Newsgroup: it.news.net-abuse
Titolo: Frammento di script perl da macchina abusata

Frammento di codice perl interessante (vedi in calce) recuperato da una 
macchina abusata.
 
 
'Sti figli di puttana:
 
1) generano degli hostname pseudocasuali usando la
    funzione rand a partire da un seed fisso.
 
2) Registrano il dominio SEQUENZACASUALE.DOM (dove in questo caso .DOM=.in)
 
3) un ip valido al catchall *SEQUENZACASUALE.DOM e caricano su
quell'host i loro database accessibili via https/php (lo script cerca
curl/wget sull'host in cui viene installato).
 
4) diffondono lo script che non contiene hostname in chiaro ma
che li genera al volo andando poi a scaricare indirizzi e messaggi
da spammare da quegli IP . Le liste di indirizzi, tra l'altro,
sono codificate. Lo script contiene ovviamente istruzioni per
decodificarle.
 
5) quando gliene segano qualcuno, registrano i successivi, cosï¿œ
che lo script non deve essere aggiornato.
 
 
al momento i primi cinque nomi di dominio risultano validi e attivi
 
any.qlwiysjfav.in
 has address 94.23.208.20
any.amhrixwypu.in
 has address 205.186.146.54
any.xgvneqdwbn.in
 has address 81.95.146.21
any.tmdnzapomk.in
 has address 76.76.5.59
any.puvvgprgaq.in
 has address 69.59.17.81
Host 
any.fitguatpgm.in
 not found: 3(NXDOMAIN)
...
 
Domanda: a chi posso rivolgermi per prendere provvedimenti contro questi 
stronzi?
 
 
 
 
 
 
 
my $domains_count = 100;
my @domains = ();
my $random_state;
 
sub my_srand{
     my $seed = shift || time || 4357;
     my @a = ();
     for (1..10000){
         use integer;
         push @a, $seed & 0x7fffffff;
         $seed *= 69069;
     }
     $random_state = {
         offset => 0,
         array => \@a
     }
}
sub my_rand{
     my $range = shift || 1.0;
 
     my_srand() unless defined $random_state;
 
     $random_state->{offset} = ($random_state->{offset} + 1) % 10000;
     my $off = $random_state->{offset};
     my $a = $random_state->{array};
 
     $$a[$off] = ($$a[($off -  471) % 10000] ^
                  $$a[($off - 1586) % 10000] ^
                  $$a[($off - 6988) % 10000] ^
                  $$a[($off - 9689) % 10000]);
     return $$a[$off] * $range / (2**31);
}
 
sub generate_domains {
         my $length_of_randomstring=10;
         my @chars=('a'..'z');
         my_srand(123987);
         my $random_string;
         for(my $i=0; $i<$domains_count; $i++) {
                 $random_string = "";
                 foreach (1..$length_of_randomstring) {
 
$random_string.=$chars[int(my_rand(scalar(@chars)))];
                 }
                 my $domain = $random_string.".in";
                 push @domains, $domain;
         }
}
 
generate_domains();
 
for (my $i = 0; $i < $domains_count; $i++) {
         print "any." . $domains[$i] . "\n";
}
 
 
 

 stronzi?
 
Hm... al registrar che "spensieratamente" accetta tali
richieste massive di registrazione di domini con nomi
senza alcun senso e chiaramente casuali ?
 
<============================================>
Domain ID:D4895939-AFIN
Domain Name:
PUVVGPRGAQ.IN
 
Created On:27-Feb-2011 17:22:42 UTC
Last Updated On:28-Apr-2011 19:20:21 UTC
Expiration Date:27-Feb-2012 17:22:42 UTC
Sponsoring Registrar:Transecute Solutions Pvt. Ltd. (R120-AFIN)
Status:CLIENT TRANSFER PROHIBITED
Registrant ID:DI_11294435
Registrant Name:Thomas Earley
Registrant Organization:N/A
Registrant Street1:Dorfstrasse 114
Registrant Street2:
Registrant Street3:
Registrant City:Berlin
Registrant State/Province:Berlin
Registrant Postal Code:639234
Registrant Country:DE
Registrant Phone:+049.34197435
Registrant Phone Ext.:
Registrant FAX:
Registrant FAX Ext.:
Registrant 
Email:thom...@yahoo.com
 
Admin ID:DI_11294435
Admin Name:Thomas Earley
Admin Organization:N/A
Admin Street1:Dorfstrasse 114
Admin Street2:
Admin Street3:
Admin City:Berlin
Admin State/Province:Berlin
Admin Postal Code:639234
Admin Country:DE
Admin Phone:+049.34197435
Admin Phone Ext.:
Admin FAX:
Admin FAX Ext.:
Admin 
Email:thom...@yahoo.com
 
Tech ID:DI_11294435
Tech Name:Thomas Earley
Tech Organization:N/A
Tech Street1:Dorfstrasse 114
Tech Street2:
Tech Street3:
Tech City:Berlin
Tech State/Province:Berlin
Tech Postal Code:639234
Tech Country:DE
Tech Phone:+049.34197435
Tech Phone Ext.:
Tech FAX:
Tech FAX Ext.:
Tech 
Email:thom...@yahoo.com
 
Name Server:
CHEAPREG.MERCURY.ORDERBOX-DNS.COM
 
Name Server:
CHEAPREG.VENUS.ORDERBOX-DNS.COM
 
Name Server:
CHEAPREG.EARTH.ORDERBOX-DNS.COM
 
Name Server:
CHEAPREG.MARS.ORDERBOX-DNS.COM
 
Name Server:
Name Server:
Name Server:
Name Server:
Name Server:
Name Server:
Name Server:
Name Server:
Name Server:
DNSSEC:Unsigned
<============================================>