Newsgroup: it.news.net-abuse
Titolo: Spam che pubblicizza sito con IP camaleonti?

Ho ricevuto un messaggio non richiesto che nel testo contiene molti
hyperlink che puntano a 
ultra-software.info
.
Tentando di risolverlo, credo correttamente, ho ottenuto 5 indirizzi IP:
193.251.81.213    che manda a 
wanadoo.fr
200.95.8.230        che manda a 
UNINET.NET.MX
213.122.64.155    che manda a 
btinternet.com
213.166.197.152  che manda a 
calixo.net
216.196.189.187  che manda a 
fuse.net
Rifaccio tutto dopo 10 minuti e ottengo:
213.3.201.77 > 
bluewin.ch
213.166.197.152  > 
calixo.net
217.23.249.116 > 
upc.sk
217.129.34.44 > 
netvisao.pt
217.218.247.131 > 
dci.co.ir
Altri 10 minuti:
172.189.193.211 > aol
193.251.81.213  > 
wanadoo.fr
205.186.126.182 > 
icgcom.com
213.122.64.155 > 
btinternet.com
213.166.197.152 > calixo
E ancora:
24.162.252.212 > 
rr.com
217.23.249.116 > 
upc.sk
217.83.47.117 > 
t-ipnet.de
217.129.34.44 > 
netvisao.pt
219.48.36.210 > 
bbtec.net
Vi sarei grato se qualcuno potesse spiegarmi come a un bambino di 5 anni,
anziche' come un rinco di 45 :(
Grazie e ciao. Franco
--
f.verlik...@tin.it.toglimi
"Vorrei dimenticare, ma non ricordo cosa"

 anziche' come un rinco di 45 :(
% dig ns 
ultra-software.info
 @
tld1.ultradns.net
ultra-software.info
.    1D IN NS        
ns5.uzc12.biz
.
ultra-software.info
.    1D IN NS        
ns4.uzc12.biz
.
ultra-software.info
.    1D IN NS        
ns3.uzc12.biz
.
ultra-software.info
.    1D IN NS        
ns2.uzc12.biz
.
ultra-software.info
.    1D IN NS        
ns1.uzc12.biz
.
Il lookup di cui sopra, fatto ad uno dei nameservers del TLD (top-level-
domain) .info, mi da' i nomi dei nameservers autoritativi per il
dominio 
ultra-software.info
.   Questi sono cioe' i nameservers a
cui chiedere la risoluzione di 
www.ultra-software.info
.
Ci serve il loro indirizzo IP.  Poiche' sono in .biz, chiediamo
a un nameserver del TLD .biz chi risolve 
uzc12.biz
:
% dig ns 
uzc12.biz
 @
b.gtld.biz
;; ANSWER SECTION:
uzc12.biz
.              2H IN NS        
NS3.uzc12.biz
.
uzc12.biz
.              2H IN NS        
NS4.uzc12.biz
.
uzc12.biz
.              2H IN NS        
NS5.uzc12.biz
.
uzc12.biz
.              2H IN NS        
NS1.uzc12.biz
.
uzc12.biz
.              2H IN NS        
NS2.uzc12.biz
.
;; ADDITIONAL SECTION:
NS3.uzc12.biz
.          2H IN A         66.126.108.82
NS4.uzc12.biz
.          2H IN A         64.166.225.49
NS5.uzc12.biz
.          2H IN A         24.243.180.126
NS1.uzc12.biz
.          2H IN A         216.196.189.187
NS2.uzc12.biz
.          2H IN A         68.112.4.235
"ANSWER SECTION" e' la risposta alla nostra domanda. Sono gli stessi
cinque servers.  La situazione sarebbe senza uscita se il server
di .biz non ci fornisse esso stesso, in ADDITIONAL SECTION, gli
indirizzi IP in questione. 
Armati di questa informazione, andiamo a far risolvere 
www.ultra-software.info
 a tutti questi nameservers.
Normalmente la risposta che si ottiene e' la stessa.
% dig a 
www.ultra-software.info
 @
66.126.108.82
www.ultra-software.info
.  2M IN CNAME  
ultra-software.info
.
ultra-software.info
.    2M IN A         200.95.8.230
ultra-software.info
.    2M IN A         205.186.126.182
ultra-software.info
.    2M IN A         217.235.13.84
ultra-software.info
.    2M IN A         24.62.251.60
ultra-software.info
.    2M IN A         24.162.252.212
% % dig a 
www.ultra-software.info
 @
64.166.225.49
www.ultra-software.info
.  2M IN CNAME  
ultra-software.info
.
ultra-software.info
.    2M IN A         172.185.218.108
ultra-software.info
.    2M IN A         193.251.38.192
ultra-software.info
.    2M IN A         200.95.8.230
ultra-software.info
.    2M IN A         202.22.166.35
ultra-software.info
.    2M IN A         205.186.126.182
In questo caso le risposte sono diverse.  Ogni nameserver ritorna
cinque record A. Questo si chiama "round-robin" ed e' il modo piu'
semplice e grossolano per ottenere bilanciamento di carico fra
piu' servers.  In questo caso lo spammer lo usa ovviamente per altri
scopi.  Normalmente i clients utilizzano il primo record della lista,
e la lista viene fatta ruotare dal nameserver in modo appunto da
suddividere il carico.
In questo caso i nameservers ritornano risposte diverse.  Abbiamo
dunque un altro livello di round-robin a livello di nameservers.
Nulla di particolarmente strano dal punto di vista tecnico.
Da notare che "2M" significa TTL di due minuti, ossia dopo 2 minuti
il record sparisce dalle cache e quindi occorre un nuovo lookup.
Tipico dei siti spamvertized con connettivita' volatile.
furio ercolessi
http://www.spin.it/spam/

 
ultra-software.info
.    2M IN A         205.186.126.182
Ho riprovato a interrogare gli stessi nameservers interrogati da te:
Ecco le risposte:
; <<>> DiG 9.2.1 <<>> @
66.126.108.82
 
www.ultra-software.info
 all +aa +norec
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39972
;; flags: qr aa rd; QUERY: 1, ANSWER: 6, AUTHORITY: 5, ADDITIONAL: 5
;; QUESTION SECTION:
;
www.ultra-software.info
.	IN	A
;; ANSWER SECTION:
www.ultra-software.info
. 120	IN	CNAME	
ultra-software.info
.
ultra-software.info
.	120	IN	A	172.200.73.223
ultra-software.info
.	120	IN	A	195.38.112.217
ultra-software.info
.	120	IN	A	198.92.67.54
ultra-software.info
.	120	IN	A	200.95.8.230
ultra-software.info
.	120	IN	A	217.157.1.52
; <<>> DiG 9.2.1 <<>> @
64.166.225.49
 
www.ultra-software.info
 all +aa +norec
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 855
;; flags: qr aa rd; QUERY: 1, ANSWER: 6, AUTHORITY: 5, ADDITIONAL: 5
;; QUESTION SECTION:
;
www.ultra-software.info
.	IN	A
;; ANSWER SECTION:
www.ultra-software.info
. 120	IN	CNAME	
ultra-software.info
.
ultra-software.info
.	120	IN	A	198.92.67.54
ultra-software.info
.	120	IN	A	200.95.8.230
ultra-software.info
.	120	IN	A	217.157.1.52
ultra-software.info
.	120	IN	A	172.200.73.223
ultra-software.info
.	120	IN	A	195.38.112.217
Cioe' uguali tra loro ma diversi dai tuoi. Boh?!
L'unico comune a tutti e' 200.95.8.230. E' un caso?
Si puo' risalire al destinatario del reclamo?
Grazie, Ciao. Franco

 L'unico comune a tutti e' 200.95.8.230. E' un caso?
è possibile che lo spammer si sia fatto una collezione di macchine
trojanizzate che mettono a disposizione un mini-server web e che
quando sono online chiamano casa e quindi vengono automaticamente
inserite nel dns dello spammer.
-- 
ciao | Per un ISP europeo una mail su due e` spam. Per uno americano quasi 
cf   | 3/4. Il 65% del traffico totale e` spazzatura. Statistiche presso:
-----+ 
http://www.postini.com
 
 
http://www.rhyolite.com/anti-spam/dcc/graphs/