Newsgroup: it.comp.sicurezza.varie
Titolo: failure notice


User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.17)
Gecko/20110414 Thunderbird/3.1.10
MIME-Version: 1.0
To: Mittente <mittente>
CC: AltroCC <altroCC>
Subject: Re: Oggetto del messaggio
References: <CB13F45A.10B49%mittente>
In-Reply-To: <CB13F45A.10B49%mittente>
Content-Type: text/plain; charset=ISO-8859-1
Content-Transfer-Encoding: 7bit
X-Spam-Rating: 
smtp3.ad.aruba.it
 1.6.2 0/1000/N
X-Spam-Rating: 
smtplqs01.aruba.it
 1.6.2 0/1000/N
 
Il 12/18/2011 07:49 PM, Mittente scrisse:
testo della mia risposta.
 
****
Ho fatto lo sforzo (inutile? :-) ) di offuscare i vari indirizzi.
Uso come smtp server un account email che ho con aruba.
Nell'email in questione stavo usando un account di posta di fastweb come
mittente.
L'email 
maise...@virgilio.it
 (offuscata) non la ho mai sentita, non
era tra i destinatari del messaggio a cui ho risposto, non e' tra i
destinatari del mio messaggio di risposta (nella posta inviata).
 
Uso thunderbird su slackware.
 
Cosa potrebbe essere successo?
 
grazie
	maxx

 Cosa potrebbe essere successo?
 
  SPAM backscatter.
 
 
 
  Ciao,
 
 
 
-- 
Alessandro Selli 
http://alessandro.route-add.net
 
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

   SPAM backscatter.
 
C'e' sempre qualcosa di nuovo da imparare...
Pero' mi rimane un dubbio. Come puo' la notifica contenere cio' che
effettivamente io ho scritto nel messaggio?
Da quel che ho capito del fenomeno, in genere il backscattering implica
messaggi con mittente faked. Ma forse ho capito male...
 
grazie
	maxx

emmexx ha scritto:

  Potrebbe essere che il destinatario abbia il PC infettato.  Ogni volta
che riceve e/o che invia messaggi di posta elettronica, il
trojan/virus/worm/quellocheè spedisce un certo numero di messaggi a
destinatari contenuti in un suo DB oppure generati sul momento, usando
il testo di un messaggio autentico e alcune delle sue intestazioni per
eludere i controlli antispam baynesiani.


 eludere i controlli antispam baynesiani.
 
Oppure può essere che il destinatario del messaggio originale abbia a
sua volta il dominio di posta su Aruba e un forward verso
maise...@virgilio.it
 
 ;-)
 
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 

 messaggi con mittente faked. Ma forse ho capito male...
 
Uno dei destinatari ha attivo un servizio di inoltro verso quello
che a te risulta sconosciuto.
 
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net
 

  ;-)
 
  Ah si, certo.  Avevo erroneamente inteso che l'indirizzo del
destinatario non esistesse, mentre emmexx ha solo scritto che lui non lo
conosce.


 User unknown
Giving up on 212.48.20.23.
 
  O il server del destinatario ha problemi, oppure sta facendo il
forward verso un indirizzo che non esiste (più).


 conosce.
 
A spanne sono vere entrambe: lui scrive all'indirizzo X, che redirige
verso Y.
 
Y non esiste, ergo lui riceve NDN per l'invio verso Y che non ha mai
fatto...
 
 
Sic et simpliciter ;-)


  ;-)
 
Lo escluderei. Conosco entrambi i destinatari del mio messaggio. Uno ha
fastweb e il forward non sa nemmeno che esiste. E' anche improbabile che
sia infetto perche' ha un mac (ho scritto improbabile).
L'altro destinatario usa gmail, non credo abbai alcun forward, anche
perche' gli scrivo abbastanza regolarmente.
 
grazie
	maxx

 che a te risulta sconosciuto.
 
Come ho gia' scritto, questa eventualita' mi pare abbastanza remota se
faccio un'analisi del problema con tecniche di social engineering.
Conosco entrambi i destinatari anche da un punto di vista informatico.
 
grazie
	maxx

 destinatari del mio messaggio di risposta (nella posta inviata).
 
Faccio un'ipotesi, supponiamo che tu abbia inviato la tua email
all'indirizzo 
pi...@qualcosa.it
 ora, supponiamo che chi ha/aveva quella
mailbox l'abbia impostata in modo che tutti i messaggi in arrivo sulla
stessa vengano automaticamente inoltrati a 
maise...@virgilio.it
 a
questo punto diciamo che "maisentito" è una casella che non esiste più
e che il titolare della mailbox "pippo" abbia dimenticato di aggiornare
il forward ... prova a pensarci e capirai cosa succederebbe ... e cosa
probabilmente è successo :)
 

  ;-)
 
stessa ipotesi che ho fatto; del resto visto che nel messaggio NDR è
contenuto l'effettivo messaggio inviato, escluderei l'ipotesi del
backscatter
 

 Conosco entrambi i destinatari anche da un punto di vista informatico.
 
Come ha scritto Skull... supponiamo che il destinatario avesse a suo
tempo il proprio dominio (o anche solo MX) ospitato su aruba e che oggi
sia passato ad altro hoster; se aruba NON ha aggiornato i DNS ed i
mailservers, continuerà a credere che il server MX per il dominio del
destinatario sia ... il "proprio" al quale quindi invierà la mail; ora,
il mailserver di aruba contiene la "vecchia configurazione" messa in
piedi dall'utente in questione che prevede il forward verso l'indirizzo
sconosciuto... BANG
 

 mail; ora, il mailserver di aruba contiene la "vecchia
 
Per verificare la cosa basterebbe effettuare un lookup verso il DNS di
aruba richiedendo i records MX per il dominio del destinatario
 
 

 
 
Direi che non e' questo il caso. Non mi risulta che gli interessati
avessero un dominio, men che meno su aruba.
 
Ha senso ipotizzare un momentaneo errore di configurazione del server
smtp di aruba?
Tutte le ipotesi fatte mi sembrano infatti implicare che il fenomeno
dovrebbe avvenire ad ogni invio di messaggi a quei destinatari. Ma il
msg di failure notice si e' verificato un'unica volta.
 
grazie
	maxx

 msg di failure notice si e' verificato un'unica volta.
 
Giusto per smentirmi e' successo di nuovo poco fa.
 
Il mio messaggio di risposta era indirizzato a 2 persone. Una delle 2,
quella in cc era il destinatario del messaggio da cui e' scaturito il
thread.
L'indirizzo sconosciuto contenuto nel messaggio d'errore e' diverso dal
precedente, chiamiamolo 
maise...@virgilio.it
 
 
Ho chiesto al destinatario se conosce quei 2 indirizzi. Vi faro' sapere.
 
ciao
	maxx

 Ho chiesto al destinatario se conosce quei 2 indirizzi. Vi faro' sapere.
 
Non li ha mai sentiti.
 
ciao
	maxx

 Giusto per smentirmi e' successo di nuovo poco fa.
 
Come ho scritto, prova ad avviare qualche DNS lookup
verso i DNS di aruba richiedendo gli indirizzi MX per il
dominio destinazione; effettua il controllo su tutti i DNS
di aruba; controlla se gli MX ritornati sono diversi da
quelli "reali" e poi prova a testare i vari MX ritornati e 
vedi se accettano email per quel dominio 
 
certo che conoscere il dominio destinazione sarebbe
utile; quantomeno si potrebbe fare qualche test
 

Il 12/27/2011 11:18 AM, ObiWan scrisse:

Qui ho bisogno d'aiuto perche' si va un po' oltre le mie conoscenze...
Innanzitutto non capisco cosa intendi per dominio destinazione.
Riepilogo qui i vari domini coinvolti:
- Mittente (io): 
fastwebnet.it
 
- smtp server: aruba (mio dominio 
emmexx.it
)
- destinatario: 
bicitalia.org
 o 
tuttinbici.org
 (stessa persona, 2
indirizzi diversi)
 
Ho provato a fare un dig 
emmexx.it
 MX ma come faccio a verificare se
sono diversi da quelli reali?
 
grazie
	maxx
 

 sono diversi da quelli reali?
 
prima di tutto, se hai un host su aruba, potresti verificare quali siano i
DNS resolvers usati dallo stesso; in qualsiasi caso, per interrogare un
dato server ti basta
 
dig query type @host
 
ad esempio, volendo interrogare uno dei public resolvers di google
relativamente agli MX di 
yahoo.com
 il comando sarebbe
 
dig 
yahoo.com
 MX @
8.8.8.8
 
 
nel tuo caso, dovresti usare i vari IP dei resolvers di aruba al posto
di 8.8.8.8 e la query sarebbe relativa ad uno dei domini "problematici"