Newsgroup: it.news.net-abuse
Titolo: mail di spam dall'arabia???


Mime-Version: 1.0
Content-Type: text/html; charset="iso-8859-1"
Date: Sun, 10 Nov 2002 15.27.38 +0100
X-Mailer: Microsoft Outlook IMO Build 9.0.2416 (9.0.2910.0)
Ora ho fatto la seguente analisi. Correggetemi se sbaglio visto che è la
prima analisi che faccio :)
Ho ritenuto attendibili solo i primi due received in quanto arrivano dal mio
isp.
Il secondo dice che la mail gli è arrivata da
193.188.107.106
Facendo il whois su RIPE vengo a sapere che tale indirizzo corrisponde a
tale persona:
person:       Falah Hassan
address:      Bahrain Bayan School
address:      P.O Box 32411
address:      Manama
address:      Bahrain
phone:        +973 682227
fax-no:       +973 780019
e-mail:       
ba...@batelco.com.bh
nic-hdl:      FH1863-RIPE
changed:      
aamu...@batelco.com.bh
 19990516
source:       RIPE
Poi ho pensato, dato che questo account non corrisponde alle received
seguenti, che quest'ultime (quelle provenienti da aol) fossero da ignorare.
Volevo sapere se la mia analisi è giusta, e in tal caso se è possibile che
mandino spam italiano da un provider arabo! Per caso già lo conoscete per
altro spam?
Che dite di fare?
Vi ringrazio anche solo per aver letto fino a qui ;)
gianpi

isp.
Di diverso parere è 
Spam Analyser v.1.02  che dice:
 
- Dominio dell'email utilizzata come drop-box (header From:): 
inwind.it
- Percorso eseguito dall'email:
1) L'utente "155.89.28.179" (155.89.28.179) ha inviato l'email a
rly-xw05.mx.aol.com
2) "51.110.169.187" (51.110.169.187) ha inviato l'email a
rly-xl04.mx.aol.com
3) "NON DEFINITO" (NON DEFINITO) ha inviato l'email a
rly-xl05.mx.aol.com
4) "193.188.107.106" (193.188.107.106) ha inviato l'email a
smtp5.libero.it
- Schema dei server attraversati (1):
SPAMMER --> 
rly-xw05.mx.aol.com
 --> 
rly-xl04.mx.aol.com
 -->
rly-xl05.mx.aol.com
 --> 
smtp5.libero.it
 --> CASELLA LOCALE
- Server utilizzato per inviare l'email (2) (5): 
rly-xw05.mx.aol.com
- Server presente in blacklist: vedi openrbl
- Indirizzo IP dello spammer (3): 155.89.28.179
- NS Lookup dell'ip dello spammer (155.89.28.179): NON ESISTENTE
- IP Block a cui appartiene 
155.89.28.179
: vedi database RIPE
- Abuse.net: E-mail da contattare per la drop-box (
supe...@inwind.it
)
(4): 
postm...@inwind.it
-- 
Bye
      Vitt


e scazza clamorosamente. Tutte le linee received successive sono palesemente
false (potrei scrivere il link ad un programma gratuito e più attendibile,
ma è mio, e sarebbe praticamente spamming... Mi riservo di inserirlo in
firma quando sarà un po' più testato, oppure chiedetemi in email). Sono
false, dicevo,  perché:
Parsing:
Sender (or dispatching mailserver) IP:193.188.107.106
He/she/it has said to be :193.188.107.106
Receiving mailserver [by]:
smtp5.libero.it
Listed in:
*  
opm.blitzed.org
*  
proxies.relays.monkeys.com
*  
relays.osirusoft.com
193.188.107.106 is an open proxy, stopping analysis
E' un proxy aperto del Bahrain...
Buona fortuna per i larts...
--
zello

 zello
Sei arrivato alle mie stesse conclusioni, vuol dire che ho lavorato bene! :)
Adesso ne approfitto e ti chiedo un altro paio di cose:
-cosa dovrei fare con questo server del bahrain?
-cosa sono i larts?
-il link dello spam porta ad un dialer, che ho rintracciato con samspade e
sta sun un server di lycos: ho scritto un'e-mail ad 
ab...@lycos-europe.com
dicendogli l'indirizzo preciso e cosa c'è sul sito, ho fatto bene?
grazie e a presto!
gianpi

 dicendogli l'indirizzo preciso e cosa c'è sul sito, ho fatto bene?
Direi di sì, anche se il contenuto non è rilevante (fino a quando non
è illegale). In altri termini, il problema non è che sul sito ci sia
un dialer piuttosto che, ad esempio, un poster dei pokemon. Il
problema è che il sito è pubblicizzato usando spam...
Ciao,
-- 
zello

 altro spam?
http://openrbl.org/ip/193/188/107/106.htm
open proxy conosciuto e catalogato.
Scegli un provider che ti filtra la posta, o fallo tu con programmi tipo
SpamPal