Newsgroup: it.news.net-abuse
Titolo: Spammers Furbi o Limite delle blacklist ?

Ultimamente (da almeno un mese) capita una cosa che sarebbe
interessante analizzare....
Nonostante i filtri (hash) e le blacklist (parecchie) inizia a passare
un certo tipo di spam che fino ad adesso si era risciti a fermare.... 
Mi riferisco ai soliti viagra & soci (erbe per dimagrire, pillole
varie, addirittura psicofarmaci).
La tecnica appare la solita... mittente sconosciuto, niente oggetto,
inizio e fine del testo con
glxwffnaihs balgzmcybbxqzd eqyzefdfrky vkdlibbtxglp tdqltfccdtyfxd
neaiddbosfwj
casuali
Mail in formato html e link per unsubscribe 
tutto porta a 
informatixz.biz
(che da oggi e' risolta in 127.0.0.1 dai nostri dns)
La cosa strana e' che fino ad oggi questo genere di mail erano
bloccate dai sistemi antispam o meglio ancora dalle blacklist....
Invece adesso noto che praticamente passano... e parecchio anche...
Che lo spammer abbia trovato un modo per evitare tutti i controlli o
l'opera di semina di finti virus (in realta macchine spara spam) degli
ultimi tempi ha raggiunto dimensioni incontenibili ?
Trall'altro l'ultimo arrivato (ma anche i suoi predecessori nei giorni
passati) era evidentemente una macchina trojanata ma l'ip non e' in
alcuna blacklist (e neanche i sui predecessori)
134.76.161.219
(giusto in spamcop).
Secondo voi e' un caso ? O abbiamo raggiunto una fase in cui le
blacklist non ce la fanno piu' a stare dietro al numero spropositato
di macchine a disposizione degli spammers ?
E' inquietante...
-- 
Saluti,
Cataldo Cigliola

E' inquietante...
d'altronde i virus sono ormai scritti da mesi con l'intento di
impossessarsi di varie macchine ed avere connettività a disposizione.
imho la tendenza 2004 sarà usare quella connettività per spam (o
attacchi dos a siti antispam, come accaduto di recente)
mk

 E' inquietante...
Gia'.
furio ercolessi

 La tecnica appare la solita... mittente sconosciuto, niente oggetto,
Se e' cosi' e' facile: filtra le mail senza oggetto e sei a posto...;-)
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: 
do...@despammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

Se e' cosi' e' facile: filtra le mail senza oggetto e sei a posto...;-)
Eh gia'.... :-)
salvo poi capitolare quando 200.000 utenti ti scrivono infoiati
perche' gli hai buttato via la loro mail senza oggetto :-)
-- 
Saluti,
Cataldo Cigliola

 costantemente.
Rileggendola. noto che la frase e' infelice e devo chiarificarla.  
Intendevo dire che Infostrada, Telia, Algx sono "come bravi cani da 
guardia" :-)
Poi ci sono networks gestiti "da cani" come Interbusiness; ma una frase
del genere sarebbe certamente iniqua nei confronti dei migliori amici 
dell'uomo da migliaia di anni.
furio 

 guardia" :-)
Ecco, infatti avevo inteso il contrario ed ero assai perplesso...
-- 
Ciao,
    8tto

dietro alle sbarre - il blocco di vaste aree a bassa sicurezza
La vedo davvero difficile.... sopratutto in USA dopo l'approvazione
della nuova legge pseudo antispam..
-- 
Saluti,
Cataldo Cigliola

premere un pulsante....
L'unica soluzione che vedo, dal lato ISP, è quella del managed firewall
centralizzato attivo per default.
Ma ovviamente se è un add on nessuno sarà incentivato ad usarlo...
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 perche' gli hai buttato via la loro mail senza oggetto :-)
Hmmm ...  ed usare qualcosa tipo
http://assp.sourceforge.net
 no eh ?!?

 della nuova legge pseudo antispam..
Tutti in questo momento sono interessati economicamente a eliminare gli 
hijackers, non solo perche' rubano risorse ma soprattutto perche'
allontanano il grande pubblico in disgusto da Internet, e la nuova legge 
_favorisce_ la loro eliminazione.  Il law enforcement negli USA ha 
iniziato a lavorare in modo abbastanza serio, e mi pare che da questo 
punto di vista la strada sia in discesa.
Lo spam corporate protetto dalla nuova legge preme per "esplodere".
Se lo scenario che Steve, Ron e altri prospettano
[ 
http://www.spamhaus.org/news.lasso?article=150
  ,
 
http://groups.google.com/groups?selm=vs4nq8sihe1ca9%40corp.supernews.com
 ]
e' corretto, potremmo vedere nel 2004 una riduzione degli hijackers -
alcuni dei quali prenderanno l'abbronzatura a scacchi - e una netta
salita dello spam corporate da IP fissi, legale negli USA e illegale
in Europa, che non dovremmo avere difficolta' a bloccare.
Visto da quest'ottica il 2004 potrebbe non essere poi cosi' male.
furio ercolessi


ecco : poniamo che io abbia un IP pubblico statico proprio con loro,
e che magari un giorno vi sia chi blocca intere classi di IP, fra le quali
malauguratamente ci va a finire pure il mio.
Non e' possibile avere, oltre che delle black list, delle white list
in cui chi vuole si "autocertifica" dicendo di essere lui il responsabile
di quell ' IP e che da quell' IP non parte e non partira' mai spam ?

 134.76.161.219
[snip]
Secondo me occorre scrivere ad 
abuseat.org
 per fargli accettare
sottomissioni di campioni di spam.
Gabriele Polidori

 di quell ' IP e che da quell' IP non parte e non partira' mai spam ?
Non e' cosi' semplice.
Non bisogna pensare che lo scopo delle DNSBL sia esclusivamente 
quello di bloccare lo spam che sta circolando ora, in questo momento.
Certo, questo e' lo scopo primario e la ragione per cui molti le
adottano, e la percentuale di spam bloccato e' uno dei parametri 
di qualita' principali.
Chi lavora nella gestione delle blocking list "manuali" (parlo
di RBL, SBL, SPEWS, la quasi defunta Blackholes, ecc.) sa pero' sin
troppo bene che il vero motivo per cui il fenomeno e' cresciuto in
questa maniera e' determinato dal supporto che molti networks
hanno di fatto fornito agli spammers, in maniera del tutto irresponsabile.
E' grazie a loro, agli "ISP rogue", che ora siamo al punto in cui siamo.
I motivi per cui un ISP diventa rogue possono essere molteplici: 
aumento del fatturato; dirigenza corrotta (bustarelle); sfacelo da
crisi new economy (persone licenziate, nave allo sbando, nessuno a
cui gliene importi nulla); ecc.
Gli "ISP rogue" si presentano reiteratamente all'operatore di blocking
lists, che li osserva, li sonda, li punzecchia in molti modi per
imparare a conoscerli, a capire perche' la situazione degenera in
quella maniera, a cercare di arginarli.   Quando una situazione sembra 
"precipitare", l'operatore di DNSBL sa che e' futile inseguire gli 
spammers che stanno proliferando in quel network con listing "mirati", 
che ottengono come unico risultato il cambio di identita' e di IP
degli stessi spammers mentre se ne aggiungono di nuovi.
Per vedere un caso pratico in questo momento, si guardi per esempio
la "ricaduta" (era stata ripulita!) di Chinanet-Guandong
[ 
http://www.spamhaus.org/sbl/listings.lasso?isp=chinanet-gd
 ];
ma ovviamente anche Interbusiness e' uno di questi casi.
Allora c'e' un momento in cui l'operatore di DNSBL, mai a cuor 
leggero, prende la decisione di espandere un listing di una
situazione altamente problematica perche' lo ritiene di beneficio
per il futuro, cosi' come un genitore puo' rimproverare aspramente
e castigare il proprio figlio che ha fatto qualcosa di sbagliato.
E' questa in sostanza una richiesta di soccorso presentata ai
clienti di quell'ISP.  E' un "ci dispiace disturbarvi, ma ora
abbiamo _bisogno_ del vostro aiuto perche' il vostro ISP e' partito per 
la tangente e sta creando danni a tutto il mondo - per favore
rompetegli le scatole".  Purtroppo, in molti casi questo e' l'unico
sistema che funziona.
Allora venendo finalmente alla tua domanda: no, l'autocertificazione
di cui parli non serve affatto.  Gli IP da cui viene emesso spam
sono noti perfettamente, esiste una massa di metrica costantemente
monitorata e aggiornata.  Tuttavia se il numero di problemi di un
ISP e' alto e soprattutto e' in crescita [e questo lo si puo' vedere
ad esempio cercandolo in 
http://www.spamhaus.org/sbl/isp.lasso
 o
in news.admin.net-abuse.sightings ], questo e' un segnale chiaro 
che qualcosa in quell'ISP non sta funzionando a dovere e quindi in 
generale i suoi clienti sono in una situazione di rischio.  Questo lo si 
sa *molto prima* (mesi o anni) che partano le escalations, e una
eventuale escalation ti colpira' in modo intenzionale.
Evidentemente, chi realizza queste cose dovrebbe, saggiamente,
evitare di scegliere quegli ISP "per avere un futuro migliore".
furio ercolessi

 oggetto, inizio e fine del testo con
Ho notato che una eMail di quel tipo è stata spedita dal server 
webmessenger.it
, e da oggi provo a filtrarlo dall'header. Gli utenti 
comuni, non commerciali, usano 
webmessenger.it
?
-- 
http://midiquiz.altervista.org

 comuni, non commerciali, usano 
webmessenger.it
?
Che io sappia, no: probabilmente era una macchina abusata.

 (che da oggi e' risolta in 127.0.0.1 dai nostri dns)
Non ne sono sicurissimo ma credo che questa sia una vera ca**ata. Mi ricordo
che il famoso Blaster fece piu' danni del dovuto a causa proprio di una
manovra 'simile'.
Parliamone.
Mimmus

 costantemente.
Mmah, non sono del tutto d'accordo: nel futuro, credo che l'esclusione di IP
diventera' una pratica impossibile. Gia' adesso la quantita' di spam
bloccato dalle DNSBL e', almeno per me, solo una piccola parte; per il
resto, ci vorra' sempre maggiore 'intelligenza' e SpamAssassin, per il
momento fa il suo dovere:
Es.
SPAM Statistics for Nov 28:
3148             Clean
374              SpamAssassin
32               
cbl.abuseat.org
5                
dnsbl.sorbs.net
4                
sbl.spamhaus.org
4                
dnsbl.njabl.org
---------------------------------------------------
419 (19.14)     Total SPAM (Avg SpamAssassin score)
3567    Total
Certo qualche mail passa, ma, ad esempio, 4 su 60 nel week-end non sono poi
molte...
Stiamo a vedere...
Mimmo Viggiani (CS)

 trojan si può capire meglio  ?
No, sono casuali: servono a sviare chi filtra basandosi sulle checksum
dei campioni di spam gia' ottenuti (chi era, razor, per caso?)
-- 
*                 HappyCactus - Linux User #209744                 *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *


http://assp.sourceforge.net
 no eh ?!?
Un sistema del genere non regge ai nostri volumi....
-- 
Saluti,
Cataldo Cigliola

comuni, non commerciali, usano 
webmessenger.it
?
No... sono utenti business... manda gli header... 
-- 
Saluti,
Cataldo Cigliola

Parliamone.
dimmi....
-- 
Saluti,
Cataldo Cigliola

 dimmi....
Nei primi giorni dell'infezione di Blaster, per proteggere 
windowsupdate.com
dal ddos che il worm attivava verso tale sito, qualcuno penso' bene di far
risolvere 
windowsupdate.com
 in 127.0.0.1.
Il problema era che la routine del worm spoofava il source-address, con
l'effetto seguente:
- gli host infetti si ritrovavano a mandare pacchetti SYN a se stessi (porta
80)
- lo stack tcp/ip riceveva i pacchetti e rispondeva con un RST (se non c'era
niente in ascolto su quella porta) - questo e' cio' che molti hanno visto
sui firewall e scambiato per portscan da un indirizzo 127.0.0.1,
preoccupandosi molto
Non c'entra niente con il nostro discorso ma e' bene andarci piano con tali
manovre.
Mimmo

manovre.
Infatti... noi non l'abbiamo fatto all'epoca consci di quello che
sarebbe successo.... questo qui e' traffico web normalissimo...
Non c'entra, per l'appunto, nulla 
-- 
Saluti,
Cataldo Cigliola

preoccupandosi molto
Su una rete gestita correttamente gli access router li filtrano, perché
provenienti da 127.0.0.1. Con un provider serio pacchetti di questo
genere non entrano nè escono, quindi non ci sono problemi.


> L'unica soluzione che vedo, dal lato ISP, è quella del ...
Mi rendo conto della pesantezza della mia affermazione e della persona a cui
mi rivolgo, ma è davvero così delirante pensare di implementare una nuova
versione di protocollo SMTP che usi chiavi pubbliche e private per
verificare mittente e destinatario a livello di server ?
Certo, i tempi di implementazione saranno lunghi, ma prima o poi nessuno
accetterà più "email anonime" provenienti da account non verificati.
Avevo già visto in passato un progetto del genere ...
<BLAHBLAH>E l'anonimato ? E ..</BLABLAH>
Perdonate il candore....
-- 
Diesis

accetterà più "email anonime" provenienti da account non verificati.
L'unica soluzione e' che gli spammers vadano in galera....
Le soluzioni tecniche (per quanto sofisticate) possono solo arginare
(e a loro volta essere raggirate)  il problema... non risolverlo....
-- 
Saluti,
Cataldo Cigliola

verificare mittente e destinatario a livello di server ?
Non solo è delirante, ma è anche inutile.


normale :-)
Non ne sono sicuro. Ci sono parecchi ISP (anche molto grandi come BT
internet) che usano TLS sui propri mail server, al massimo sarebbe
necessario installare dei crypto accelerator.


 Un sistema del genere non regge ai nostri volumi....
Strano ... chi lo sta usando non ha esattamente
volumi email da ridere ... è vero che in parecchi
casi si tratta di servers multipli, ma per quanto ne
so ASSP ha dei limiti piuttosto alti... detto questo
l'idea sarebbe quella di filtrare su DNSBL e poi
rifiltrare il resto attraverso un filtro bayesiano o
simile per eliminare quello che passa
Ciao

simile per eliminare quello che passa
Infatti, allo scopo sto progettando un sistema su piu' livelli
hardware (blacklist, filtri header, filtri bayesiani, robetta varia
fatta in casa) utilizzando una infrastruttura basata su intel di
Fujitsu Siemens
http://www.fujitsu-siemens.com/rl/products/primergy/bx300.html
Ma non so se 
a) i costi saranno accettabili
b) il sistema sara' efficiente in termini di performance
c) il sistema sara' valido in termini di filtraggio
e sopratutto
d) ne vale davvero la pena di farsi un mazzo cosi' :-)
-- 
Saluti,
Cataldo Cigliola

 d) ne vale davvero la pena di farsi un mazzo cosi' :-)
Questo lo dovresti chiedere agli utenti email :-)
Ciao

 genere non entrano nè escono, quindi non ci sono problemi.
Verissimo, ma prova a farti un giro su Google e vedi quanta roba viene
fuori...
Buona giornata
Mimmo

 basato su servers multipli; 
Ehm, sorge il dubbio che tu non abbia visto il link che ha dato Cataldo..
[ 
http://www.fujitsu-siemens.com/rl/products/primergy/bx300.html
 ]
furio

 Non ne sono sicuro. Ci sono parecchi ISP (anche molto grandi come BT
Infatti, era qui che volevo arrivare.
Come per ipsec si possono mettere le chiavi di autenticazione nei dns per
l'encryption opportunistica, si potrebbe pensare ad una soluzione simile per
i singoli indirizzi legati ad un dominio. Non è la stessa cosa, ma ci si
avvicina.
Certo la galera sarebbe meglio, ma si sa..... ;)
-- 
Diesis

 Non solo è delirante, ma è anche inutile.
A meno di utilizzare un sistema per aggirare il tutto, non risolverebbe il
problema di avere la certezza del mittente ?
Non mi sembra una certezza da poco poter identificare con certezza LEGALE
chi ha mandato una email, ed inoltre, la falsificazione di un'identità
legata ad una chiave privata (magari certificata da qualche ente)
costituirebbe un'altro reato da commettere da parte dello spammer.
Così la galera sarebbe ancor più probabile .....
-- 
Diesis

 un certo tipo di spam che fino ad adesso si era risciti a fermare.... 
Purtroppo i spammers si sono fatti piu furbi. Da 6 o 7 mesi la 
maggiorparte dello spam (circa 70-80%%) proviene da proxies/zombies, e 
di questi ultimi la maggior parte (circa 70%) sono infetti da virus 
(SoBig, Fizzer, MiMail, etc.). Quindi la maggior parte di spam oggi 
viene da computers infetti da virus. Ovviamente, sono i spammers stessi 
che da molti mesi stanno creando e mandando i virus.
Questo ha creato un mercato enorme in cui i spammers si vendono a 
vicenda liste di zombies freschi in grandi quantita. Questo da uno dei 
'clubs' segreti dei spammers:
   FRESH PROXY SERVICE
   3,000 fresh proxies a day @ $220 a week
   5,000 fresh proxies a day @ $320 a week
   5,000 fresh proxies a day @ $1,000 a month
Il problema e che non solo usano proxies troppo freschi per essere gia 
su una blocklist, ma in pui usano lo stesso proxy solo un paio di volte. 
In piu, lo spamware che usano adesso prima di mandare vede se l'ip del 
proxy e sul SBL e altri blocklists (CBL), e se e gia listato, lo 
spamware scarta il proxy e prova con il prossimo.
A Spamhaus stiamo mettendo insieme una soluzione che dovrebbe vedere 
molto piu spam bloccato dal SBL, ma dato che quasi tutti questi spammers 
sono American Boys, c'e anche la possibilita che la nuova legge 
Americana (CAN SPAM, che come legge fa schifo) avra l'effeto di 
eliminare un bel po di proxy spam dato che chi lo manda puo finire in 
galera.
Esiste gia pero un ottimo metodo per bloccare spams provenienti da 
proxies/zombies troppe freschi per essere gia su una blocklist, consiste 
nel analizare l'IP del sito publicizato nello spam. Solitamente l'IP dei 
siti publicizati sono gia da tempo sul SBL.
-- 
  Steve Linford
  The Spamhaus Project
 
http://www.spamhaus.org

costituirebbe un'altro reato da commettere da parte dello spammer.
Abbiamo già verificato con i dialer ActiveX quanto sono utili i
certificati.


quanto sono utili i certificati.
Ok.
-- 
Diesis

Interessantissimo... quindi addio black-list 'classiche'?
Mimmo Viggiani

 [ 
http://www.fujitsu-siemens.com/rl/products/primergy/bx300.html
 ]
Hm ... no in effetti non lo avevo visto ... cmq un sistema del genere
(blades) permetterebbe di mettere in piedi un cluster (beowulf o
condor o ...) che non dovrebbe avere problemi quanto a volumi
di emails trattate; detto questo, il mio suggerimento è ... prima di
riscriverti tutto "in casa" ... prova ad usare quello che c'è (ASSP
ecc...) magari mettendo in piedi un "testbench" in questo modo
avresti la possibilità di valutare la rispondenza o meno del s/w
ai tuoi requisiti (ed i requisiti h/w necessari)
Ultima nota (anche se un'attimo OT) occhio ai blades ... se non
sono raffreddati/alimentati a regola d'arte diventa un'inferno
gestirli ... e la spesa aumenta in maniera esponenziale !