Newsgroup: it.news.net-abuse
Titolo: Considerazioni sui nuovi virus

A chi puo' interessare qualche statistica:
considerando 12 ore di ieri, da mezzogiorno a mezzanotte, sul server dove 
risiede *solo* la posta del dominio 
people.it
 sono stati bloccati 3456 dei 
nuovi virus/worm, per un totale di 518 mega ipotizzando circa 150K a 
messaggio. Si tratta di un traffico mediamente 50 volte superiore a quello 
sviluppato in un'intera giornata tipo. Non male... :)
-- 
Veneziano Davide
http://www.vene.ws
ICQ# 14047537

 sviluppato in un'intera giornata tipo. Non male... :)
Noi abbiamo spostato gran parte della detection di Gibe-F/Swen sulle
macchine antispam esterne (usando signatures negli header) per sgravare
un po' le macchine antivirus.
E non solo: una parte di questi worms, per motivi ignoti, arriva senza
il payload virale (ossia l'attachment e' un file vuoto).  Essendo
innocue, queste copie passano indenni attraverso lo scanning, arrivano
ai clienti e causano apprensione (chiamate al supporto) - anche perche' 
molti usano Norton che e' uno scanner euristico che flagga come virus 
messaggi innocui se hanno certe firme di virus ad esempio negli headers.
furio ercolessi

 il payload virale (ossia l'attachment e' un file vuoto).
Confermo, anche io le ho viste. Penso che siano mail passate per un qualche
santo mail server con antivirus incorporato/annesso o che quanto meno vada a
bloccare (altra cosa buona e giusta) gli allegati eseguibili.
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: 
do...@despammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

nuovi virus/worm, per un totale di 518 mega ipotizzando circa 150K a 
md@attila:~$egrep -c '^Sep 19 .*no executable attachments allowed$' /var/log/mail.log
6379
Per confronto, sempre ieri ho bloccato 3799 messaggi con
cbl.abuseat.org
, che tipicamente blocca droni e trojan vari.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 il payload virale (ossia l'attachment e' un file vuoto).
Non sono motivi ignoti, è il mail server del provider dell'infetto che
elimina all'origine l'allegato virale, lasciando intatto solo il testo
dell'email.
Bye Krmel
-- 
Questo messaggio ha eseguito un'operazione non valida e viene
terminato.
Se il problema persiste, reinstallare tutti i partecipanti al
newsgroup.

 bloccare (altra cosa buona e giusta) gli allegati eseguibili.
Sembrerebbe che sia il worm stesso ad emettere copie mutilate di
se stesso, non si sa se intenzionalmente o a causa di un bug.
furio ercolessi
Spin

 /var/log/mail.log 6379
Non so se usi ancora queste due regole che avevi postato su questo gruppo 
tempo fa:
/^content-disposition: 
attachment;.+filename=.+\.(bat|pif|com|exe|scr|lnk|vbs)"?$/ REJECT no 
executable attachments allowed
/^content-type: 
application\/octet-stream;.+name=.+\.(bat|pif|com|exe|scr|lnk|vbs)"?$/ 
REJECT no executable attachments allowed
perche' in molti finti bounce stile qmail con cui si propaga il virus, ho 
trovato solo queste righe nel corpo del messaggio:
Content-Type: audio/x-wav; name="epuf.bat"
Content-Transfer-Encoding: base64
Content-Id: <ngtudczidwkmt>
E non mi pare che vengono interecettati dalle due regexp.
A volte si trova anche audio/x-midi e l'allegato puo' essere pif, bat, exe, 
com, scr.


 :-/     l'allegato c'č, solo che č di 0 byte
Questo significa "pulizia radicale" ;-)
bye Krmel


 filename="ATT00041.wav"
Questa non l'avevo mai vista prima. Tra l'altro nota che dopo il 
content-type, prima del name, va a capo. Solitamente il virus mette tutto 
sulla stessa linea, solo quando mandi una mail con Outlook noti che va a 
capo.
Tanto per dare qualche altra statistica per la giornata di ieri:
Content-*ype: application/x-msdownload; name=*.exe*:     3452
Content-*ype: audio/x-wav; name=*.exe*:     2441
Content-*ype: audio/x-midi; name=*.exe*         279
Content-*ype: audio/x-wav; name=*.scr*:     125
Content-*ype: audio/x-wav; name=*.pif*:     112
Content-*ype: audio/x-wav; name=*.com*:     106
Content-*ype: audio/x-wav; name=*.bat*:     63
Content-*ype: audio/x-midi; name=*.scr*:     10
Content-*ype: audio/x-midi; name=*.bat*:     6
Content-*ype: audio/x-midi; name=*.pif*:     6
Content-*ype: audio/x-midi; name=*.com*:     3
Totale virus: 6603
Rapporto email lecite/virus: 1 : 4,6
Rapporto megabyte leciti/virus: 1: 170


trovato solo queste righe nel corpo del messaggio:
Più che altro io ho il problema degli antivirus che tolgono l'eseguibile
e poi mi mandano il resto del virus...
Tanto che ci siamo, ecco le statistiche di questa settimana:
  19150 header checks
  16782 DNSBL 
cbl.abuseat.org
  11876 Sender Domain not found
   4765 DNSBL 
dynablock.easynet.nl
   3458 User unknown
   3102 DNSBL 
pdl.bofh.it
   2736 Client host rejected
   2513 DNSBL 
list.dsbl.org
   2355 Bad HELO
    731 DNSBL 
dnsbl.njabl.org
    659 Relay access denied
    496 DNSBL 
korea.services.net
    317 Need FQDN address (recipient)
    206 DNSBL 
sbl.spamhaus.org
    157 DNSBL 
blackholes.easynet.nl
     97 Need FQDN address
     84 DNSBL 
relays.ordb.org
     61 Sender address rejected
     48 body checks
     35 Recipient address rejected
     19 DNSBL 
l1.spews.dnsbl.sorbs.net
  69648 TOTAL
Rejected headers:
  14706 no executable attachments allowed
   4378 Your mailer is not RFC 2047 compliant
     47 don't send stupid bounces you fuckhead!
     17 keep your viruses for yourself
      2 Message content rejected
Rejected bodies
     48 keep your viruses for yourself
Rejected hosts
   2564 Too much spam from CHINANET
    127 non accettiamo posta da IP dinamici
     16 Too much spam from 
ethome.net.tw
     11 fuck you nigeria
      6 Too much spam from 
gwbn.net.cn
      6 Too much spam from OMNIASERVICEDIBRUZZECHESSEVENA
      5 vaffanculo MULTIBANK MAIL DI PETRI PAOLO
      1 Too much spam from 
chinamobile.com
SPEWS in questo momento non è attiva a causa dei troppi timeout.
(Sì, chiunque sia dietro ai DoS per ora ha vinto.)


 Tanto per dare qualche altra statistica per la giornata di ieri:
[quintalate di mail infette]
Vado ancora più OT, ma sembra che in questi giorni non si riesca a
parlare d'altro :-)
Leggevo poco fa un'osservazione che mi pare interessante, anche se
non so a cosa possa portare.
Il rapporto tra chi lamenta di ricevere bordate di email infette e
chi invece arriva sui ng urlando "aiuuttooo ho preso un virus, che
devo fare" è decisamente sproporzionato, e sono infatti abbastanza
pochi, quelli che cercano il rimedio perchè infetti, rispetto alla
quantità di chi viene sommerso dalle mail.
L'unica spiegazione potrebbe essere che mentre ricevono inviano, e
non se ne accorgono visto il traffico in arrivo.
-- 
Bye by V.
http://www.virusbusters.cjb.net
nella sezione tools è disponibile il vbs per correggere in automatico
il registro dai danni di Swen

non se ne accorgono visto il traffico in arrivo.
Uno tra i tanti virus da me ricevuti, ma non mi chiedere quale, quando
non riusciva ad infettare il sistema inviava a mo di ricevuta al
sistema infetto il mio indirizzo di email.
Due mi sono scappati come ricevuta di ritorno, tutti gli altri li ho
cancellati da Hamster prima che partissero. Purtroppo visti i miei
casini personali (mia madre in ospedale dopo un infarto) ho cancellato
tutto e ora non so piu` che tipo di virus e quale indirizzo fosse.
Credo che in ogni caso uno dei tanti virus inviasse l'indirizzo di chi
riceveva da qualche parte... non ho indagato ulteriormente... sono
fuori di melone e di brutto.
Anzi visto il mio stato di coma forwarda tu, se del caso, al
niusgruppo di competenza e scusate tutti l'OT.
Xyao
Umbo.
-- 
La vita puņ diventare brutta quando passi gli 80,
specialmente se c'č una macchina della polizia
dietro di te.

 messaggio. 
Beh, la mia mailbox ti ringrazia :)
-- 
"SONO MATTEO ASTROFILO SEMINEOFILO" (post su ISA)
it.cultura.classica: 
http://digilander.iol.it/mmanca

 che ci abbia messo del suo anche nella mail inoltrata ?    :-/
Potrebbe essere dato che non mi risulta che il worm vada a volte a capo e a 
volte no :)


se stesso, non si sa se intenzionalmente o a causa di un bug.
Mi sembra che anche SoBig e BugBear presentino lo stesso tipo di bug,
segno che derivano tutti dallo stesso codice sorgente.
Bye.