Newsgroup: it.news.net-abuse
Titolo: [Mammamea] Spam da c.a compuservice (Medianet)


To: petrax * 
libero.it
Date: Wed, 28 Aug 2002 17.39.21 +0200
Subject: rottamazione
X-Mailer: MailXSender 1.06
MIME-Version: 1.0
Content-Type: text/plain; charset="us-ascii"
Content-Transfer-Encoding: quoted-printable
http://culiaperti.iscool.nl
culi da rottamare
http://culiaperti.iscool.nl
per cancellarti  dalla mail-list scrivi a 
unscr...@email.it
-- end forward --
Allora: sicuramente 
ab...@email.it
 per il maildrop, e questo è il meno.
Poi, 
ab...@telecomitalia.it
 per il from, e perché è stata inviata da un
loro utente.
Poi, 
in...@iscool.nl
, visto che sul loro sito
(
http://iscool.nl/disclaimer.asp
) dicono che è questo l'indirizzo cui
riportare casi del genere.
Passando al sito:
Guardando all'HTML, Opera passa all'editor:
<!-- saved from url=(0043)
http://www.babesinthongs.com/an/anal4a.html
-->
E infatti andando direttamente a quest'url, si vede più o meno lo stesso
"campionario", ma non capisco se questi spammer hanno "rubato" il tutto,
o se fanno parte dello stesso circuito del succitato sito.
Inoltre vedo che collegandomi a 
culiaperti.iscool.nl
 il browser mi dice
che si sta collegando a lycos, ed in effetti leggo alla fine della
pagina:
<script type="text/javascript"
src="
http://ads.tripod.lycos.it/ad/ad.php?cat=noref&mkw=&CC=it&ord=3d6d1cf4&adpref=
"></script>
Visto che non so il modo per scoprire la vera Url, ho provato con uno
sniffer, ma purtroppo dispongo solo della versione in prova di Commview
che mi mostra la metà dei pacchetti (qualcuno conosce un buon sniffer
gratuito?), e vedo:
[...]
Moved Permane ntly..Date: Wed, 28 Aug 2002 18: 56:51 GMT..Serve r: 
Apache/1.3.26 (Unix)..Locatio n: 
http://utenti
 .
lycos.it/xxxcul
 
ixxx/..Keep-Aliv e: timeout=15, m ax=100..Connecti on: Keep-Alive.. 
[...]
Y>.<H1>Moved Per manently</H1>.Th e document has m oved <A HREF="ht 
tp://utenti.lyco 
s.it/xxxculixxx/
 ">here</A>.<P>.< /BODY></HTML>... 
0....
[...]
Dunque, parrebbe: 
http://utenti.lycos.it/xxxculixxx/
Cosa che mi viene dimostrata, ora che mi sovviene, anche da
http://utenti.lycos.it/xxxculixxx/an1.htm
che mi ero appuntato da una parte, e suppongo sia l'indirizzo di una
"galleria" o di qualche link, boh...
Tra le pieghe del codice leggo inoltre:
<img
src="
http://server-it.imrworldwide.com/cgi-bin/count?cid=it_lycos-it_0
"
width=1 height=1>
C'entra qualcosa anche questo 
imrworldwide.com
?
Dal 
it.imrworldwide.com
 arrivo direttamente a 
http://www.redsheriff.it/
,
e proprio non capisco cosa c'entri.
Infine il dialer che ho scaricato.
Dopo averlo spacchettato con UPX trovo:
http://www.senzacensura.it/
7090101917 7090101918
Ossia medianet, quindi niente da fare.
Per chiudere questo post pallosissimo, ricapitolando, abbiamo:
email.it
 --> per il maildrop
tin.it
 --> per l'origine del messaggio
iscool.nl
 --> per il forwarding
lycos.it
 --> per l'hosting
babesinthongs.com
 --> le foto paiono venire da qua
imrworldwide.com
 --> ?
senzacensura --> medianet (vaffanculo)
Dunque direi quasi certamente 
ab...@email.it
, 
ab...@telecomitalia.it
,
in...@iscool.nl
 per i primi tre.
Per lycos invece devo spedire a 
ab...@lycos.it
, giusto? (Mi pareva di
aver letto anche di 
ab...@tripod.com
 o 
anti...@staff.angelfire.com
 , ma
non so se sia questo il caso...)
Invece, per le ultime due c'è qualcosa da fare?
Chiedo scusa per l'eccessiva prolissità del post, ma sto cercando di
capire *tutti* i passi da fare, e poi che cavolo, mica c'ho messo due
minuti, a fare tutta 'sta popo' di roba... ;P
TIA.
-- 
Ciao, Massimo | ICQ# 57669970
"Sulla sua strada gelata la croce uncinata lo sa
D'ora in poi trovera` Stalingrado in ogni citta`."

 Per lycos invece devo spedire a 
ab...@lycos.it
, giusto?
it-webmaster-lycos*
lycos-europe.com
 secondo 
abuse.net
,
abuse*
lycos-europe.com
 secondo il RIPE. Quest'ultimo tra l'altro sembra
non funzionare:
http://www.rfc-ignorant.org/tools/lookup.php?domain=lycos-europe.com
Prova con postmaster*
lycos-europe.com

Prova con postmaster*
lycos-europe.com
Mamma che palle con 'sta gente... ok, grazie, lo farobbi :)
