Newsgroup: it.news.net-abuse
Titolo: Come gli spammer nascondono le loro tracce, nuovo trucco con i proxy.

[ Sono offtopic su it.comp.sicurezza.varie, ma faccio il crosspost
  perche` la cosa potrebbe comunque interessare, f/up sul gruppo giusto
  (it.news.net-abuse) ]
L'inesauribile spamless, un professore di matematica che posta
abitualmente su news.admin.net-abuse.email articoli estremamente
tecnici, noto per la sua abilita` a risolvere anche i trucchi piu`
ingarbugliati degli spammer, da un po' di tempo va spiegando un
trucchetto nuovo, alternativo ai redirector, che gli spammer stanno
usando per nascondere le loro tracce.
In pratica l'idea e` quella di nascondere il proprio "prezioso" sito
web dagli strali delle loro vittime presso gli ISP che li ospitano.
Per far questo usano i proxy.
Quando trovano un proxy aperto (cosa molto facile di questi tempi) si
collegano a questo e gli chiedono di caricare le pagine web di un sito
di cui hanno accesso diretto al DNS autoritativo (e ai suoi log). Dai
log scoprono quale DNS ha richiesto la loro pagina per quel proxy (e
quindi presumibilmente scoprono il DNS autoritativo per il proxy
stesso) e con questa informazione organizzano al loro messa in scena.
Primo configurano il loro web server per rispondere con le pagine
segnalate nel payload dello spam _solo_ al proxy da loro abusato. A
tutti gli altri forniscono delle pagine innocenti oppure il
nulla. Inoltre settano il loro DNS in modo che fornisca al DNS del
proxy il vero IP del server web e a tutti gli altri l'indirizzo IP del
proxy.
In questo modo succede che quando noi andiamo a fare il lookup del
sito spammato il DNS dello spammer ci fornisce l'IP del proxy, ci
colleghiamo quindi a quest'ultimo, lui interroga il DNS per conoscere
il sito da cui scaricare le pagine richieste, questo interroga il DNS
dello spammer, che a lui solo fornisce il suo vero IP, il proxy
scarica le pagine e ce le fornisce.
A questo punto se andiamo ad indagare per scoprire dal DNS l'IP del
server web dello spammer ci viene fornito quello del proxy e andremo
quindi ad indirizzare le nostre segnalazioni all'ISP non del loro
prezioso sito web, ma a quello del proxy, risorsa questa che puo`
essere rimpiazzata dallo spammer instataneamente e a costo zero,
ripetendo ovviamente il trucchetto.
Un esempio e` quello descritto in questo thread (ma se si cercano i
post recenti di spamless se ne potranno vedere molti altri):
http://www.google.com/groups?th=cc2d2f6664706e75
Occhi aperti quindi ai siti web, occorre accertarsi se questi siano o
meno dei proxy prima di assumere che quelli sono il payload dello spam
e segnalare quindi la cosa al loro provider.
Se ci accorgiamo del trucco l'informazione del vero sito web dello
spammer e` nascosta nella cache del DNS che serve il proxy.
-- 
ciao | Antispam in pillole: (LART 2 )  Segnalare  correttamente lo  spam;
cf   | Nel subject indicare delle parole chiave, nel corpo una tag come: 
-----+ "web spam advertised""spam from your net""open relay""open proxy" 
"open formmail""DNS support", e di seguito lo spam completo di header .

 e segnalare quindi la cosa al loro provider.
D'altra parte la segnalazione comunque non guasta: magari chi riceve 
capisce che la sua sicurezza lascia un po' a desiderare..
--
furio ercolessi
http://www.spin.it/spam/

 scarica le pagine e ce le fornisce.
... ma  solo se il proxy e' configurato come transparent proxy. Questo,
forse, e' in contrasto con l'osservazione che di open proxy ce ne sono 
tanti, ma non ho abbastanza dati a disposizione. C'e' qualche statistica 
in merito al rapporto transparent/open per i proxy?
Giusto un consiglio per chi si chieda come fare a verificare se un sito
viene raggiunto direttamente o tramite proxy senza dover sempre eseguire
un test: molte configurazioni di proxy, per default, inseriscono la riga 
"Via:" negli header della risposta. Se c'e' si puo' procedere alla 
ricerca dell'ip del vero server spamvertized.
 
Fabio
PS: cosi', a naso, una cosa simpatica che si puo' fare sfruttando questa 
    tecnica potrebbe essere quella di creare catene di open proxy,     
    creando una view di bind diversa per ognuno dei resolver utilizzati 
    da ognuno dei proxy trasparenti abusati. Leggi: meglio controllare 
    che anche il secondo hop non sia un open proxy trasparente abusato.

 POST aperto usati per spedire spam.
Ho fatto un commento in merito a questo nel precedente post: secondo me
non sono poi cosi' tanti i proxy sfruttabili, vista la particolare conf
richiesta. 
Come viene usato il metodo POST per spedire spam?
Fabio

> Come viene usato il metodo POST per spedire spam?
/me si percuote il cranio con un maglio. :-) [cit]
La risposta e', ovviamente: attraverso un form web
che mette negli header l'ip di chi lo "submitta".
Avevo il neurone in pausa. Ma... e' cosi' frequente 
che i proxy aperti non permettano l'uso di POST?
Fabio
Per whip: e' vero, forse era piu' chiaro indicarlo
          come "reverse proxy", visto il contesto.

 in merito al rapporto transparent/open per i proxy?
scusa ma che io sappia il transparent proxy e` il redirect di una
richiesta sulla porta 80 ad un proxy senza che questo sia
necessariamente richiesto da chi effettua il tentativo di
connessione. In pratica che avvenga tramite dns oppure tramite un IP
forward del firewall, la persona che sta usando il browser non ha
alcun elemento per sapere che non e` collegato direttamente al sito
web che sta leggendo ma lo e` attraverso un proxy "impostogli"
dal suo amministratore di sistema.
Alla luce di questa definizione non ho capito che intendi.
-- 
ciao | Indubbiamente il top postig!
cf   | Qual e` la cosa piu` fastidiosa su Usenet?
-----+ (spudoratamente copiato dalla firma di un poster di NANAE)

 Come viene usato il metodo POST per spedire spam?
con un bel socket che passa alla direttiva POST lo spam per il server
mail della vittima.
Guarda il sorgente di questo proxy scanner:
http://www.unicom.com/sw/pxytest
-- 
ciao | Cultura Usenet: il 'Netkook' e` un lunatico convinto delle sue idee
cf   | che scrive cose molto questionabili. Mentre il 'Troll' vuole solo 
-----+ provocare, l'altro crede davvero nelle sue sciocchezze. Link utili:
http://www.crank.net/usenet.html
 
http://www.urban75.com/Mag/troll.html

 Alla luce di questa definizione non ho capito che intendi.
Come commentavo con whip, transparent non e' un espressione felice, 
in effetti. Forse era meglio reverse, ma anche qui qualcuno avrebbe 
potuto obiettare. Il termine corretto per definire il tipo proxy di
cui stiamo parlando sarebbe "surrogate proxy" mentre quello che hai
descritto tu sarebbe piu' propriamente un "interception proxy" o un
"network transparent proxy" (notare il "network"). Detto tout court
"transparent" e' uno che non altera le comunicazioni tra i server e
il client, senza relazione alle caratteristiche con cui interagisce
con questi. Sono tutte definizioni poco note o usate impropriamente
o il cui significato varia a seconda del contesto, e quindi... ecco
il qui pro quo. 
La questione rimane che per far si che il proxy agisca al posto del
origin web server senza modifiche alla configurazione dei client (e
spero, cosi', di lasciarmi alle spalle definizioni ambigue:-) lo si
deve intenzionalmente configurare in modalita' "surrogate" per host
(server e client) arbitrari e le conf, di default, non prevedono di 
lavorare in questa modalita', in generale. Da qui la considerazione
sulla potenziale scarsa diffusione. Spero di non sbagliarmi :-)
Fabio

 
http://www.unicom.com/sw/pxytest
E' il secondo hit della ricerca di "http proxy mail post
abuse" con google. Vergogna fabio!
Tutto questo mi fa venire in mente un quesito che, forse,
sconfina un po' nell'OT: configurare il mail server forzando 
la sincronizzazione del dialogo smtp e' una buona pratica?
Fabio

il qui pro quo. 
in gergo prettamente TLC trasparent è qualcosa che maschera un
qualcosa d'altro che può cambiare facendolo vedere sempre uguale.
per esempio il concetto di trasparenza si applica ottimamente allo
stack protocollare (sia esso TCP/IP o OSI).
il livello di trasport (TCP/UDP per intenderci) consente a tutti i
livelli superiori di svolgere certe operazioni (connect, send, get,
close, etc etc) in modo trasparente, cioè senza conoscere ciò che ci
sta sotto (IP, ethernet, fast ethernet, giga ethernet, token ring,
wdm, sdh, etc etc).
lo stesso discorso vale per tutti gli altri livelli (rete, datalink,
etc).
-- 
Marco
"I trolls sono stupidi. Gli spammers pure. [vedi Regola 1]"

 qualcosa d'altro che può cambiare facendolo vedere sempre uguale.
Ci si puo' sbizzarrire sulle definizioni di "trasparente" :-) Io, come
ho scritto, lo intendevo a livello di protocollo http e configurazione
dei client. Carlo in altro modo. Incidentalmente qui c'e' di mezzo una
rfc che si prende la briga di definire cosa voglia dire trasparente in
relazione a un proxy, e quindi direi che in caso di incomprensione sia
quello il riferimento per una definizione, IMHO. Che, come gia' detto, 
non e' quella da me usata inizialmente, ancora in uso ma deprecata. Le
terminologie corrette le ho indicate nel post precedente, salvo errori
ed omissioni.
Per inciso: spamless stesso, nel thread su news.admin.net-abuse.email,
usa trasparente nella stessa accezione che ho adottato io inizialmente
e non capisco perche' tanti dubbi sul mio post ma nessuno sui suoi :-)
Fabio

e non capisco perche' tanti dubbi sul mio post ma nessuno sui suoi :-)
perchè tu sei + bello! :)))



Perdona la mia ignoranza ma, in che modo, posso recuperare l'informazione
del vero sito.
Sono vittima di spammers che adottano questo sistema (l'ultimo in ordine di
tempo e' 
lbfz...@www.cucinafacile.biz
 ) e mi piacerebbe rendere loro la
vita piu' difficile.
Grazie

 vita piu' difficile.
Devi provare a risolvere l'indirizzo ip dal nome host utilizzando il 
server dns che si ipotizza venga utilizzato anche dal proxy. Potrebbe 
esesre all'ip del proxy stesso o uno dei server della rete a cui il
proxy appartiene.
Fabio

 wrote in message
news:MPG.19344551...@powernews.libero.it...

Ciao Fabio e grazie per le indicazioni che mi hai dato.
Mi rendo pero' conto che, pur essendo un progettista sw, mi muovo piuttosto
a disagio negli apetti di networking.
Potresti cortesemente indicarmi qualche sito, o qualche testo, che possa
aiutarmi a districarmi meglio ?
Ho cercato di procedere come mi hai suggerito per l'indirizzo da me
riportato nel post precedente ma, una volta ottenuto che
"
www.cucinafacile.biz
 resolves to 210.220.73.5", non riesco a procedere
oltre.
Per quanto ho capito 210.220.73.5  dovrebbe essere l'IP address del proxy.
Ora come faccio ad interrogare il dns da lui utilizzato ?
Grazie in anticipo per qualsiasi suggerimento.
Ciao
  Stefano

 possa aiutarmi a districarmi meglio?
Mi spiace ma non so se posso darti indicazioni significative: tanti
parlano bene di 
www.networkingitalia.it
 come sito "tutorial" ma non
lo conosco bene. Mi rendo conto come le rfc non siano certo letture
avvincenti (dipende dai gusti), ma anche a quelle bisognerebbe dare
un'occhiata. Forse se provi a porre la domanda su qualche newsgroup
in tema networking ti potrebbero dare consigli piu' interessanti.
Fabio


Comincero' a dare un'occhiata al sito che mi hai indicato.
Per ora ti ringrazio moltissimo per l'attenzione ed i suggerimenti che mi
hai fornito.
Ciao
  Stefano

 posso applicare la tecnica di far risolvere al proxy il mio dominio.
L'ho applicata e ho trovato che i DNS resolvers usati dal proxy
coreano (210.220.73.5) sono 210.94.0.95 e 210.94.0.96, interrogando
i quali si ottiene immediatamente
www.bellezze.biz
.       IN A      216.93.166.92
www.cucinafacile.biz
.   IN A      216.93.166.92
che come gia' notato e' quindi la vera locazione dei siti su 
servepath.com
.
L'IP e' su SBL [ 
http://spamhaus.org/SBL/sbl.lasso?query=SBL7233
 ]
Il listing e' dell'8 marzo, e quindi proporro' a SBL un'espansione a /24,
anche considerando che ci sono sorgenti di spam
[ 
http://spamcop.net/w3m?action=checkblock&ip=216.93.166.5
 ], e che
la adiacente 
216.93.165.0/24
 e' gia' interamente listata in SBL6959.
Vedasi 
http://www.spamhaus.org/sbl/listings.lasso?isp=servepath.com
per il poco confortante quadro della situazione di Servepath.
Naturalmente un'altra cosa da fare e' abbattere superzonda/catramina
("Apolo-Proxy-Telecom") scalando su 
Telecom.com.ar
.
E inoltre fare pressione su Enom, scalando a internic se necessario,
per le registrazioni dei .biz con dati falsi.
Poiche' sono arrivati a nostri clienti alcuni esemplari di questi
spam, possiamo senz'altro investire delle risorse per cercare di
spazzare via questi vermi immondi.
