Newsgroup: it.news.net-abuse
Titolo: bombing

Ho ricevuto 6500 messaggi a nome di Mister xx
Visto la facilita' con cui si cambiano i nominativi
non sono sicuro di niente, e vista la mia inettitudine
ci sono buone possibilita' che il responsabile se
la passi liscia.
Incasinare la mia email e come rubare le caramelle
ad un neonato e chiunque lo abbia fatto a dimostrare
di essere piu' "fico"  di me non ci  fa sicuro una
bella figura.
Contento lui!

 la passi liscia.
Puoi postare due di tali messaggi completi con gli headers che ci
pensiamo noi ?
Mister xx


Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Date: Thu, 1 May 2003 18.51.00 +0200
X-Mailer: eGroups Message Poster
X-Priority: 1
Ciao raga
ho fatto questa newsletter per tenerci tutti aggiornati
siete contenti ???
-------------- CUT -------------- CUT -------------- CUT
C'e' poco da dire, e' uno spammer di mestiere che fa harvesting di
indirizzi sui newsgroup (l'indirizzo viene usato solo nei
newsgroup....). Da una prima occhiata mi sembra che abbia usato un open
brasiliano (200.103.49.218 tra l'altro gia' blacklistato da
proxies.relays.monkeys.com
), nulla di nuovo sotto il sole se non fosse
per il fatto che ha inviato migliaia di copie ad ogni singolo
destinatario, suppongo che sia un tentativo (pure idiota perche' quella
casella e' una spamtrap per Spam Terminator, quindi il risultato del
bombing sara' una sua "sovraesposizione" nelle statistiche e quindi le
balcklist per ST 3.0...;-)) per "vendicarsi" dei partecipanti a questo
NG...;-)
-- 
Ciao!
   Alex Palmese
--- Per scrivermi: 
do...@despammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

 per "vendicarsi" dei partecipanti a questo NG...;-)
Così sembra in effetti. Allora l'avranno ricevuto tutti quelli che
hanno messo qui la mail in chiaro o quasi (confermate ?). Considerato
che è ovviamente italiano ed il rapporto causa effetto (per cui sarà
sicuramente qualcuno che è stato pizzicato negli ultimi giorni)
qualche amministratore di mail server dove è arrivato il mail bombing
è in grado di verificare dai log quale spammer italiano ha usato di
recente quel proxy ?
Mister xx

 hanno messo qui la mail in chiaro o quasi (confermate ?).
Nulla qui.
-- 
limaCAT

 recente quel proxy ?
Difficile, perche' ha usato un metodo da spammer professionista: i 1100
messaggi inviati (che ho conservato per poterli analizzare per
bene...;-)) intorno alle ore 18:50 del 1 Maggio non erano identici,
ossia non provenivano da uno stesso mail server ma da vari indirizzi IP,
oltre ad avere "X-Mailer" tutti differenti, segno che ha usato un
programma che "spalma" lo spam su centinaia di server open relay (anche
questo e' purtroppo un database in mano agli spammers....).
I server utilizzati sono tutti listati e noti, su 30 IP che ho tracciato
sono presenti in:
29 in 
list.dsbl.org
28 in 
proxies.relays.monkeys.com
28 in 
proxies.blackholes.wirehub.net
9 in 
relays.osirusoft.com
2 in 
spews.relays.osirusoft.com
2 in 
korea.services.net
1 in 
sbl.spamhaus.org
Comunque uno spammer che lascia tante "tracce" in giro e che spedisce
migliaia di spam direttamente alla casella spamtrap di un produttore di
software antispam e' come un ladro che per rubare entra nelle centrali
della Polizia, prima o poi va a finire che qualcuno lo becca, e gli si
fa uno spam cosi'...;-)


 fa uno spam cosi'...;-)
Facci sapere. Ciao,
        Mister xx

 Quindi decisamente uno spammer "professionista".
Hai fatto bene a mettere le virgolette...;-)


 (almeno in lettura) questo NG ....
Questo è quasi certo (e spero leggendo che capisca come è stupido).
Non ci sono altri posti pubblici da dove avrebbero potuto prendere
quel nick.
Ciao,
              Mister xx

 quel nick.
Appunto... Prendiamo un sito a caso?;-) Guarda caso il giorno in cui
annunci la chiusura di un certo sistema viene inviato questo bombing, e
guarda caso le mail inviate come bombing hanno una serie di "X-Mailer"
identici a quelli che compaiono nelle intestazioni delle mail che hai
inoltrato (abbastanza particolari, ad esempio "X-Mailer: AOL 7.0 for
Windows US sub 118" compare esattamente in 8 sui 104 che ho ora
analizzato), quindi ci sono forti probabilita' che quelle mail siano
state inviate dallo stesso software che ha inviato il bombing...
Tra l'altro gli X-Mailer utilizzati nelle mail che sto analizzando sono
solo questi:
X-Mailer: AOL 7.0 for Windows US sub 118
X-Mailer: eGroups Message Poster
X-Mailer: Internet Mail Service (5.5.2650.21)
X-Mailer: Microsoft Outlook Build 10.0.2616
X-Mailer: Microsoft Outlook Build 10.0.2627
X-Mailer: Microsoft Outlook Express 5.00.2615.200
X-Mailer: Microsoft Outlook Express 5.00.2919.6700
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
X-Mailer: Microsoft Outlook Express 5.50.4522.1200
X-Mailer: Microsoft Outlook Express 6.00.2462.0000
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-Mailer: Microsoft Outlook IMO Build 9.0.2416 (9.0.2910.0)
X-Mailer: MIME-tools 5.503 (Entity 5.501)
X-Mailer: The Bat! (v1.52f) Business
Speriamo che allo spammer il sapere che stiamo sezionando a dovere (e
conservando) tutte le tracce che ha lasciato possa dissuaderlo dal
continuare, prima che la cosa possa degenerare (per lui)...


 Windows US sub 118"
E c'è anche questo X-Mailer: MIME-tools 5.503 (Entity 5.501)
Tra l'altro se pensi che ciò abbia un alto grado di probabilità si
potrebbe scrivere a floridaserver per sapere se hanno i dati del caro
Onofrio.
Mister xx

 Onofrio.
A proposito qualcuno ha conservato il dialer che c'era su quel sito ?
Mister xx


Data invio: giovedì 1 maggio 2003 0.00
Oggetto: Ciao sono Mister xx


  prima che la cosa possa degenerare (per lui)...
Diciamo che se si riesce ad avere le prove della paternità del mail
bombing (che è sicuramente una fattispecie delittuosa) si potrebbe
iniziare un leader case (fornendo alla polizia postale le prove già
elaborate e collaborando attivamente con il p.m. a cui sarà affidato
il caso evidenziando anche i reati minori collegati al dialer ed allo
spam) che potrebbe in tempi brevi dare risultati soddisfacenti.
Servono però delle prove complete onde evitare l'impantanamento del
tutto in lunghe indagine giudiziarie.
Mister xx

"Mister xx" <Misterx...@mail.no.invalid> ha scritto nel messaggio
news:puusa.56348$K35.1...@news2.tin.it...

Esatto, io sono il tipico caso  (ero via quindi me ne sono accorta solo
stamattina: 6800 msg ca.).
Quelli su go*.exe e su sessocities erano anche i miei primi post quindi...
Ciao
--
Jolly

 Nulla qui.
Nemmeno qui (ma il materiale da open proxies viene rifiutato).
--
furio ercolessi
http://www.spin.it/spam/

 Quelli su go*.exe e su sessocities erano anche i miei primi post
quindi...
Mmm, Pippo25 (che aveva la spamtrap di Alex ha postato solo nel thread
go*.exe . Gli altri che sono intervenuti in quel thread ?
Mister xx

 go*.exe .
Tra l'altro 
99bit.com
 e 
79eb.com
 sono registrati allo stesso soggetto
aka Caro Onofrio.
Mister xx

 aka Caro Onofrio.
E 
79eb.com
 è ancora in linea. Ho scaricato il dialer a futura memoria.
Jolly e DialDisasm avevate segnalato quel sito ? Per Furio ed Alex
come farglielo chiudere ?
Una delle mail dello spammer è 
sup...@asia.com
Se mettete su delle prove convincenti  una denuncia seria si potrebbe
fare.
Mister xx

 Una delle mail dello spammer è 
sup...@asia.com
Era.



avendo una spamtrap non posso aiutarvi nel senso che non so se qualcuno mi
ha bombardato di mail


Mime-Version: 1.0
Content-Type: text/html; charset="iso-8859-1"
<html>
<head>
<title>Untitled Document</title>
<meta http-equiv="Content-Type" content="text/html;
charset=iso-8859-1"> </head>
<body bgcolor="#FFFFFF" text="#000000">
<b><font size="2" face="Verdana, Arial, Helvetica, sans-serif"
color="#666666">Ciao, sono Sebastiana Lecco</font></b><br> <br> <table
width="6%" border="2">
<tr>
<td><a href="
http://www.79eb.com/super/pro.php?UIN=58
"><img
src="
http://members.lycos.nl/figheria/email.jpg
" border="0"></a></td>
</tr>
</table>
<p><font face="Verdana, Arial, Helvetica, sans-serif" size="2"
color="#666666"><b>Se vuoi chattare in video diretta con me
entra...<br>
CLICCA SULLA FOTO per entrare</b></font><b><br>
</b><br>
<font face="Verdana, Arial, Helvetica, sans-serif" size="1">Contenuti
vietati
ai minori di 18 anni</font> <br>
<br>
<font face="Verdana, Arial, Helvetica, sans-serif" size="1">Cliccando
la foto
si dichiara implicitamente di essere<br>
maggiorenni e quindi autorizzati alla visione di siti<br>
con contenuti per adulti.<br>
<br>
Il sito NON CONTIENE contenuti pedopornografici.</font></p> </body>
</html>
This spammer made also mail bombing against italian people who in the
ng it.news.net-abuse thread starting with message id
news:b8gat9$flh$
1...@news.newsland.it
 and
news:ZQhsa.30732$
3M4.8...@news1.tin.it
 See expecially message id
news:b91ggv$4rp$
1...@half.spin.it
 
www.79eb.com
 is ip 66.139.77.75
But 
serverbeach.com
 have not jet closed the site.
This is notified also to upstreams of serverbeach 
algx.net
 and
swbell.net
 in case of possible escalation against serverbeach. The
answers will be pubblicised in the ng it.news.net-abuse.
 Best regards,
Date: Sun, 4 May 2003 04:30:45 -0500
X-RT-Loop-Prevention: serverbeach
Message-Id: <rt-17785-77845.8.12825902346006@serverbeach>
Your ticket has been assigned an ID of [serverbeach #17785].Please
include make sure you include the following in the subject line of all
future messages relating to this issue:[serverbeach #17785]

 ha bombardato di mail
Infatti già sappiamo che è stato così (vedi qualche post sopra essendo
tu l'unico in quel thread con la spamtrap) ;-)
Max max

"Mister xx" ha scritto:

Mister xx  anch'io ho ricevuto un bombing 2 settimane fa per avere lasciato
su questo newsgroup un post contro questo spam.Sto raccogliendo molte
informazioni contro questi dialer  prima di passare alle vie legali.Se vuoi
contattami in email.
Massimo

 Perché Alex solo mille e passa ?
Dai controlli che ho fatto i messaggi si ripetevano
a blocchi  di 1330 circa ogni mezzora.
Gli orari dei messaggi del blocco di 1300
avevano circa sette minuti di differenza dal primo
all'ultimo, poi c'erano una trentina di  minuti di
pausa e quindi altro blocco di 1300  messaggi.
6800 messaggi sono circa sei blocchi.
Quando io mi sono collegato il programma di
posta mi ha segnalato  5400 messaggi in ricezione.
Ho spento il collegamento e sono andato sul server.
Tempo che mi sono inserito di nuovo i messaggi
erano diventati 6000 e continuavano ad arrivarne
degli altri.
Fortunatamente l'indirizzo di arrivo era uguale per
tutti quindi e' bastato mettere l'indirizzo sugli
indesiderati  del server per evitare nuovi arrivi
ed e' bastato far cancellare i messaggi presenti
con un anti spam.
Come orari ho solo quelli del quinto blocco
20.41/20.47 che mi e' arrivato mentre ero
collegato al server che stavo smanettando
e quello attorno alle 21.29 perche' prima di
chiudere il mio collegamento telefonico, sono
andato sul mio server ed ho eliminato il nome
dagli indesiderati giusto in tempo per prendere
un'altra trentina di messaggi. Gli unici che ho
conservato.
Dalla segnalazione che ho fatto all'abuse di tin
(in fondo anche loro hanno da perdere)
ho avuto la risposta che il server 210.12.54.12
risultava fuori servizio.

 fare.
Volentieri. Dato la mia poca dimestichezza con la materia, accetto
volentieri consigli (per intenderci "pappa fatta"!), sennò finisce che
mi fermo a metà.
--
Jolly

 con un anti spam.
Idem, fatto da webmail mettendolo negli indesiderati.
(Trovo strano che si sia limitato così)
--
Jolly