Newsgroup: it.comp.os.linux.sys
Titolo: Sobig.G e postfix

Oggi sono stato illuminato...
Sobig.G, per intenderci quello che tartassa i gioielli inviando mail con
messaggi in tedesco, ha sempre un nrcpt = 40.
Ovvero: manda sempre a 40 indiizzi scelti a caso le sue mail spammose.
in postfix il valore
smtpd_recipient_limit č di default a 1000.
Se lo si impostasse a smtpd_recipient_limit=39 il gioco sarebbe risolto.
lo spam non passerebbe.
Che ne pensate ?
E' estremamente difficile che un utente normale invii a >40 recipients
contemporaneamente suillo stesso server e nel caso lo facesse, comunque
avrebbe la notifica.
Per ridurre ancora di piů il problema, la soluzione č ad esempio patchare
amavis per bloccare quelle mail con nrcpt = 40.
Si limiterebbe ulteriormente la casistica...
Tannoiser spara la tua.
Max

 Che ne pensate ?
Che come misura temporanea, ha un senso. Del resto, questi virus, hanno
un tempo di expiring di qualche mese, per cui, vale la pena.
Ottimo "guess".
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Just because you're not paranoid, doesn't mean they aren't out to get you.

 Che ne pensate ?
Che dipende dalla realtà in cui lo si mette.
Da me 39 è decisamente troppo basso...
Se c'è chi se lo può permettere senza inficiare alcunchè, non vedo
perchè non usarlo...
Il fatto di farlo fare ad amavisd come "match" mi vede contrario, però...
Nel primo caso puoi assurgere a policy dell'MTA (non accettiamo più di X
destinatari in copia per mail), nel secondo caso no (vai a spiegare agli
utenti perchè con 41 destinatari passa e con 40 no...
-- 
The Skull says:
A Linux machine! Because an (i386|ppc|alpha|PA-RISC)
is a terrible thing to waste!

 Che ne pensate ?
non so gli altri ma... driiiin ...
eh, guarda te. neanche fai la modifica che c'e' gia' un cliente che
chiama perche' non riesce a inoltrare le sue e-mail ai 100 amici come
aveva fatto fino a 10 minuti fa...
-- 
Ciao, Manuel
I veri pervertiti sono coloro che reprimono i loro istinti sessuali
invece che viverli liberamente.
		-- Tinto Brass

 writes:
C> E' estremamente difficile che un utente normale invii a >40 recipients
C> contemporaneamente suillo stesso server e nel caso lo facesse, comunque
C> avrebbe la notifica.
Eh,  magari... di  utenti cosi`  (ossia con  liste di  distribuzione con
parecchie decine di indirizzi) ne ho piu` di un paio; una in particolare
mi telefona in  media due/tre volte al giorno per  problemi con la posta
che sono  sempre, in realta`, problemi  di accensione del  cervello e di
assoluta incompatibilita` con il computer: se ci metto pure il limite di
39 utenti faccio prima a suicidarmi...
Inoltre puoi star sicuro che  uscirebbe subito una versione di Sobig con
nrcpt random...
BTW, facendo un po' di statistiche  con i log arretrati ho notato che da
quando ho  cominciato ad  usare estensivamente le  DNSRBL c'e`  stato un
calo  drastico anche  dei virus  segnalati da  Amavis/clamav  (parlo dei
virus "non  eseguibili", dato che quelli "eseguibili"  sono sempre stati
bloccati  direttamente  da  Postfix/mime_header_checks): vorrebbe  forse
dire che gli spammer professionisti sono anche "untori" ? Oppure uno che
diffonde virus inconsapevolmente viene "catalogato" come spammer ? Mi sa
che devo dedicare un po' di tempo alla lettura dei siti di DNSRBL...
Saluti,
Luca Polo.
-- 
Luca...@gest.unipd.it
 --- 
http://www.gest.unipd.it/~jake
----------------------------------------------------------
One Ping to rule them all. One Ping to find them.
One Ping to bring down them all.
And in the darkness crash them.         [The Lord of the Pings]

 Luca Polo.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 che devo dedicare un po' di tempo alla lettura dei siti di DNSRBL...
Il fatto, molto piů semplicemente, č che il 90% dei worm piů recenti
sono anche trojan al servizio di spammer professionisti.
Segando via i range di ip dinamici (dove č piů frequente la presenza di
macchine infette) che effettuano direct-to-MX, seghi via anche una
grossissima fetta delle sorgenti di virus, per ovvie ragioni...
Hola...


 aveva fatto fino a 10 minuti fa...
Beh...
Credo che sia comunque buona norma sacrificare un altri IP per un MTA...
mi spiego meglio.
Supponiamo che io sia un ISP e che gestisca 10mila utenti.
Sti utenti hanno ovviamente 10mila caselle di posta.
Per ricevere posta, ovvero come record MX, listo il server A che ha delle
opzioni particolarmente strette.
Per permettere ai miei utonti di inviare, invece, gli fornisco il server B,
magari sulla stessa macchina, che ha impostazioni totalmente differenti, a
cominciae dalle my_networks e dalle rbl che a questo punto non sarebbero
così necessarie. Il secondo potrebbe avere anche SASL etccc...
Entrambi i demoni di postfix potrebbero girare senza problemi sulla stessa
macchina, basta che abbia 2 ip differenti (a meno che non si voglia fornire
un SMTP dedicato su porta differente, che comunque non è una idea
sbagliata.
Credo che comunque impostare una policy temporanea (nrcpt max = 39) sia una
cosa buona in periodi come questo.
Per gli utonti, comunque, basterebbe mandare più mail eliminando un pò di
indirizzi.. poca fatica in più per avere un servizio migliore.
Sono dell'idea che limitare (non è un limite vero e proprio) o mettere
comunque dei vincoli sia una cosa che gli ISP, soprattutto i maggiori,
dovrebbero fare.
Se tutti i servers usassero RBL decenti e se fossero manutenuti in maniera
adeguata, sono sicuro che gli ISP spenderebbero meno soldi in hardware e
storage, consuberebbeo meno banda e sti cavolo di virus che si diffondono
via posta avrebbero molte meno probabilità di diffondersi...
Tornando al discorso delle RBL, io filtro gli IP dinamici da un bel pò...
Ciò nonostante mi arrivano un sacco di queste mail in tedesco.
Da ieri le fonti più diffuse sono giapponesi, cinesi e coreane, e ciò vuol
dire che il virus è arrivato anche li...
Ho l'impressione che le RBL di cui abbiamo parlato nei giorni scorsi non
coprano quei range con altrettanta efficacia.
Max
P.S.: Il primo che mi chiama dicendo che non può mandare una mail a 100
persone gli rispondo di non abusare del servizio di posta... 100 recipients
viene considerato dal server come spam quindi si fotte.

 writes:
S> Il fatto, molto più semplicemente, è che il 90% dei worm più recenti
S> sono anche trojan al servizio di spammer professionisti.
Quindi, appunto, gli spammer *sono* anche untori...
S> Segando via i range di ip dinamici (dove è più frequente la presenza
S> di macchine infette) che effettuano direct-to-MX, seghi via anche una
S> grossissima fetta delle sorgenti di virus, per ovvie ragioni...
Vero, non avevo pensato agli  utonti casalinghi (con la tipica "click on
everything attitude") e ai relativi IP dinamici...
Lo  *sapevo* che  non dovevo  ragionare su  certe cose  prima  del terzo
caffe'...


 Oggi sono stato illuminato...
E mi spengo pure !!!
Sta chiavica di trojan modifica il nrcpt...
 se lo setto a max=39 lui lo manda a 39 persone.
 Se lo setto a max=38 lui lo manda a 38....
Idea miseramente fallita... 
MAx