Newsgroup: it.news.net-abuse
Titolo: Spammata da impreseonline.net


Subject: Conferma indicizzazione su Impreseonlinet.net
Message-ID: <farsunmazzettodicazziproprimai@localhost>
X-Priority: 3
X-Mailer: Apple Mail (versione)
MIME-Version: 1.0
Content-Type: multipart/alternative;
  boundary="_________________________________"
X-Spam: Statistical 64%
--b1__________________________
Content-Type: text/plain; charset = "iso-8859-1"
Content-Transfer-Encoding: 8bit
Data: 2010/11/11
Gentile MIONOME MIOCOGNOME,
abbiamo ricevuto la vostra richiesta di
inserimento della vostra Azienda nella directory
impreseonline.net
 Clicchi qui per aggiornare i suoi dati e
confermare
 la sua iscrizione:
 Link aggiornamento:
http://www.impreseonline.net/iscrizione/conferma.php?epensicheiotilasciquesto
?
 Azienda: MIONOME MIOCOGNOME
 Indirizzo: MIOINDIRIZZO MIONUMERO
====================================================
La prima cosa che salta all'occhio è ovviamente l'IP mittente
(200.63.45.12) che puzza di spam più di un pesce morto da una
settimana (e fra l'altro Panama mi ricorda la Zizz Development) e il
whois di 
impreseonline.net
 non è da meno. Su tutto il sito non c'è uno
straccio di indirizzo fisico di riferimento.
Ci sono due cose notevoli ... il primo è che nel testo della lettera è
presente il nome e cognome e il numero della via (da notare che
mionome != mymail) e il secondo è che nei due invii hanno usato due X-
Mailer: diversi: Mozilla Thunderbird x.y.z (Windows/0000) e Apple Mail
(x.yzk.d)p (evidentemente i dati di whois del dominio)
Uno schema un pò più sofisticato del solito, che probabilmente prelude
all'invio massiccio di spam ...

 straccio di indirizzo fisico di riferimento.
Per quel che vuol dire, 
200.63.40.0/21
 � uno spamheaven da parecchio
tempo, e bloccato qui (e da parecchi altri gestori) da circa 1 anno e mezzo.
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 (da notare che mionome != mymail)
beh... quello potrebbero averlo raccattato in diversi modi, ad
esempio tramite i dati del whois, oppure tramite leeching delle
info su qualche sito web sul quale erano pubblicate o anche
grazie a qualche simpatico worm che ha ciucciato le info da
una macchina (infettata dallo stesso) che le conteneva... o
addirittura da qualcuno dei famigerati "elenchi pubblici"

 addirittura da qualcuno dei famigerati "elenchi pubblici"
Al 90% i dati (nome, cognome e via) sono da whois, e l'e-mail è quello
spiderizzato da infoimprese
Fino al 2004 (se ricordo bene) infoimprese non usava i captcha per
proteggere la pagina delle ricerche, questo ha generato un numero
impressionante di furbetti che vendevano CD del tipo 50.000 e-mail di
aziende italiane che ancora adesso avvelenano la rete ...

 impressionante di furbetti che vendevano CD del tipo 50.000 e-mail di
Fra l'altro ... non l'avevo notato ... ma l'icona di 
http://www.impreseonline.net/
somiglia stranamente a quella di 
http://www.eurosito.it/software/aziende.htm
:-) niente di strano se non che per vendere questa roba qui hanno
messo qualche riferimento ....
"La versione Demo scaricabile da questo sito è limitata nei record ma
funzionante al 100%. La versione completa con oltre 2.000.000 di
aziende italiane è disponibile su CD a parte richiedibile alla
Eurosito Comm. S.r.l.  ai n. Tel.: 0872 660160 - Fax: 0872 660192 - E-
mail  -  Sito web: 
www.shop.eurosito.it/software/
"
Certo, un favicon non basta certo a provare un qualsiasi tipo di
rapporto fra uno spamheaven e un sito italiano ... però un giretto
vale la pena farlo ... fra le chicche troviamo:
1) mancata pubblicazione della P.IVA a norma della Risoluzione del
16/05/2006 n. 60 dell'Agenzia delle Entrate
2) Le visure camerali 
http://visurecamerali.eurosito.it/
 con pagamento
su ricarica PostePay vi sembrano serie?
3) 
http://www.eurosito.it/software/aziende.htm
 - Compatibile con
Windows 3.1, Windows 95, Windows 98 e Windows ME ... mi sa che sono
rimasti un pò indietro :-)

 vale la pena farlo ...
specie perch�, se per caso avessero fatto una fotocopia del sito
cambiando solo quelle quattro cose in croce, un qualsiasi tipo di
vulnerabilit� o backdoor presenti sul sito origine sarebbero ora
presenti (al 90%) sul sito "copiato" :)

 proteggere la pagina delle ricerche
E neanche adesso... ho appena provato.

 E neanche adesso... ho appena provato.
In effetti c'è qualcosa che non va ... adesso mi ha chesto il captcha
solo alla seconda ricerca, ma la prima mi ha fatto passare senza
controlli ...

 controlli ...
Confermo: appena ti vuoi spostare dalla prima pagina dei risultati, 
chiede il comecavolosichiama... La prima volta avevo fatto una ricerca e 
non mi ero spostato di pagina.
Certo che anche cosi'... bastano un tot di "disperati", magari da remoto 
pagati 10c la pagina, a ognuno una categoria e ti fai spedire l' HTML 
delle pagine salvate...

 pagati 10c la pagina
... purtroppo c'è anche questo ...