Newsgroup: it.comp.sicurezza.varie
Titolo: Sven/Swen/Vattelapesca

Per chi fosse interessato a filtrarlo, ho fatto una piccola ricerchina, 
e il subject viene generato a random seguendo uno di questi due pattern 
(righe lunghe):
(Current |Newest |Last |New |Latest )?(Net |Network |Microsoft |Internet )?(Critical |Security )?(Patch|Update|Pack|Upgrade)|(FW: |FWD: |RE: )?(Check |Check out |Prove |Taste |Try |Try on |Look at|Take a look at |See |Watch |Use |Apply |Install )?(these |the |that |this )(correction |corrective |security |critical |internet |important )(pack|package|patch|update)((for (Microsoft |MS )?(Windows|Internet Explorer))?((which |that )(came |comes ))?from (the )?(M$|Microsoft|MS)( Corporation| Corp\.))
((Undelivered |Undeliverable |Returned )?(Mail|Message)(:( Returned To (Sender|Mailer)|))?|(Failure |Abort |Error |Bug )?(Notice|Report|Announcement|Message|Advice|Letter)?) [1]
che, tradotti per essere un po' piů adatti come filtri, diventano:
^.*(((Current|Newest|Last|New|Latest) +)?((Net|Network|Microsoft|Internet) +)?((Critical|Security) +)?(Patch|Update|Pack|Upgrade)|((FW:|FWD:|RE:) +)?((Check|Check out|Prove|Taste|Try|Try on|Look at|Take a look at|See|Watch|Use|Apply|Install) +)?((these|the|that|this) +)((correction|corrective|security|critical|internet|important) +)(pack|package|patch|update)((for ((Microsoft|MS) +)?((Windows|Internet Explorer) +))?(((which|that) +)((came|comes) +))?from (the +)?(M$|Microsoft|MS)( +(Corporation|Corp\.)))).*$
^.*(((Undelivered|Undeliverable|Returned) +)?(Mail|Message)(:( +Returned +To +(Sender|Mailer)|))?|((Failure|Abort|Error|Bug) +)?(Notice|Report|Announcement|Message|Advice|Letter)?).*$
Le dimensioni possono essere attorno ai 140-150 KB [2], o 13-14 KB, con 
un header extra (X-ID:, contenente un grosso numero casuale), il che lo 
rende facilissimo da filtrare senza rischio di falsi positivi. Inoltre, 
quella grandissima testa di cazzo che l'ha scritto non ha nemmeno avuto 
la compiacenza di leggersi l'RFC 822, e come risultato finale le e-mail 
generate dal suo aborto sono fuori standard, e marcate da alcuni server 
con header X-RBL-Warning: di tipo SPAMHEADERS e BADHEADERS - altro modo 
per individuarlo e filtrarlo
Sperando che all'autore esplodano tutte le emorroidi in questo istante, 
e che le informazioni di questo post vi siano state utili, vi saluto
[1] sě, il subject puň anche essere vuoto. Fantastico algoritmo
[2] testa di cazzo, UPX č stato pensato per i tuoi patetici worm. Usalo
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.3. C, C++ and ASM developers
                               and beta testers are welcome!

 ha scritto nel messaggio
news:Xns93FC2691...@127.0.0.1...

---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.518 / Virus Database: 316 - Release Date: 11/09/2003

 con header X-RBL-Warning: di tipo SPAMHEADERS e BADHEADERS
The worm may use an incorrect MIME Header exploit, mentioned
in Microsoft Security Bulletin MS01-020, to ensure that it is automatically
executed when the mail is viewed.
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
bulletin/MS01-020.asp
Riccardo

 č una BUFALA e non MICROSOFT.... (Ammesso che Microsoft non sia una bufala
...credo che tu di quello che sta accadendo e del post di Juliet abbia
capito solo le parole "testa di cazzo".
auguri
Ass. Raggio Verde

...



Inoltre: chi ha programmi di posta o server non citati qui, aggiunga le 
informazioni relative in risposta a questo post, che ne facciamo un bel 
digest e ci spammiamo it.comp.*
[1] richiesto Eudora 5 o superiore, in modalità Sponsored o Paid
[2] per fare prove, sostituire con un'azione innocua, come Make Label
[3] SMTP fa schifo


 filtro?
vedi la mia auto-risposta. Se il programma di posta elettronica che usi 
non č contemplato nel mio messaggio, dimmi qual č, e proverň a dirti di 
piů


 The worm may use an incorrect MIME Header exploit
non c'entra, RFC 822 è di 11 anni precedente a MIME. Credo si tratti di 
header standard come "Subject", "From" e "To" scritti in maiuscolo


 ^.* [...] .*$
horrore. Così filtra troppo. Cambiare i ".*" con " *"


                                and beta testers are welcome!
Juliet, perdonami, ma che stai dicendo?
Fammiti rivelare tutto: il 99% dei cristiani (e non) che ti legge non
capisce una benemerita mazza dei tuoi script.
Indi per cui: io ho explorer (penso 6, comunque aggiornato), quindi fai
presto e spiegami per bene quello che devo fare, parlando potabile!
Sto scherzando, non offenderti  ;)

 potabile!
cosa devi fare? principalmente aspettare, ed evitare di diventare parte 
del problema. Tu non sei a rischio diretto, quindi non aver fretta


# mancano: header aggiunti da SpamAssassin. Qualcuno puņ aiutarmi?
 Intendi questi? Primo caso, positivo, secondo negativo. 
 Positivo e negativo come spam, che come virus e' il contrario...
	pgg
X-Spam-Flag: YES
X-Spam-Status: Yes, hits=14.2 required=5.0
	tests=CLICK_BELOW,FORGED_MUA_THEBAT,FORGED_YAHOO_RCVD,
	      FROM_NUM_AT_WEBMAIL,HTML_80_90,HTML_FONT_BIG,
	      HTML_FONT_COLOR_BLUE,HTML_FONT_COLOR_UNSAFE,
	      HTML_FONT_FACE_ODD,HTML_IMAGE_ONLY_02,HTML_IMAGE_RATIO_02,
	      HTML_LINK_CLICK_HERE,HTML_MESSAGE,MIME_HTML_ONLY,
	      MISSING_MIMEOLE,MISSING_OUTLOOK_NAME,REMOVE_PAGE
	version=2.55
X-Spam-Level: **************
X-Spam-Checker-Version: SpamAssassin 2.55 (1.174.2.19-2003-05-19-exp)
- - - - - - - - - - - - - - - - - - - - - - - - 
X-Spam-Status: No, hits=2.6 required=5.0
	tests=HTML_40_50,HTML_MESSAGE,HTML_RELAYING_FRAME,
	      MICROSOFT_EXECUTABLE,MIME_HTML_NO_CHARSET,MIME_HTML_ONLY,
	      MIME_SUSPECT_NAME
	version=2.55
X-Spam-Level: **
X-Spam-Checker-Version: SpamAssassin 2.55 (1.174.2.19-2003-05-19-exp)


Come detto prima sono proprio gli utenti finali ad essere a rischio diretto
e a contribuire maggiormente alla diffusione del Virus.


 
Ok grazie per la dritta, ma come si utilizza 'sto Hamster Classic??
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

che, tradotti per essere un po' più adatti come filtri, diventano:


 4.72 Come faccio ad impostare questo filtro?
Non è applicabile ad outlook, ne ad altri client di posta elettronica (a 
proposito, 4.72 è vecchiotto; che ne dici di aggiornarlo/cambiarlo?).

nonostante quello che potrebbe dire il mio nick, sono Juliet. Ah, quasi 
dimenticavo, Juliet ha scritto: 
[...]
Per tutti: non rispondete più a questo post. Sto scrivendo una FAQ, che 
si spera risponda a tutti i vostri dubbi. Presto sarà pronta per essere 
pubblicata, pazientate ancora un po'


E allora a cosa lo posso applicare?
Vincent Vega ha scritto nel messaggio ...


 Ok grazie per la dritta, ma come si utilizza 'sto Hamster Classic??
Si scarica, si legge il manuale, si installa e si usa. Eventualmente si
possono anche leggere le faq.
-- 
HappyCactus - Linux User #209744 - 
 
www.google.com
 - 
groups.google.com

 si sanno proteggere da soli
Allora traduco: il 99 % dei cristiani non gestiscono un mail server,
quindi non ci possono fare nulla.
Ti e' piu' chiaro ora?


 E allora a cosa lo posso applicare?
al server, ma non puoi.
Aggiorna quell'outlook, e' troppo vecchio e rischi di beccarti anche
swen, inoltre QUOTA.


 possono anche leggere le faq.
Nooo veramente? 'azzo ci voleva Aristotele per dire st'idiozia



'azzo, ci voleva Einstein per fare una domanda come la tua
Te lo installi, ti leggi la doc, se hai un problema specifico, fai una
domanda specifica, altrimenti riceverai solo pesci in faccia
[giustamente]
Banana, che non ha ancora capito perche` i "pesci in faccia".

 ... 'azzo ci voleva Aristotele per dire st'idiozia
Credo di no. In compenso ci vuole un "Ainstain" per scrivere
- 
www.google.it
e
- "hamster classic" download
nell'unica casella di testo che viene fuori...
La prossima volta trova qualcosa di piu' intelligente per farti
dare dell'idiota.
HTH
C:\>iao Angelo
P.S. Non dimenticarti di premere il tasto "Cerca con Google".


 P.S. Non dimenticarti di premere il tasto "Cerca con Google".
E se si sente fortunato?

 
- cominci a leggere "Italian language file and help for 1.3.22.0".
Mancava un pezzo...
HTH
C:\>iao Angelo


 E se si sente fortunato?
Becca anche la pagina giusta: e' la prima della lista :-)
C:\>iao Angelo


 - cominci a leggere "Italian language file and help for 1.3.22.0".
Qualcuno ha scritto... se questo č un uomo...



PS. se qualcuno conosce programmi equivalenti, ma un po' più leggeri, è 
il benvenuto


 Qualcuno ha scritto... se questo č un uomo...
Tu l'hai letto o citi il titolo solo "per sentito dire"? Se l'hai
letto comincia a preoccuparti: dalla citazione a sproposito e'
evidente che non hai capito un cazzo del suo contenuto.
Se ti va di continuare l'allegra discussione usa la mia m-box, sono un
po' sotto tiro di Sven/Swen/Vattelapesca, ma cerco di mantenere spazio
a sufficienza per le illuminanti mail che dovessero arrivarmi.
C:\>iao Angelo
P.S.
http://www.google.it/search?q=se+questo+e%27+un+uomo&ie=UTF-8&oe=UTF-8&hl=it&btnG=Cerca+con+Google&lr=
     leggiti un riassunto del libro prima di (continuare a) dire
     stronzate.



Grazie, delle FAQ veramente utili. Su una mailing list inglese ho trovato
anche questo consiglio: cercare nel Body della mail la stringa:
"ZGUuDQ0KJAAAAAAAAAB+i6hSOurGATrqxgE66sYBQfbKATvqxgG59sgBLerGAdL1zAEA6sYBWPXV"
(senza le virgolette) che compare quasi all'inizio dell'eseguibile in
formato MIME. Da quando l'ho messa come filtro per le mie mail non ho più
avuto neanche uno SWEN, però il mio mail provider non consente di ricevere
una notifica delle mail cancellate, quindi non ho modo di sapere se questa
regola dà anche falsi positivi.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 stringa:
per il filtraggio da POP3 il body non si può usare, purtroppo. Però, se 
mi dici che con certe web mail si può fare, posso aggiungerlo


 aggiungerlo 
Con le ultime versioni di Hamster si può filtrare anche sulle prime
righe del body.
Prima si setta in *Hamster.ini* [Setup]:
    mail.filter.toplines=100
(o di più, di default ne scarica solo 20).
La regola del *Mailfilt* avrà poi la sintassi:
    kill()  TOP:  {regex}
Ciao.
P.S. nel mio ho:
kill()  TOP:  "TVqQAAMA"
kill()  TOP:  {name\s?=.+\.(bat|com|exe|hta|lnk|pif|scr|shs|vbs)(?!\56)}
-- 
 /   _ _ | Xnews in italiano e Guida ai Menu
( (/( (/ | 
http://digilander.libero.it/xnews

 mi dici che con certe web mail si può fare, posso aggiungerlo
Si può sicuramente con libero e con katamail. Non so con altre. Ma
comunque ci tengo a sottolineare che non so assolutamente se la regola
possa dare falsi positivi.


 se mi dici che con certe web mail si può fare, posso aggiungerlo
Anche con POP3, se il server supporta il TOP; ovviamente ne vale
la pena solo se il testo da cercare è nelle prime parti della mail. :-)
Secondo la RFC 1939, il comando TOP è "optional", ma "STRONGLY
encouraged", e finora tutti i server che ho visto lo supportano.
Bye, G.

"ZGUuDQ0KJAAAAAAAAAB+i6hSOurGATrqxgE66sYBQfbKATvqxgG59sgBLerGAdL1zAEA6sYBWPXV"
Rilancio:
/dHRwOi8vd3cyLmZjZS52dXRici5jei9iaW4vY291bnRlc/ REJECT Swen virus/worm A
/dHA6Ly93dzIuZmNlLnZ1dGJyLmN6L2Jpbi9jb3VudG/    REJECT Swen virus/worm B
/cDovL3d3Mi5mY2UudnV0YnIuY3ovYmluL2NvdW50ZX/    REJECT Swen virus/worm C
Questi qui sopra non dovrebbero dare falsi positivi.
/^TVqQAAMAAAAEAAAA\/\/8AALgAAAAAAAAAQAAA/       REJECT Possible virus
Questa qua sopra e' piu' drastica e fa fuori (quasi) qualsiasi eseguibile,
ma basta inviarlo zippato.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 Supplemento per gli utenti di Hamster - regole per Mailfilt.hst
Grazieeeeeeeeeeeeee :-)
/me che in attesa di usare Postfix.........
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 197WU/1yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Leonardo
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Se tu fossi altro quanto sei bischero
	berresti dalle grondaie

 
Che te devo di', a me continuano ad arrivare segnalazioni dall'antivirus 
(mentre il vecchio sobig me lo sono levato dalle scatole con la regexp).


 
Mi fai un favore (tanto basta la parte del body_check)


 /cDovL3d3Mi5mY2UudnV0YnIuY3ovYmluL2NvdW50ZX/    REJECT Swen virus/worm C
Ma queste regole vanno in body_checks, no? Quindi le email virali
comunque vengono scaricate :-(
-- 
 ___ _            |
| _ (_)_ _  ___   |  "I sold a quart of blood and
|  _/ | ' \/ _ \  |   bought a half a pint of scotch"
|_| |_|_||_\___/  |       Tom Waits

 
Se guardi l'inizio del thread si parlava di regole per body_checks:
 >Grazie, delle FAQ veramente utili. Su una mailing list inglese ho trovato
 >>anche questo consiglio: cercare nel Body della mail la stringa:
 >>
 >>"ZGUuDQ0KJAAAAAAAAAB+i6hSOurGATrqxgE66sYBQfbKATvqxgG59sgBLerGAdL1zAEA6sYBWPXV"
Poi ho controllato e nel mime ci sono effettivamente quelle stringe, ora 
devo capire perchè le ignora


 devo capire perchè le ignora
Quando uno è una fava: non avevo alzato il limite di body_checks :-((((


 e' qualcosa di marrone e grosso.. E' PROPRIO LUI: il Profeta fesso !
...ma ROTFL!
Ma sei veramente uno spasso!!!
=;D
ciao
Momo

 piu' di questo non so come aiutarti.
Potresti fare questo favore anche a me? Sono ancora una schiappa con
Postfix e mi sarebbe di aiuto analizzare delle configurazioni già fatte.
Grazie! :-)
-- 
 ___ _            |
| _ (_)_ _  ___   |  "There ain't no devil,
|  _/ | ' \/ _ \  |   there's just god when he's drunk"


 righe del body.
Le ultime, ma da quali di preciso? :-)
/me integrante FAQ.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 201WU/1yrs now on Athlon 2.2+ :-)


 Le ultime, ma da quali di preciso? :-)
Da Changes_en.txt:
    V2.0.2.0 (04/16/2003) - Mailfilt.hst {TGL} 
      [8<]
      - New: Virtual header-field "TOP:" allows rules to test the
      first lines of the body of the mail (see setting "toplines"). 
      [8<]
Ciao.


 /me integrante FAQ.
ferrrmo lì! ho sudato sangue per scrivere quella FAQ in DocBook, quindi 
mi aspetto che tu subisca altrettanto :-P O che mi mandi un'e-mail dopo 
le nove di sera (prima non posso connettermi, e Swen spadroneggia), chè 
ne discutiamo (dato che *finalmente* ho di nuovo del tempo libero)


 ne discutiamo (dato che *finalmente* ho di nuovo del tempo libero)
O cacchio io pensavo che mi chiedessi semplicemente spazio sul sito......
L'ho gia' messo come ho scritto su un msg di ieri (mandato prima di 
scaricare)....
Ok, ora mi connetto e accendo Miranda.
