Newsgroup: it.news.net-abuse
Titolo: E' colpa del provider ?

Utenza business con vari pc in rete interna che escono con un ip fisso 
Albacom.
Viene segnalato spam (il solito viagra etc) che dall'ultimo header proviene 
da quell'ip fisso che contatta un mail server di una azienda statunitense.
L'ip fisso ovviamente finisce nelle black list.
Il cliente Albacom usa la posta con un proprio dominio attraverso un mail 
server esterno alla sua rete interna gestito sempre da Albacom ed ovviamente 
si trova la sua posta bloccata da chi usa quelle black list dato che anche 
le mail che manda lui hanno quell'ip come origine.
L'unico provvedimento finora preso da Albacom è stato il cambio dell'ip con 
altro finito anch'esso in black list dato che lo spam continua anche con il 
nuovo ip.
L'amministratore di rete è sicuro, dopo vari controlli, che le proprie 
macchine siano pulite.
Ora qual è il meccanismo per cui lo spammer può usare quegli ip di albacom ? 
Un server Albacom infettato o che altro ?
E' colpa di Albacom oppure è possibile che anche quell'ip che compare 
nell'ultimo from degli header dello spam sia in qualche modo alterato ?
Grazie,
Mister xx 

 nell'ultimo from degli header dello spam sia in qualche modo alterato ?
Parli di received, vero?
Non e' cosi' semplice camuffare un received in modo credibile.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Non e' cosi' semplice camuffare un received in modo credibile.
Oddio, molto spam recente ha Received farloccati in maniera molto 
credibile, tanto che anche il parser di SpamCop ogni tanto tira qualche 
sassata esaminandolo...
Tuttavia, si tratta pur sempre di SpamCop, e quindi valgono le solite 
considerazioni relative all'uso della stessa per rejection.
Per quanto riguarda invece le liste più "affidabili", di solito non 
basano le proprie euristiche (quando ci sono) in alcun modo su dati di 
header, ma solo su quelli di envelope.
Se quindi l'OP si è ritrovato in XBL/CBL/NJABL/DSBL, o incoccia nelle 
euristiche per cattiva configurazione (cosa molto rara, ma vista 
capitare), oppure ha effettivamente problemi di sicurezza.
Sarebbe quindi interessante sapere almeno di quale DNSBL si tratterebbe, 
se non c'è proprio possibilità di avere un campione e/o l'IP del caso...


[..]
E' l'ipotesi piů probabile: mi č capitato un caso analogo qualche mese fa.

 Parli di received, vero?
Sě, scusa, l'ultimo received.
Mister xx 


      To: "Yaroslav Sippel" <xxxxxxxxxxx>
      Message-ID: <003d01c5dfa5$d240ff00$2460a8c0#supervene>
      Subject: Re: Jims useful information
      Date: Wed, 2 Nov 2005 07:06:14 -0500
      MIME-Version: 1.0
      Content-Type: multipart/alternative;
              boundary="----=_NextPart_000_003A_01C5DF7B.E96AF700"
      X-Priority: 3
      X-MSMail-Priority: Normal
      X-Mailer: Microsoft Outlook Express 6.00.2800.1106
      X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
      X-myispAV-Status: No viruses detected, myispAV v1.1 on 
localhost.scooter.p.myisp.net
      X-Spam-Checker-Version: SpamAssassin 3.0.2 (2004-11-16) on 
scooter.p.myisp.net
      X-Spam-Level:
      X-Spam-Status: No, score=0.2 required=5.0 tests=FORGED_OUTLOOK_TAGS,
              HTML_FONT_BIG,HTML_MESSAGE autolearn=disabled version=3.0.2
      X-Accessio-Status: NO, score=3.99,465487 version=6.0 count=3
      This is a multi-part message in MIME format.
      ------=_NextPart_000_003A_01C5DF7B.E96AF700
      Content-Type: text/plain;
              charset="us-ascii"
      Content-Transfer-Encoding: quoted-printable
      Good
      s P
      s Spec
      r
      days, Don't mis
      harmaExpres
      ial Offe
      VALeXaVIAmCI
      LIUM Now $vitranaxAGRA Now $bienALIS Now $
      1.23  3.32 3.67
      plus many other - ptth:\\
duplexlke.imonset.com
      Home Best Fast Easy Total
      DePrShOrCo
      liveryicesippingderingnfidentiality
      ------=_NextPart_000_003A_01C5DF7B.E96AF700
      Content-Type: text/html;
              charset="us-ascii"
      Content-Transfer-Encoding: quoted-printable
      <HTML>
      <BODY bgColor=3D#FFFFFF>
      <DIV>§nbsp;</DIV>
      <TABLE cellSpacing=3D0 cellPadding=3D0>
        <TR style=3D"BORDER-TOP-WIDTH: 0px;">
          <TD rowSpan=3D2 vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>Good§nbsp;</FONT></TD><TD></TD>
          <TD rowSpan=3D2 vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>s P</FONT></TD><TD></TD>
          <TD rowSpan=3D2 vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>s Spec</FONT></TD><TD></TD>
          <TD rowSpan=3D2 vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>r</FONT></TD><TD></TD>
        </TR>
        <TR style=3D"BORDER-TOP-WIDTH: 0px;">
          <TD vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>days, Don't mis</FONT></TD>
          <TD vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>harmaExpres</FONT></TD>
          <TD vAlign=3Dbottom><FONT size=3D4 face=3DArial 
color=3D#3A9E37>ial Offe</FONT></TD>
        </TR></TABLE>
      <DIV>§nbsp;</DIV>
      <TABLE style=3D"BORDER-LEFT: 0px;" cellPadding=3D0 cellSpacing=3D0>
      <TR>
      <TD><FONT size=3D3 face=3D"Courier 
New"><B>VA</B><BR>Le<BR>Xa<BR><B>VI</B><BR>Am<BR><B>CI</B></FONT></TD>
      <TD><FONT size=3D3 face=3D"Courier New"><B>LIUM Now 
$</B><BR>vitra<BR>nax<BR><B>AGRA Now $</B><BR>bien<BR><B>ALIS Now 
$</B></FONT></TD>
      <TD><FONT size=3D3 face=3D"Courier 
New"><B>1.23</B><BR>§nbsp;<BR>§nbsp;<BR><B>3.32</B><BR>§nbsp;<BR><B>3.67</B></FONT></TD>
      </TR>
      </TABLE>
      <DIV>§nbsp;</DIV>
      <DIV><FONT face=3DArial size=3D3>plus many other - <A 
href=3D"ptth:\\
duplexlke.imonset.com
"><FONT face=3DArial 
size=3D3>ptth:\\
duplexlke.imonset.com
</FONT></A></FONT></DIV>
      <DIV>§nbsp;</DIV>
      <TABLE style=3D"BORDER-LEFT: 0px;" cellPadding=3D0 cellSpacing=3D0>
      <TR>
      <TD><FONT size=3D3 color=3D#983305 face=3D"Courier 
New"><EM>Home§nbsp;<BR>Best§nbsp;<BR>Fast§nbsp;<BR>Easy§nbsp;<BR>Total§nbsp;</EM></FONT></TD>
      <TD><FONT size=3D3 color=3D#983305 face=3D"Courier 
New"><EM>De<BR>Pr<BR>Sh<BR>Or<BR>Co</EM></FONT></TD>
      <TD><FONT size=3D3 color=3D#983305 face=3D"Courier 
New"><EM>livery<BR>ices<BR>ipping<BR>dering<BR>nfidentiality</EM></FONT></TD>
      </TR>
      </TABLE></BODY></HTML>
      ------=_NextPart_000_003A_01C5DF7B.E96AF700-- 
      ---END OF SPAM--- 
      ---DOMAINS SEEN IN SPAM--- 
      ---SENT TO NANAS--- 
      -- 
      All postings to news.admin.net-abuse.sightings are unconfirmed and
      unverified unless stated otherwise by the moderators.  All opinions
      expressed above are considered the opinions of the original poster,
      not the moderators or their respective employers.
      For a copy of the guidelines to this group, see:
 
http://www.killfile.org/~tskirvin/nana/

 se non c'è proprio possibilità di avere un campione e/o l'IP del caso...
Il caso è quello riportato in questo post (ma lo stesso è accaduto ad altri


"Mister xx" <Mist...@mail.no.invalid> ha scritto nel messaggio 
news:436a8269$0$1499$4faf...@reader2.news.tin.it...
Questo è invece un esempio di ultimo received di posta legittima proveniente 
dallo stesso cliente:
 Received: from unknown (HELO xxxxxxxx) (xxx...@xxxxxxx.it@
213.217.156.166
)
  by 
mailout01.albacom.net
 with SMTP; 

 c'hai messo del tuo, io non starei molto tranquillo.
Neanche io infatti (ma non sono un esperto del campo). Comunque sopra si 
sono l'ip in questione (ma lo stesso è anche per altri ip contigui) e gli 
header dello spam e di un messaggio legittimo. In black list (CBL) ci sono 
appunto quegli ip.
Suggerimenti ?
Mister xx 

In black list (CBL) ci sono  appunto quegli ip.
Ed il mail server di albacom 217.220.34.13 a cui si appoggia per la posta 
legittima non è in black list (controllato ora).
Mister xx 


La colpa non e' di Albacom.  Chiunque aveva 213.217.156.166 il 
2 novembre a quell'ora ha una macchina abusata.
213.217.156.166 e' in CBL.  L'amministratore di rete puo' usare 
http://cbl.abuseat.org/
 per capire l'origine del problema.
Sono una manciata di pagine, ma in cui c'e' tutto quello che serve
per farsi un'idea di quello che puo' essere successo.
furio

       liveryicesippingderingnfidentiality
Questo è spam da zombie, e l'IP è in CBL/XBL. Avete nella rete nattata 
da quell'IP una macchina trojanizzata.

 2 novembre a quell'ora ha una macchina abusata.
Che era quello che pensavo anch'io (ma l'amministratore nega dicendo anche 
che Albacom avrebbe anche ammesso qualcosa frai i denti in merito a problemi 
suoi con gli ip che cominciano per 213.217 ed infatti non ha preso 
provvedimenti salvo assegnare nuovi ip). Una sola domanda:  ciň potrebbe 
essere tecnicamente possibile, cioč che quell'ip per lo spam non fosse in 
concreto usato da ua macchina del cliente assegnatario dell'ip ma da una 
macchina albacom ?
Mister xx 

 macchina albacom ?
Ni. Tecnicamente č fattibile, ma non banale e bisogna farlo davvero 
apposta. Molto poco credibile.

 da quell'IP una macchina trojanizzata.
Da cui la conferma della mia prima affermazione riguardante il sysadmin
di quella rete. :-)


 Io sono molto meno sicuro di quel sysadmin.
Mi associo.
Ho fatto un'immensa fatica per far muovere il... "sederino non-leggero"
di un Dott. (ecc. ecc.) di una casa editrice (IP fisso e ben
rintracciabile) che aveva un PC infetto che mi impestava un indirizzo di
email sia direttamente, sia indirettamente tramite Yahoo Gruppi.
Malgrado questo untorello avesse orari molto precisi (le 13 circa),
quello ci ha messo piu' di un mese per snidarlo... ed ho dovuto
sollecitarlo parecchio, quasi arrivando a dirgli come doveva fare
(ecchediavolo!).
Certo che avere una rete dove qualunque PC possa uscire bel bello dal
router per fare tutto cio' che vuole, ti espone inevitabilmente a questi
problemi (e ad altri). Il Dott. Nonmiricordo non mi ha purtroppo mai
detto chi diavolo era, quando i virus si sono arrestati. Nell'ultima
mail ipotizzava un portatile infetto (alla faccia dei DPS!). Chissa'
com'era messo il resto della rete.
Non per dire lo stesso di "questo" sysadmin, ma certe cose possono
davvero passarti sotto il naso, se non ci fai attenzione.
Fabrizio

 attenzione.
Ok, ripasso l'informazione. Il bello o il brutto è che in questa storia è 
stato coinvolto ufficialmente anche il provider ma nè amministratore di rete 
interno, nè il provider hanno ancora scoperto con sicurezza la causa (ultima 
spiegazione per me incomprensibile un preteso furto di range di ip ....).
Mister xx 


Questo te l'ha detto il sysadmin o il provider?
Se e' il sysadmin, beh, stendiamo un velo pietoso, oppure, come dicono
altri, "MettiamoGLI una pietra sopra".
Se l'ha detto il provider, o il personaggio era rispondente alle
caratteristiche esposte al punto precedente, oppure c'e' davvero
da preoccuparsi, se c'e' in giro per internet qualche organizzazione
che assegna IP a casaccio a pezzi di rete controllata, e che riesce a
convincere i router successivi a crederci.
Oppure il provider e' talmente allo sfascio che qualcuno dalla SUA
periferia puo' identificarsi con IP altrui e farsi prendere in
considerazione dai router al nodo piu' alto.
C'e' sempre il problema della connessione, IP doppi in giro per la Rete
non sono cosi' facilmente gestibili.
Ma secondo me, qualcuno di quelli che bazzicano qui dentro avrebbe
comunque sentito qualche voce al riguardo, la cosa sarebbe troppo
grossa per non provocare *rumors* nell'ambiente.


 comunque sentito qualche voce al riguardo
Infatti.
Mister xx 

 cambiare gli ip (ma perchè se il problema è veramente del cliente ?).
;)
<adv on>
Posso farti il 10% di sconto sull'anti-virus di rete ed il 50%
sull'installazione, se quella azienda ha una segretaria figa e
disponibile ;)
<adv off>
Ok, so che non si fa, ma oggi le mani scrivono con scarsa connessione al cervello!
Gabriele

 disponibile ;)
azz. che professionalita'. Hai anche messo il f/up to poster :)
-- 
Ciao, Dmitry
I have a dream .. to carry Usenet in the house of every family

 
          Eccomi qua?
Visto che si parla di me, dicendo un sacco di fandonie, ora stanco di
leggere, chiederei a Mister xx di pensare al suo mestiere, di non scrivere
corbellerie parlando a nome di altri e soprattutto che la sicurezza è prima
di tutto informazione e formazione e non viene solo dalle tecnologie
utilizzate; infatti pubblicare un indirizzo ip statico assegnato al proprio
studio su una lista come questa e nominare Albacom non è cosa buona.
Vi pregherei di non giudicare mai con superficialità il lavoro altrui,
perchè testimonia la vostra poca umiltà nel campo della sicurezza
informatica dove invece ne serve molta.
Vi pregherei di leggere questo articolo e vedere al di là del vostro naso. (
anche perchè il mio è molto lungo e non ci sono mai riuscito).
http://punto-informatico.it/p.asp?i=55810
Infine al di là delle chiacchiere:
Mi sapete rispondere come mai l' ISP è stato disponibile ad assegnare un
range d'indirizzi diverso?
Come mai, per sapere il range di indirizzi interno alla rete mi ha dovuto
chiamare per modificare la configurazione del PIX?
Come mai la black list iniziale per le prime settimane era spamcop, e subito
dopo i nuovi è CBL?
Chi deve controllare e garantire che gli indirizzi di gateway di non vengno
blacklistati!!!!
Ciao e scusate l'intrusione .............. ma ne avevo le p...e piene.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/



 dopo i nuovi è CBL?
Dipende dal target dello spam-run, probabilmente.
E rispondi: come mai, per caso, tra milioni di IP possibili, appena
cambiato il range di IP, anche quello e' finito in una black list?
Ammetti che l'ipotesi piu' probabile e' che, sia prima che dopo, ci
fosse una macchina nattata su quell'IP che spargeva melma in giro,
e che le probabilita' che ci sia in korea uno che si appropria in
due occasioni proprio di quei due IP siano piuttosto bassine?
Non dispiacerebbe certo sentire qui pareri dall'ISP direttamente
interessato.


           Eccomi qua?
ctrl-k



 


 informatica dove invece ne serve molta.
Il post iniziale era infatti relativo alla conferma del coinvolgimento del 
provider. Che esperti in materia di sicurezza (tra tutti Roberto e Furio) 
abbiano dubbi e che non si sia sentito di furti di ip nell'ambiente è un 
altro paio di maniche. In ogni caso il provider, se è colpa sua, avrebbe 
dovuto risolvere il caso velocemente.
Quanto all'ip indicato è finito addirittura, segnalato da qualcuno che aveva 
ricevuto lo spam, su news.admin.net-abuse.sightings oltre ad essere nelle 
varie banche dati di spam.
Ip e provider erano quindi già ampliamente pubblicizzati in relazione alla 
vicenda.
Mister xx 

 vicenda.
Una spiegazione (errata e parziale) potrebbe anche esserci: molto spam 
falsifica gli header Received, e questo porta di tanto in tanto, a 
segnalazioni farlocche. Questo potrebbe, al massimo, spiegare un listing 
errato da parte di SpamCop (ma è comunque abbastanza poco probabile).
Non lo è in alcun modo per quanto riguarda CBL, che, come detto, non si 
basa in alcun modo su segnalazioni. Quella mail riportata in nanas è 
sicuramente partita da quell'IP.
L'appropriazione dell'IP da parte di abusanti è una cosa che di tanto in 
tanto si è vista, e si vede, tramite annunci hijack BGP, ma:
- viene normalmente fatto verso netblock non utilizzati
- se venisse fatto ai danni di un ISP, questi se ne accorgerebbe 
immediatamente
- se l'ISP fosse sufficientemente incompetente da non accorgersene, di 
solito la "comunità antispam" se ne accorge molto velocemente
Inoltre, il campione riportato è un esempio molto limpido di spam da 
zombie (su questo potete prendere "sulla fiducia", come opinione di chi 
ne analizza alcune centinaia al giorno), e non avrebbe nessun senso che 
venisse emesso da macchine appartenenti ad una rete hijacked, dove si 
hanno invece metodologie di invio diverse.

 Una spiegazione .....
E' possibile monitorare (sniffer ?) il traffico fisico in uscita dalla rete 
locale per escludere con assoluta certezza che si tratti di un 
coinvolgimento di quest'ultima, o il contrario ?
Mister xx 

 coinvolgimento di quest'ultima, o il contrario ?
Individuare il traffico uscente è facile, e darebbe la dimostrazione 
immediata dell'origine dello spam.
Più difficile è dimostrare il contrario: a meno che non si tenga sotto 
controllo il traffico del caso e, nel contempo, si individui un campione 
apparentemente emesso da quella rete ma non spiegato dal traffico 
sniffato, si può solo constatare che gli abusi di quell'IP non ci sono 
più. Nulla di anomalo: quando iniziano ad essere listati da DNSBL "di 
ampio utilizzo" come appunto CBL/XBL, i bot cominciano a perdere di 
utilità, almeno per spammare: per altri utilizzi, quali quelli 
precedentemente citati, o come sorgenti di DoS, continuano ad essere 
perfettamente usufruibili...

 apparentemente emesso da quella rete ....
Grazie, quindi avendo i log ed una mail di spam da quell'ip (tipo quella in 
nanas) relativi allo stesso periodo incrociando data e ora il mistero 
sarebbe risolto con certezza.
Mister xx 

 Saluti 

 > Saluti





 Già fatto da sempre!!
Mi scusi, ma non aveva appena affermato che non c'è un server di posta 
interno? Forse i client non usano alcun mailserver esterno? O lo usano 
solo su porta 578?
Quand'anche fosse, il fatto che quell'IP abbia emesso mail verso CBL e 
verso il destinatario della mail citata su NANAS pare dimostrare 
altrimenti...
In bocca al lupo, comunque, per la messa in sicurezza di un cliente 
recalcitrante... :-)

 recalcitrante... :-)
Se il problema è effettivo non credo sarà così recalcitrante .......
Mister xx 

 ....
????? Ma almeno un log delle connessioni esterne (a quest'ora sapevamo la 
verità con l'incrocio di quella mail di spam) ? Ce l'ho perfino io sul pc di 
casa (degli ultimi tre mesi).
Io sarei più collaborativo dato che qui c'è gente in grado di aiutare.
Mister xx