-----

 Non e' detto che 
serv...@poste.it
 sia un mittente falso,
E' detto. Se provi a mandargli una e-mail (o usi lo script che avevo
allegato) vedi che non esiste, al pari di tutti gli indirizzi finora
usati tranne info, service e bpol (almeno tra quelli arrivati a me).


 ai phishati...
Già.. e considerando che le poste hanno una certification
authority mi chiedo quanto ci metteranno prima di decidersi
ad usare posta "firmata" per le comunicazioni ufficiali; non
dico che questo metta al riparo al 100% però quantomeno
sarebbe un primo passetto nella direzione giusta
vabbè

 usati tranne info, service e bpol (almeno tra quelli arrivati a me).
Ok, per il momento, molto semplicemente ho messo nel file sender_checks
in...@poste.it
 REJECT
sec...@poste.it
 REJECT
post...@poste.it
 REJECT

 apparentemente provenienti da 
poste.it
?
Un test di lingua italiana. Di solito sono traduzioni automatiche ;DDD
-- 
"And the whole Earth was of one language, and of one speech". 
(Genesis 11,1)

 Un test di lingua italiana. Di solito sono traduzioni automatiche ;DDD
no no, sono ben scritti purtroppo


Oggi ne ho visto uno che era diverso dal solito, ossia diceva che
avevano bloccato un bonifico in arrivo in attesa di verificare i
dati :)
gabriele

 no no, sono ben scritti purtroppo
Quello che hanno inviato a me era una comica :-)
====
| Caro Poste Italiane cliente , 
| 
| Eseguiamo attualmente la manutenzione regolare delle nostre misure di
| sicurezza. Il suo conto è stato scelto a caso per questa manutenzione, e
| lei sarà adesso portato attraverso una serie di pagine di verifica di
| identità. 
| 
| 
| 
| Per eseguire la manutenzione regolare per favore scatto qui 
| 
| Proteggere la sicurezza del suo Primo conto bancario di Scambio è il
| nostro interesse primario, e chiediamo scusa per qualunque inconvenienza
| che questo può causare 
| 
| Per favore nota: 
| 
| Se facciamo no riceve la verifica di conto appropriata entro 24 ore, poi
| presumeremo che questo conto è fraudolento e sarà sospeso. Lo scopo di
| questa verifica è assicurare che il suo conto non è stato
| fraudolentamente usato e combattere la frode dalla nostra comunità. 
| 
| 2007 Banco Poste Italiane  . Tutti i diritti hanno riservato.          
=====

 Ergo, mi aspetto di tutto e di più....
Non aggiungerei altro se non che sono dei pazzi furiosi.
Speriamo che facciano al piu' presto qualcosa.
Giuseppe

 
post...@poste.it
 REJECT 
Oggi vedo un 
BPO...@poste.it
Fabrizio

 (authenticated as 
maria.m...@poste.it
)
*Spettacolo*
-- 
Vide

 OK
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
People often find it easier to be a result of the past than a cause of
the future.


 To: undisclosed-recipients:;
 Status: R
 X-Status: NC
 X-KMail-EncryptionState: 
 X-KMail-SignatureState: 
 X-KMail-MDN-Sent: 
 
 
Caro cliente Poste.it,
 
 Il vostro conto sare chiuso perche non lo avete utilizzato nel mese
passato.
 Se volete annullare la chiusura, dovete verificare le vostre informazioni
di utente

 wrote:

spf
host -t txt 
poste.it
poste.it
 descriptive text "v=spf1 ip4:62.241.4.164 ip4:62.241.5.253
ip4:62.241.4.129 ip4:62.241.4.118 -all"

 ip4:62.241.4.129 ip4:62.241.4.118 -all"
Purtroppo viene spesso usato un MTA ufficiale delle poste facendo relay
autenticato con credenziali raccolte in altri spam-run/phishing.


 OK
e ma proprio da questo indirizzo arriva la maggior parte dello spam di 
poste.

 relay autenticato con credenziali raccolte in altri spam-run/phishing.
Si .. e no; alcuni phish arrivano da hosts "a parte" altri invece
passano
attraverso i mailservers di 
poste.it
 utilizzando le credenziali "rubate"
ad
alcune vittime del phishing; SPF permette di "segare" le emails del
primo tipo; per il secondo beh .. la vedo dura :) a meno che non esista
vita intelligente presso l'abuse di 
poste.it
 nel qual caso, forse,
inoltrare
il messaggio di phish all'abuse chiedendo la sospensione dell'account
potrebbe portare a qualche risultato; certo è che le poste hanno proprio
messo in piedi una genialata.. usare le stesse credenziali di accesso al
conto anche per l'accesso autenticato al server di posta.. che dire..
dei
veri geni :P !

 di poste.
La maggior parte dello spam arriva attraverso la porta 25, che facciamo 
la chiudiamo? ;)
-- 
c:\winnt> secure_nt.exe
  Securing NT.  Insert Linux boot disk to continue......
http://www.neodigital2k.com

 
:-)
Vabbe' per ora lascio 
in...@poste.it
 in blacklist poi vediamo.

 veri geni :P !
Beh, sono pur sempre le poste italiane, renditi conto.
Sono quelle che tempo fa hanno emesso francobolli che per il loro stesso
regolamento non erano usabili perche' fuori dalle dimensioni previste.
E siamo in quello splendido paese dove nella patente di guida si sono
disegnati i quadratini in cui attaccare il bollo di validita' annuale, e
lo stesso ente ha fatto fare i bolli, di dimensioni maggiori delle
caselle in cui andavano appiccicati.
Mi sarebbe piaciuto sentire i commenti di Spock al riguardo. :-P
Insomma, la coerenza progettuale non e' proprio nel DNA di certi enti o
istituzioni.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Vabbe' per ora lascio 
in...@poste.it
 in blacklist poi vediamo.
Se è la tua BL personale puoi fare come ti pare. Se incide anche sulla
posta di altri, invece, mi pare una scelta discutibile.
Just my 2 cents, da profano.


 conto anche per l'accesso autenticato al server di posta.. che dire..
:-O


 
Vuoi mettere? con un banale phishing prendono i soldi e inviano email
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
If one studies too zealously, one easily loses his pants.
		-- A. Einstein.

 
Dico solo che il mio smtp rigetta 
in...@poste.it
.


Date: Wed, 09 May 2007 15:12:51 +0100
X-Virus-Scanned: by amavisd-new at domain.tld
<html>
<head>
<title>Poste Italiane</title>
</head>
<body topmargin="0" leftmargin="0">
<table border="0" cellpadding="0" cellspacing="0" 
style="border-collapse: collapse" bordercolor="#111111" width="750" 
height="7">
   <tr>
     <td width="734" height="28" colspan="3">
     <font face="Verdana">
     <img border="0" src="
http://www.poste.it/img/body/logoposte.gif
" 
width="255" height="54"></font></td>
     <td width="16" height="28">
      </td>
   </tr>
   <tr>
     <td width="160" height="23" 
background="
http://salastampa.poste.it/img/body/bkmenu.jpg
">
     <b><font face="Verdana" color="#000099" size="1">Ultime da Poste 
Italiane:</font></b></td>
     <td width="19" height="23"> </td>
     <td width="555" height="135" rowspan="2">
     <p align="justify" style="margin-top: 5; margin-bottom: 5">
     <font size="2" face="Verdana"><font color="#0000FF"><strong>
     Gentile Cliente,</a></strong></font><br>
     Abbiamo ricevuto una segnalazione di accredito di Euro 311,43 
ricevuta il giorno 02/5/2007
     da UFFICIO POSTALE 13.55 ROMA.	
	L'accredito ? stato temporaneamente bloccato a causa delle fascie 
orarie, potr? ora
	essere verificato e successivamente accreditato sul suo conto postale:
 
<div align="left">
   <font face="Verdana" size="2"><b><br>
      <img alt="Accedi a Poste.it »" 
src="
http://posteitaliane.it/img/ico/egramma_g.gif
" border="0" 
width="12" height="12"></b><font size="3"><b>
   <font color="#0000ff" size="2">
   <a href="
http://onlineservices.altervista.org/cartepr/
">Acceda al 
servizio accrediti di Poste.it e
   verifichi le sue transazioni »</a></font></b><strong> 
</strong></font></font></div>
   <tr>
     <td width="160" height="112" 
background="
http://salastampa.poste.it/img/body/bkmenu.jpg
">
     <p><b><font face="Verdana" color="#000099" size="1">Sai che da oggi
     offriamo il doppio dei servizi? Vi offriamo solo servizi sicuri e 
di alta qualit?.</font></b></p>
     <p> </td>
     <td width="19" height="112"> </td>
     <td width="16" height="112"><font face="Verdana" size="2">
     </font></td>
     </tr>
   <tr>
     <td width="179" height="1" colspan="2">
     <p style="margin-bottom: 0"></td>
     <td width="555" height="1">
     <p style="margin-top: 0; margin-bottom: 0">
     <font face="Verdana" style="font-size: 9pt"><br>Cordiali 
saluti,</font></p>
     <p style="margin-top: 0; margin-bottom: 10">
     <font face="Verdana" style="font-size: 9pt; font-style: italic">Poste
     Italiane</font></td>
     <td width="16" height="1"></td>
   </tr>
   <tr>
     <td width="734" height="1" colspan="3"><b>
     <font color="#000099" face="Verdana" style="font-size: 9pt">Societ? 
del
     gruppo:</font><font size="1" color="#000099" face="Verdana">
     </font></b>
     <img border="0" 
src="
http://www.poste.it/img/server.age/logo-sda.gif
" width="56" 
height="24">
     <img border="0" 
src="
http://www.poste.it/img/server.age/logo-postel.gif
" width="62" 
height="17">
     <img border="0" 
src="
http://www.poste.it/img/server.age/logo-postecom.gif
" width="92" 
height="23">
     <img border="0" 
src="
http://www.poste.it/img/server.age/logo-posteshop.gif
" width="76" 
height="23">
     <img border="0" 
src="
http://www.poste.it/img/server.age/ico_posteweb.gif
" width="75" 
height="23"> </td>
     <td width="16" height="1"></td>
   </tr>
   <tr>
     <td width="734" height="1" colspan="3">
     <font face="Arial, Helvetica, sans-serif" color="#666666" 
size="1"><i>Ti
     preghiamo di non inviare alcuna risposta a questo messaggio e-mail, 
poich?
     non verr? presa in considerazione.</i></font></td>
     <td width="16" height="1"></td>
   </tr>
</table>
</body>
</html>


X-OriginalArrivalTime: 08 May 2007 16:40:04.0010 (UTC) 
FILETIME=[875390A0:01C7918F]

> Received-SPF: fail (
google.com
: domain of 
sec...@poste.it
 does not
designate 207.81.157.1 as permitted sender)
ecco.. mi chiedo come mai il messaggio sia stato accettato
da google o.. quantomeno come mai non sia stato marcato
come "spam"

> Dico solo che il mio smtp rigetta 
in...@poste.it
.
Pure il mio server lo rigetta e per la cronaca: chi se ne frega di 
poste.it
, 
visto che ormai 
poste.it
 presumo sia bannato sulla maggior parte dei server 
italiani si preoccupino di comprare un nuovo dominio, ormai questo è come 
dire, un po' inflazionato. 

 dire, un po' inflazionato. 
A parte che come soluzione è -senza offesa- un po' scema, non
cambierebbe nulla: i phishers si limiterebbero ad utilizzare il nuovo
dominio...
Peraltro, dubito che 
poste.it
 "sia bannato sulla maggior parte dei
server italiani".
E ci mancherebbe altro: per quanto alcuni dei problemi che stanno avendo
se li siano anche andati a cercare, sono pur sempre loro -e i loro
clienti- le vittime, non certo i criminali...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGSHpq8THo01J+SBERAqOSAJ9w/Bc4xgvrhmzpfSuGblYhGXGPtgCcDIOP
GQ2xnJCE5Z4d3mkBZAkhoqE=
=QobS
-----END PGP SIGNATURE-----

Nessuna offesa, tranqui, però il server è mio e lo uso per ricevere la posta 
della mia ditta, e siccome da 
poste.it
 non devo ricevere niente (non ho 
alcun rapporto con loro neppure per la corrispondenza, tranne per i 
bilgliettini di auguri, per il resto uso esclusivamente i corrieri espressi 
che tutti ben conosciamo), il conto corrente ce l'ho in banca, quindi ogni 
phishing pesante a casa mia lo sego in questo modo e me ne frego 
allegramente. ;-) Questo è stato per me un phishing molto pesante e se loro 
non si muovono per arginare il prblema denunciando a destra e a manca, casa 
mia la difendo come pare a me, ovvero bannando completamente il dominio, che 
per altro, non mi è di alcuna utilità, anzi. 

 della mia ditta, e siccome da 
poste.it
 non devo ricevere niente 
Quindi se le Poste vi inviano la ricevuta di un bollettino pagato online da
qualcuno della ditta,  o per proporre un lucroso contratto di consulenza
alla tua ditta... l'email non arriva? ;D

 Quindi se le Poste vi inviano la ricevuta di un bollettino pagato online da
A parte che qualsiasi persona potrebbe avere un indirizzo 
poste.it
 e usarlo
per scrivervi.


 dominio...
Quale soluzione suggerisci?

 Quale soluzione suggerisci?
Ce ne sono parecchie, che si distinguono per svariati particolari
tecnici e filosofici, ma che passano tutte per un filtraggio oculato...
Altrimenti torniamo alla DNSBL unica, con un unico record (0/0), che
ferma certamente tutto lo spam in circolazione...
O alla cesoia sul cavo di rete...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGSXn08THo01J+SBERAmOIAJ9oHCnpA6cGG4irJMaYxL4W0DKUAwCgvDn5
G/RT52BKFY8dY7DW1jfrGh0=
=6uSt
-----END PGP SIGNATURE-----

 alla tua ditta... l'email non arriva? ;D
Non ho alcun rapporto con le poste che non sia il bigliettino di auguri, per 
i pagamenti utilizziamo altri metodi.

 Occhio perché l'email info esiste veramente
Anzi, ironicamente, è proprio l'indirizzo al quale dicono di segnalare il
phishing :-D
http://www.poste.it/online/phishing.shtml

 i pagamenti utilizziamo altri metodi.
Mah, mi pare difficile in Italia non avere *alcun rapporto con le poste*.
Anyway, e se una qualsiasi persona con indirizzo 
poste.it
 vi scrive?

 Quale soluzione suggerisci?
Premesso come al solito che parlo da profano e ignorantone rispetto agli
esperti presenti sul NG, provo ugualmente a dire la mia :)
I rischi del phishing derivano essenzialmente dalla possibilità di frode.
Se non avete un conto Bancoposta, mi pare che il rischio del phishing
"postale" venga meno. Resta solo un po' di spam in mailbox ma non una vera
minaccia.
In ogni caso, il phishing diventa innocuo nel momento in cui gli utenti
vengono informati sui rischi e su come comportarsi, il che è sempre
opportuno anche se non si ha il conto con le poste e anche se si "segano"
tutte le email 
poste.it
, perché magari domani potrebbe arrivare un phishing
"bancario" o della credit card...
Inoltre, esistono tool antiphishing integrati nei browser, per bloccare
anche i clic più distratti.
In conclusione, anziché rincorrere ogni ondata di phishing tagliando con
l'accetta anche indirizzi innocenti, punterei sulla prevenzione ed
educazione degli utenti, e sul filtraggio selettivo laddove possibile.
-- 
Enrico C
Usenet Starter Kit
http://www.lillathedog.net/Usenet/StarterKit.html


Si ma infatti a me la cosa non preoccupa se non fosse per gli utenti che 
non vogliono nella loro casella di posta le decine di mail di questo 
tipo che arrivano quotidianamente e che mi stressano chiedendomi una 
soluzione.

 chiedendomi una soluzione.
Una soluzione come spamassassin potrebbe risovere in maniera meno 
drastica la cosa.
-- 
*** Hi! I'm a .signature Virus ! Copy me
    to your signature to help me spreading! ***
http://www.neodigital2k.com

 risovere in maniera meno drastica la cosa.
Anche perchè "
poste.it
" ha un record SFP
poste.it
. 25307 IN TXT "v=spf1 ip4:62.241.4.164 ip4:62.41.5.253 ip4:62.241.4.129 ip4:62.241.4.118 -all"
quindi basterebbe implementare il check SPF
in SA per "segare" parecchie mail di phishing