Newsgroup: it.news.net-abuse
Titolo: Troppo severi ... (GoDaddy Vs. UU.Net)


From: their/company/
acc...@it.dkintl.com
Date: Thu, 23 Nov 2006 16:41:41 +0100
X-MIMETrack: Serialize by Router on 
ITDOM01.DKINTL.COM/Company
Name(Release 6.5.3|September
 14, 2004) at 11/23/2006 04:41:42 PM
MIME-Version: 1.0
Content-type: text/plain; charset=US-ASCII
Tutto regolare, sembra ... però in effetti qualcosa di sbagliato c'è:
1) 
dkmilan.dkintl.com
 non esiste, già questo non mi piace
2) 
it.dkintl.com
 invece esiste, e l'rDNS risolve pure correttamente.
Dal punto di vista delle blacklist è così pulito che più pulito non
si può.
Due domande:
a) Chi si è inventato quel 213.215.180.229? Il whois lo riporta a nome
di di una società che non c'entra nulla ...
b) Possibile che secureserver faccia tutto 'sto casino? (scalare
l'helpdesk di GoDaddy si sta rivelando particolarmente difficile) per
una mail che il pur ipercritico gmail accetta senza batter ciglio?
Qualcuno ha consigli, esempi, casi pregressi già risolti?
Cercando sui newsgroup ho letto che GoDaddy è in effetti iper-formale
su certe cose (non che mi dispiaccia, lo spam su questi server è
veramente poco) ma non sta esagerando un cicinino?
Grazie anticipate ...

 una mail che il pur ipercritico gmail accetta senza batter ciglio?
Solo per l'SPF, direi, che sovrasta le BL.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Solo per l'SPF, direi, che sovrasta le BL.
Non so per Godaddy (dovrei indagare) ma di norma non č cosě vero.
Anzi, affatto vero.
Dipende dalla ragione del listing.
Se era per abusi da trojan č un conto.
Se era per abusi da spam "diretto" tutt'altro...
-- 
Skull & Bones (ER6n Silver)

 Pertanto ci siete cascati dentro in pieno.
Chi? I miei clienti sono quelli che stanno tentando di ricevere, mica
quelli a 
dkintl.com
 ... e cmq il .229 continua a non avere spiegazioni
...
Oltretutto per scalare .0/24, come ipotizzi tu dovrebbe essere uno
spamrun tale da dover lasciare tracce molto consistenti in NANAS, ma
così non è ...

 cosě non č ...
Ma bisogna vedere cosa usano in godaddy, e questa riga:
        553 Attack detected from pool 213.215.180.229.
         <
http://unblock.secureserver.net/?ip=213.215.180
 .*>
Se l'asterisco non l'hai messo tu, a me fa pensare ad una /24
bloccata.


 Se era per abusi da spam "diretto" tutt'altro...
Questo non lo sappiamo, non ci sono evidenze documentate, solo
quella riga di rifiuto.


 pensiamo, e di quello che pensa godaddy.
Si, no, boh.. :-D al di là del refuso tra godaddy e gmail, quello che
volevo dire è che anche molti spammer che fanno marketing "diretto" (a
la CAN-SPAM) pubblicano i loro record SPF, quindi *non è vero* che il
record SPF ti fa bypassare il listing: dipende dalle ragioni del listing.
Chi ha record SPF "corretto" bypassa (di norma) il filtraggio
anti-zombie, ma *non* il filtraggio per spam diretto, quindi.
Insomma, quella roba lì.. :-D
Peraltro, quel dominio non presenta record SPF. Quella riga riporta
AFAIK solamente i "guess" di google, in funzione di dominio mittente e
DNS diretto/inverso per la macchina che emette...
Bye!


 un blocco attuato su tutta la /24 causato, in origine, dal 229.
Mi sembra quantomeno inopportuno ... l'unica cosa in comune è
colt-telecom.it
 che certamente non è una verginella, ma tanto per dare
un termine di paragone (S.L. SBL44391) è listato con un /28 ...
Che poi secureserver abbia deciso di listare il /24 è un'altra cosa,
ma resta il fatto che mi sembra decisamente eccessivo.

 target e non del source, ma il discorso non cambia.
In una certa misura sì ... se il listing è motivato posso dire al
source "cazzi tuoi", ma se il listing non è motivato sono anche cazzi
miei.
Ora 
dkintl.com
, a prima vista, sembra non abbia fatto errori (a pare
scegliere 
colt-telecom.it
) ma non vi sono evidenze di spam AFAIK in
tutta la classe.

 ma resta il fatto che mi sembra decisamente eccessivo.
Beh, anche a me, del resto sono anni che un cliente russo mi considera
facente parte di un blocco dinamico, e non e' servito a nulla mandargli
copia della registrazione del dominio, assegnazione degli IP, e record
MX puntato sull'MTA, lui la _SUA_ lista la considera *il*verbo*.
Ho dovuto far fare al responsabile europa-est una casella esterna.


 Ho dovuto far fare al responsabile europa-est una casella esterna.
Vorrei evitare di arrivare a tanto ... non so nemmeno se:
1) contattare a voce l'help desk di 
secureserver.net
2) scrivere a 
vittoriaassicurazioni.it
 e in copia a 
colt-telecom.it
 per
capire se c'è un motivo storico di questo filtraggio.
3) a meno di gravi carenze dell'abuse desk di 
colt-telecom.it
, tali da
provocare un listaggio della .0/24 non vedo proprio come possa entrarci
dkintl.com
 che si trova addirittura su un netblock differente.
Altri suggerimenti?

 
il voodoo?
Seriamente, nei tuoi panni non saprei cosa altro fare.


 in /24 a me e' apparso come in un incubo.
Non sarebbe così fuori dal mondo, se dietro hai un abuse desk in grado
di verificare la fondatezza di una richiesta di de-listing in poche ore
...
Eviti di avere un sacco di problemi con gli ISP che consentono ai pink
di cambiare IP con facilità. Del resto colt-telecom, come detto in
altro post, non è una verginella (con questo non sto dicendo che fa i
pink)
E già è quasi impossibile consigliare ad un proprio cliente di
cambiare ISP, figuriamoci chiederlo ad uno che sta tentando di inviare
mail ad un mio cliente ...

 di verificare la fondatezza di una richiesta di de-listing in poche ore
Verissimo, ma dove la vedresti, la new techology, in una lista cosi'
manipolabile? :-)
Seriamente, ho finito l'adesivo per le ventose, e lo specchio e' troppo
scivoloso.
Se non si riesce a capire dove e come godaddy prende/genera le liste di
blocco, continuiamo a disquisire sul sesso degli angeli.


 Pertanto ci siete cascati dentro in pieno.
Da precedenti esperienze con godaddy/secureserver sembra che
partano dalla classe C. Mi sono visto bloccare roba assurda (tipo
che un server di una /28 era bloccato perché un'altra /28 aveva il
reverse che pareva un dinamico... strano che non abbiano già
bloccato 0/0.
C'è però da dire che rispondono in fretta e dopo i primi due
messaggi inutili dall'helpdesk ti passano un tecnico :-)
-- 
ValeRyo 

 
Non lo metto in dubbio. Intendo dire che in assenza di record SPF,
Google effettua (AFAIK) controlli sul match di altri dati, trattandoli
alla stregua di un record SPF "implicito".
Ad esempio, se la macchina da cui proviene la mail è anche denominata MX
per il dominio mittente, non c'è tutto 'sto bisogno di un record SPF per
capire che difficilmente il mittente è forgiato.
In questo caso, IMHO, avviene questo...


 blocco, continuiamo a disquisire sul sesso degli angeli.
Bah ... allo stato attuale delle cose ho ottenuto una reply da un
operatore umano, vi terrò aggiornati sugli sviluppi.
In ogni caso confermo ... il sistema di antispam di GoDaddy /
secureserver è efficacissimo, ma scarsamente configurabile. Nella
fattispecie posso configurare solo la severità dell'analisi sul
contenuto della mail (fatta a posteriori) ma il controllo sull'IP non
è ne configurabile nè escludibile.

 blocco, continuiamo a disquisire sul sesso degli angeli.
Alla fine mi hanno sbloccato l'IP del mail server del cliente del mio
cliente :-)
Senza dire le ragioni, comunque ... quello che mi manca è trovare
delle prove dello spam in modo da poter dire che hanno sbagliato loro a
servirsi da 
colt-telecom.it
 e non io a consgiargli GoDaddy come hosting.

 messaggi inutili dall'helpdesk ti passano un tecnico :-)
Sì, alla fine ce l'ho fatta ... non potevo pretendere di più,
considerando che sulla rete di 
colt-telecom.it
 è presente il listing
ROSKO della spamgang di S.L. :-)