Newsgroup: it.comp.sicurezza.varie
Titolo: che diamine vorrà quest'essere?

Che diamine vuole questo tizio?
Avete notizie in merito?
Nov  7 11:36:59 dns postfix/smtpd[6619]: connect from unknown[192.208.44.68]
Nov  7 11:36:59 dns postfix/smtpd[6286]: 9FD333DF0A7: 
client=
mc3-s14.bay6.hotmail.com
[65.54.163.213]
Nov  7 11:36:59 dns postfix/smtpd[6619]: disconnect from 
unknown[192.208.44.68]
Nov  7 11:37:00 dns postfix/smtpd[6342]: connect from unknown[192.208.44.68]
Nov  7 11:37:00 dns postfix/smtpd[6342]: disconnect from 
unknown[192.208.44.68]
Nov  7 11:37:00 dns postfix/smtpd[6234]: disconnect from unknown[66.62.33.23]
Nov  7 11:37:00 dns postfix/smtpd[6236]: connect from unknown[192.208.44.68]
Nov  7 11:37:00 dns postfix/smtpd[6236]: disconnect from 
unknown[192.208.44.68]
Nov  7 11:37:01 dns postfix/smtpd[6234]: connect from unknown[192.208.44.68]
Nov  7 11:37:01 dns postfix/smtpd[6234]: disconnect from 
unknown[192.208.44.68]
dns:~# whois 192.208.44.68
OrgName:    Digital Equipment Corporation
OrgID:      DEC-21
Address:    Network Systems Laboratory
Address:     505 Hamilton Avenue
City:       Palo Alto
StateProv:  CA
PostalCode: 94301
Country:    US
(xpost su icsv)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	(Seen on TV!!!)
	"Risparmiamo 5 centesimi a transazione!"

Nov  7 11:36:59 dns postfix/smtpd[6619]: connect from unknown[192.208.44.68]
La butto la': diciamo che hai un record DNS con tre contatti tutti sulla
stessa macchina.
Un robottino fa una query DNS e li trova tutti e tre, non si accorge che
e' sempre la stessa macchina, e si collega al server per vedere che cosa
c'e' installato sopra, tre volte.
Vedendo postfix, scappa spaventato; mentre se avesse visto un sendmail a
piggreòmezzi, un Exchange, un Merak vulnerabile, un ..., magari, avrebbe
proseguito con qualche palpata felpata allo scopo di valutarne l'uso per
fini di spam.
Ma tu hai Postfix e vedi solo tre contatti seguiti da fugone.
Che dici, pol'esse'?
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 Leonardo
Altro che 3 contatti, ho dovuto cassare quell'ip a livello di routing..
dns:~# zcat /var/log/mail.log.1.gz|grep  'connect from'|grep -c 192.208.44.68
205638
Ad occhio era uno spammer: ho visto un paio di tentativi di invio a la 
open proxy; la cosa che mi sembrava strana erano tutti quiu 
connect/disconnect in sequenza
Nov  6 19:42:22 dns postfix/smtpd[21354]: connect from unknown[192.208.44.68]
Nov  6 19:42:22 dns postfix/smtpd[21354]: disconnect from 
unknown[192.208.44.68]
Nov  6 19:42:23 dns postfix/smtpd[21363]: connect from unknown[192.208.44.68]
Nov  6 19:42:23 dns postfix/smtpd[21363]: disconnect from 
unknown[192.208.44.68]
Nov  6 19:42:23 dns postfix/smtpd[21354]: connect from unknown[192.208.44.68]
Nov  6 19:42:23 dns postfix/smtpd[21354]: disconnect from 
unknown[192.208.44.68]
Nov  6 19:42:24 dns postfix/smtpd[21541]: connect from unknown[192.208.44.68]
Nov  6 19:42:24 dns postfix/smtpd[21541]: disconnect from 
unknown[192.208.44.68]
Nov  6 19:42:24 dns postfix/smtpd[21363]: connect from unknown[192.208.44.68]
Nov  6 19:42:25 dns postfix/smtpd[21363]: disconnect from 
unknown[192.208.44.68]
Nov  6 19:42:25 dns postfix/smtpd[21541]: connect from unknown[192.208.44.68]


connect/disconnect in sequenza
In certe mailing list che frequento in via non ufficiale :-) si menzionano
alcuni strumenti utili alla libera impresa e comunicazione, destinati all'
aggiramento di quei provvedimenti liberticidi come RBL e simili.
Almeno due di questi funzionano con plugin in Visual Basic, ovvero il tool
li carica uno dopo l'altro dandogli l'IP (sospetto sia un unico tool, che,
nella versione 2, e' stato rimarchiato: lamerata iterativa).
Non li ho provati, ma non vorrei che OGNI PLUGIN facesse una connect() per
vedere se e' in grado di operare. Non penso che possa generare piu' di una
trentina di connect() (quanti MTA ci sono in giro?), ma e' un'ipotesi.
Cosi' a occhio e croce, un approccio del genere e' poco pratico, oltre che
per il trafficone, per la possibilita' che qualcuno metta in ascolto sulla
porta 25 un netcat in pipe da /dev/zero (molti plugin copiano il banner in
un buffer String, che per la verita' resiste quasi sempre). Pero' a questo
mondo anche i programmi meno pratici hanno degli aficionados, pare.
Leonardo stringentesi nelle spalle


 
Mi piacerebbe conoscerle queste mail


 ascolto sulla porta 25 un netcat in pipe da /dev/zero
O una tarpit (LaBrea, ad esempio)...
-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).