Newsgroup: it.news.net-abuse
Titolo: Strano relay aperto di TIN

% telnet 
a-fi7-62.tin.it
 25
Trying 212.216.208.125...
Connected to 
a-fi7-62.tin.it
.
220 
fep23-svc.tin.it
 ESMTP server (InterMail vM.4.01.03.13
201-229-121-113) ready Wed, 18 Jul 2001 22:42:31 +0200
Numero IP apparentemente dialup, listato in DUL; e invece 
risponde quello che sembra essere un server di TIN, ed e'
un relay aperto che sta distribuendo spam.
Caso molto simile a uno simile in 
wanadoo.fr
 qualche mese fa.
furio ercolessi
http://www.spin.it/spam/


Date: Tue, 17 Jul 2001 17:46:25 GMT
NNTP-Posting-Host: 212.216.170.7
X-Complaints-To: 
newsm...@tin.it
X-Trace: 
news1.tin.it
 995391985 212.216.170.7 (Tue, 17 Jul 2001
19:46:25 MET DST)
NNTP-Posting-Date: Tue, 17 Jul 2001 19:46:25 MET DST
Organization: TIN
X-Old-Xref: 
news.infostrada.it
 italia.genova.discussioni:5705
----end----
se si, posso fare qualcosa oltre a segnalare a tin?
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciù un o l'è grammo e ciù vedde grammi i ätri." (Angelo IDCG)

 potrebbe avere a che fare con questo?
Hmm, non vedo correlazioni.
Md'I suggerisce che si tratti di un proxy SMTP su un PC
effettivamente dietro a un dialup.
Il fatto che stia distribuendo spam di origine USA
[ 
http://www.nic.it/cgi-bin/wa?A2=ind0107&L=abuse&F=&S=&P=97115
 
http://www.nic.it/cgi-bin/wa?A2=ind0107&L=abuse&F=&S=&P=98394
 ]
suggerisce la possibilita' di una "stazione intermedia"
di distribuzione.
Lo spammer vede il server di TIN attraverso il proxy, il
server di TIN vede lo spammer con l'IP sorgente del dialup
fiorentino e quindi fa relay incondizionato.
I vantaggi per lo spammer rispetto all'abuso di relay
ordinario potrebbero essere i seguenti:
- banda verso le vittime praticamente infinita (lo spam
  arriva con enormi liste in Bcc: fino al server di TIN e
  quindi li' avviene l'amplificazione)
- consegna attraverso servers di alte prestazioni
  che difficilmente crasheranno o avranno problemi
- maggior numero di vittime raggiunte prima che il run
  venga fermato dall'abuse desk
- lo spam proviene dagli IP standard di outbound della
  mail server farm di TIN e quindi non sono bloccabili
  senza effetti collaterali spaventosi
- il vero IP di origine e' totalmente coperto, e
  l'operatore del proxy puo' raccontare la storia
  che uno spammer cattivo ha abusato della sua macchina;
  l'abuse desk gli da' il beneficio del dubbio e non
  lo sega.
Chi usa ORBL e' avvisato!  Pur non essendoci relay aperti,
grazie a questo meccanismo dei servers di TIN ci stanno
finendo dentro (esempio: 212.216.176.40 gia' atterrato).
furio ercolessi
http://www.spin.it/spam/

  venga fermato dall'abuse desk
Intendi dire che TIN ha mai fatto una cosa del genere?
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Intendi dire che TIN ha mai fatto una cosa del genere?
Ora sei tu che stai sparando sulla Croce Rossa! :-)
Rif.:
http://groups.google.com/groups?ic=1&selm=9b07ks%2484n%241%40wonderland.linux.it
Incidentalmente, il fatto che 
tin...@abuse.net
 ora contenga
gli indirizzi del NIC e' una escalation dovuta a una caduta
di risposta. Che l'abuse desk sia andato in vacanza senza
un rimpiazzo?
furio ercolessi
http://www.spin.it/spam/

 finendo dentro (esempio: 212.216.176.40 gia' atterrato).
Ciao Furio,
me ne ero già accorto e anche altri, ma sembra che alla TIN se ne
freghino visto la risposta zero alle mie segnalazioni; idem per alcuni
server interbusiness.
perché non provi a scrivere anche tu a TIN ? forse ti considerano meno
antipatico di me :) e ti danno ascolto !
gabriele polidori
-- 
OneNET Point Trieste
via San Francesco 28/c
34133 Trieste - Italy
Tel: 
+39 040 771190
Fax: 
+39 040 3726154
Orario: Lun-Sab 10-13 / 16-21
http://www.onenet.it/TS/

 antipatico di me :) e ti danno ascolto !
Nope, si fanno mettere i servers in RBL piuttosto che dare ascolto
a me, MAPS o chicchessia (successo piu' volte).
212.216.208.125 e' tuttora su e fornisce un accesso open ai
mail servers di TIN per chiunque al mondo lo desideri.
Il record 
abuse.net
 di 
tin.it
 ora contiene anche la ABUSE del NIC
(per la gioia di chi la riceve, anche se devo dire che e' istruttivo
vedere SpamCop in azione dal lato del grosso ISP. Bello!), che
suggerisce una escalation in atto.
TIN sta ritornando blackhat agli occhi della comunita' antispam
internazionale.
furio ercolessi
http://www.spin.it/spam/

direi piů che una vacanza.....
A me, dopo un letargo, cominciano a ripresentarsi le deliziose risposte
automatiche, ora firmate "Seat Pagine Gialle S.P.A./Divisione Internet",
di vario e diverso tipo, dalla "stiamo prendendo provvedimenti, voglia
accettare le nostre scuse" a viceversa "la sua segnalazione e' stata
registrata"/"le sue segnalazioni sono state registrate", che non
lasciano sperare in nulla di buono.
-- 
"You have to take care of each other. You have to be strong.
[...] Be brave. Live...for me."