Newsgroup: it.news.net-abuse
Titolo: Nuovo sistema antispam?

 [
newscientist.com
]
"To test their idea, the team installed a previously captured software
bot onto a machine. After analysing 1000 emails generated by this
compromised machine - less than 10 minutes' work for most bots - the
researchers were able to reverse-engineer the template. Knowledge of
that template then enabled filters to block further spam from that bot
with 100 per cent accuracy."
"This is an interesting approach which really differs by using the bots
themselves as the oracles for producing the filters,"
"The new system did not produce a single false positive when tested
against more than a million genuine messages"
Qualcuno ne sa qualcosa in piu'?
-- 
Freedom of speech is wonderful - 
right up there with the freedom not to listen.

 Qualcuno ne sa qualcosa in piu'?
Solo che si prospetta l'ennesima sparata giornalistica sull'essesimo FUSSP.
Il templating � usato in lungo e in largo da anni.
Il problema del templating � il fatto che i template vengono cambiati in
continuazione.
Dovrebbe risultare evidente che basta cambiare il template ogni 999 mail
e il sistema descritto qui sopra diviene completamente inutile.
Tantopi� quanto il template viene distribuito ad una rete non trustata
di clienti che usufruiranno poi dei filtri cos� prodotti: basta che lo
spammer sia tra questi e sar� il sistema stesso a notificargli quando
cambiare il template...
Che � quello che accade oggi, non per nulla...
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 Che � quello che accade oggi, non per nulla...
ti ringrazio ...
Ciao


 riferimento?
In breve: la maggior parte dello spam � inviato facendo uso di software
specifico, in maniera massiva, partendo da una "matrice", ovvero il
template.
Lo spammer costruisce un template in cui alcune informazioni sono fisse,
altre variano all'interno di un range di possibilit� predefinito dallo
spammer, altre ancora sono casuali.
Il template contiene quindi determinati "TAG" che poi star� al software
sostituire con le relative parti pi� o meno variabili.
Lo scopo di questa variabilit� � evadere i filtri posti dai destinatari:
se tutti i campioni di spam fossero uguali, diviene banale bloccarli tutti.
Ci� � la ragione per la quale di tanto in tanto capita di ricevere spam
contenente roba tipo:
%{RECEIVER_NAME}
%{RAND_TEXT_3}
@@FROM_EMAIL
Altro non sono che TAG non sostituiti dal software.
E' quindi possibile, dato un numero sufficientemente ampio di campioni,
realizzare dei template "all'inverso", ovvero delle serie di
regular-expression che matchino messaggi generati a partire da un
determinato template.
Questo �, in sostanza, il filtraggio attraverso templating.
Il problema � che queste regole devono per� rimanere in conoscenza di
una cerchia fidata, per essere di qualche utilit�: se divengono "di
dominio pubblico", lo spammer ha modo di capire che l'han fregato,
cambia il template con cui genera il suo spam, e tutto deve reiniziare
da capo.
Questa � la ragione pricipale alla base dell nota che vedi qui:
http://www.rulesemporium.com/


 mail e il sistema descritto qui sopra diviene completamente inutile.
Aye aye sir :) !
Ma non � solo questo il problema, quello che hanno fatto quei tizi �
stato infilarsi in una botnet, "sniffarne" il traffico e prendere le
dovute
contromisure "al volo"; non male, ma non lo vedo applicabile su larga
scala, quantomeno non in questi termini
Il problema di fondo di qualsiasi sistema che "assaggia" le email per
trovare lo spam (e le relative origini) � che un tale sistema � tanto
pi�
efficiente quanto pi� i "sensori" sono numerosi e sparsi "in giro per il
mondo"; ora... uno potrebbe pensare a spese faraoniche per mettere
in piedi una cosa del genere e considerare la cosa impossibile per
il normale "admin", ma NON � cos�, � possibile, anche se richiede
almeno un MINIMO di infrastuttura, mettere in piedi una rete *globale*
a costi minimi e con efficienza piuttosto elevata, anzi, "Skull" non so
se te lo ricordi, ma avevo postato qualcosa in proposito tempo fa
su "una certa" ML ;)

 su "una certa" ML ;)
Cioe', per capire, potrebbe essere fattibile una sorta di coordinamento
mondiale tra tutti i mail server (detto alla buona) in cui si
condividono costantemente i dati per filtrare lo spam, con meccanismi di
adattamento e autoregolazione continui?
Se fosse cosi', e' stato mai ipotizzato di avviarlo, anche solo come
esperimento tra una cerchia ristretta?
Grazie
Ciao


 In breve: 
[...]
Chiarissimo e molto gentile.
Vedro' di approfondire.
Grazie


 coordinamento mondiale tra tutti i mail server (detto alla
Nah... in un mondo ideale forse sarebbe possibile, ma in
realt�, specie in alcuni paesi del mondo � praticamente
impossibile o, se possibile, diverrebbe inutile :) ed � proprio
qui che entra in ballo una certa ideuzza... totalmente legale,
per carit�, ma che permette di "spargere" i propri sensori
in giro per il mondo massimizzando in tal modo l'efficienza
dell'intera struttura... per il resto, scusami ma non ritengo
opportuno discutere i dettagli qui, visto e considerato che
anche chi spamma legge i newsgroups :)

 anche chi spamma legge i newsgroups :)
np, capisco ;-)
Grazie


 una cerchia fidata, per essere di qualche utilità
Se però la signature del template viene generata abbastanza velocemente 
attraverso degli honeypot e resa subito disponibile (intendo in tempi 
dell'ordine dei minuti), lo spammer non ha il tempo materiale di cambiare il 
template, il suo spam-run è bruciato.
Si dovrà inventare un sistema più sofisticato ma nel frattempo il 99% degli 
spammer sarà tagliato fuori per un bel pezzo.
Basta vedere quanto *ancora* è efficace il greylisting o i contolli formali 
sull'helo.
Ciao,
-- 
  Daniele Orlandi						つづく