Newsgroup: it.news.net-abuse
Titolo: Spamit sparita dalla circolazione?

http://blogs.cisco.com/security/largest-fake-pharmacy-spam-affiliate-program-closes/
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 usata per sparare fuori lo spam
No.
Spamit non spammava per-se (per quanto si sa, almeno); teneva le fila di
un affiliate-program.
Spamit forniva il backend da cui "approvvigionare" le pippoline
contraffatte.
A spammare eran altri, anche molto scorrelati tra loro, con metodi
diversi e da botnet diverse.
Alcuni anche non da botnet.
Il fatto che tutto lo spam legato a Spamit sia cessato di botto, quindi,
ha poco a che vedere con il down di una (o di una manciata di) botnet.
Significa (se dovesse effettivamente essere cosa definitiva) che
probabilmente Spamit si è resa conto di essere vicina ad essere
incassettata (vedi Krebs su
http://krebsonsecurity.com/2010/09/spam-affialite-program-spamit-com-to-close/
)
e ha deciso di lasciare il campo prima di pagarne le conseguenze.
O così spera.


 contraffatte.
Doveva essere "pilloline", ovviamente.
(anche se "pippoline" potrebbe avere un suo perchč...)



Speriamo, ma a me pare lo stesso spam che avevo visto arrivare dagli
account crackati su Hotmail (quel messaggio che avevo postato su
it.comp.sicurezza.varie) con siti su Aruba ed altri.
Infatti ricordo bene la bandiera canadese :)
ciao
Gabriele


Avrei bisogno del campione, o è vecchio di qualche giorno oppure
probabilmente ti confondi con uno dei siti riconducibili a Kuvayev, che
sono spesso molto simili e spesso sotto logo "Pharmacy Express".
Vedi
http://spamtrackers.eu/wiki/index.php/Pharmacy_Express
e
http://spamtrackers.eu/wiki/index.php/My_Canadian_Pharmacy
per confronti diretti.


 per confronti diretti.
Noto con dispiacere che Aruba se ne frega e difatti sono ancora su
dopo 4 giorni dalla segnalazione:
www.lbmcreazioni.com/44_5.html
delcasalecostruzioni.it/44_5.html
che porta a : 
clmedicshop.com/?cid=44_5
che carica i vari pezzi da URL tipo: 
latidoctor.com/383/layout/img/
payment_method/visa.jpg
ciao
Gabriele

 sono spesso molto simili e spesso sotto logo "Pharmacy Express".
Scusa, ma Kuvayev non stava apprendendo l'arte della sopravvivenza in un
simpatico alberghetto russo?

 payment_method/visa.jpg
Pharmacy Express.
Kuvayev (o chi per lui, se è ancora in gattabuia)


 simpatico alberghetto russo?
Se l'han tenuto dentro, sì, confermo:
http://krebsonsecurity.com/2010/08/spam-king-leo-kuvayev-jailed-on-child-sex-charges/
Ma a portare avanti le operazioni di spam non è certamente da solo,
quindi chissà...


 quindi chissà...
Dici che ha aperto un frachising?

 Dici che ha aperto un frachising?
http://www.spamhaus.org/rokso/listing.lasso?file=903


 
http://www.spamhaus.org/rokso/listing.lasso?file=903
E in dettaglio
http://www.spamhaus.org/rokso/evidence.lasso?rokso_id=ROK4932


 
http://www.spamhaus.org/rokso/evidence.lasso?rokso_id=ROK4932
COme non detto....

 Ma a portare avanti le operazioni di spam non è certamente da solo,
leggasi "pizzini" :) ?


http://www.solospam.it
 <=== vero spam margherita originale!!!

 
http://www.solospam.it
 <=== vero spam margherita originale!!!
Eh?


 Eh?
Lassa stà, papi.. esaurimento di metà pomeriggio da lavoro.

> 
http://blogs.cisco.com/security/largest-fake-pharmacy-spam-affiliate-program-closes/
http://www.theregister.co.uk/2010/10/12/microsoft_ips_hijacked/
oh well <g>

 oh well <g>
Dimenticavo; notare che la faccenda (secondo link) sembra essere
collegata a "
bulker.biz
" ossia ai "concorrenti" di "MCP" ed a quanto
sembra il tutto � stato attivo almeno dal 22 Settembre scorso


Concorrenti un ciufolo :-)
Son sempre loro...
http://www.spamtrackers.eu/wiki/index.php/Bulker.biz
(Peraltro, se Polyakov non � implicato nello sviluppo di Zeus, �
quantomeno tra quelli che pi� ne traggono vantaggio e pi� si dan da fare
per "distribuirlo"...)


 
http://www.theregister.co.uk/2010/10/12/microsoft_ips_hijacked/
Dimenticavo: se vuoi leggerla nell'ordine giusto :-P
http://krebsonsecurity.com/2010/10/pill-gang-used-microsofts-network-to-attack-krebsonsecurity-com/


  vantaggio e pi� si dan da fare per "distribuirlo"...)
sicuramente si, ma MAGARI fosse il solo :-(

 abbastanza 'standard' :D
Questo ï¿½ sicuro a prescindere. ;-)
Invito *molto caldamente* a leggere "Fatal Error" per avere un po' di
insight su cosa avviene davvero lï¿½ fuori: quel che arriva nelle mailbox
ï¿½ davvero una minima parte del tutto...


 nelle mailbox � davvero una minima parte del tutto...
Loso :) - ho ricevuto l'info che "quegli IP erano stati violati"
praticamente "in diretta" e molto prima che "the register"
se ne uscisse con quel pezzo :) tra l'altro, se volessi spendere
un pochino di tempo a leggere l'aggiornamento (si, sapevo
tutto del sito di Krebs)
http://www.theregister.co.uk/2010/10/14/microsoft_confirms_ip_hijack/
a fondo pagina troverai un
"Also notable, according to Krebs, the machines that were compromised
were running Linux."
e la stessa info appare "in altri posti", peccato solo che da un
fingerprinting fatto con nMap *prima* che quei box fossero
messi offline, nMap aveva indicato come OS "windows 2000"
Ora, magari Krebs ha delle info aggiuntive, per� ... <g>