Newsgroup: it.comp.macintosh
Titolo: Spam su libero: beccato (forse!)

Ho fatto la prova con tcpdump al lancio della connessione adsl su libero,
senza attivare programmi di posta o qualsiasi altra applicazione di rete.
Sorpresa! (si fa per dire)
Dopo il normale scambio di messaggi per stabilire la connessione, ecco una
richiesta verso
adsl-210-44.37-151.net24.it.2913
da parte di un host polacco:
staticline635.toya.net.pl.csdmbase
seguito da un'eco di un magic number
Da PPP monitor rilevo invio di dati verso e poi dal mio computer
Poi è arrivata una richiesta da parte di un server francese:
atoulouse-105-1-22-85.w81-49.abo.wanadoo.fr.3209
seguita da un magic number e da altre 3 richieste da parte dello stesso
server
Da PPP monitor rilevo invio di dati verso e poi dal mio computer
Poi una richiesta da un server USA (apparentemente):
151.5.128.134 > 
all-systems.mcast.net
: igmp query v2 [tos 0x38] [ttl 1]
seguita da un ulteriore magic number
A questo punto, ho chiuso la connessione prima di inviare ulteriori dati in
linea.
Sembrerebbe quindi che il server di Libero venga usato come relay da parte
di host esterni, che usano la connessione prima per inviare dati sul
computer dell'utente per poi reinviare gli stessi dati verso il mailer di
Libero usando i privilegi di accesso dell'ignaro malcapitato.
Niente virus sul computer locale, dunque, ma un bel "buco" nella sicurezza
dei server di Libero.
Speriamo che stavolta sia quella buona per capire il problema...
Saludos
Germano il Gatto Grigio
--------------------------------
Inviato via 
http://usenet.libero.it

 dei server di Libero.
mmm
perdona ma non l'ho mica capita
-- 
ciao
chris

 perdona ma non l'ho mica capita
Succede questo:
1 - Faccio partire la connessione verso Libero
2 - Un host esterno usa questa connessione per scaricare sul mio computer il
testo di un'email di spam
3 - L'email viene rimandata dal mio computer verso il server di posta di
Libero, usando la mia connessione e il mio account
4 - Il server di posta scambia questo messaggio come un mio normale
messaggio di posta in uscita e lo manda
Il passo 2 può avvenire soltanto se sul server di Libero è presente un
qualcosa (trojan? worm? virus?) che, non appena rileva l'apertura di un
nuovo collegamento, attiva tutto il giro.
In pratica, il mio computer e il server di posta di Libero vengono usati per
far "rimbalzare" messaggi di spam creati altrove, tramutandoli verso la rete
in messaggi del tutto identici a quelli inviati da me. A chi riceve il
messaggio sembra che il mittente sia io, e se fa "reply" il messaggio di
risposta arriva proprio a me.
Un modo per intasare la rete e per far entrare nelle black list un bel tot
di indirizzi in realtà "innocenti".
Il fatto che questo comportamento, almeno su questo ng, sia stato segnalato
quasi esclusivamente da utenti del servizio di Libero fa pensare che - o i
server di Libero sono stati infettati - o qualcuno ha trovato il modo di
"bucare" le protezioni dei server e usare impunemente i servizi di Libero.
In ogni caso, il buco di sicurezza non è sul mio computer (esente da virus,
ho eseguito più volte la scansione) ma sui server stessi di Libero.


 ho eseguito piů volte la scansione) ma sui server stessi di Libero.
mi pare strano, ma non posso dirlo con certezza
-- 
ciao
chris

 no, questo avviene se il tuo computer e' "bacato", almeno, dovrebbe
No, non necessariamente: tramite connessione, un programma-virus lato server
potrebbe:
- scaricare un contenuto sul mio computer (es. in un'area temporanea),
magari già formattato con i campi subject, to, cc e body del messaggio:
questo spiegherebbe il download che vedo prima dell'upload: basta una
transazione simile al put di ftp
- richiedere il semplice ricaricamento dello stesso contenuto (senza
attivare alcun mailer sul mio computer): basta una transazione simile al get
di ftp - questo spiegherebbe l'upload - e mandarlo in pipe verso il processo
smtp, che a quel punto utilizza i dati del mio account (soprattutto lo user)
per riempire solo i campi From: e Reply-to:. Risultato: un messaggio e-mail
in tutto e per tutto simile ai messaggi "intenzionali" inviati via client di
posta
- cancellare il dato incriminato dal mio computer (transazione simile al del
di ftp).
Nota: questa sequenza torna con le tre richieste emesse verso il mio
computer dal server francese.
Altro punto: sul mio computer (OS X) NAV non ha trovato nulla (definizioni
virus aggiornate al 1. maggio 2003) né io ho scaricato cose strane dalla
rete.
Altro punto: ho l'abitudine di scaricare le mail e leggerle a collegamento
disattivato per aggirare i beacon - le mail di spam le cancello senza
nemmeno aprirle o addirittura prima di scaricarle (tramite web mail) e non
scambio documenti in rete.
Mettendo insieme tutto quanto sopra, ho dei serissimi dubbi che il mio
computer sia bacato.
Il fatto che quanto raccontato da me e da altri ha come elemento comune
l'utilizzo dei server di Libero è un ulteriore elemento sospetto a favore
dell'ipotesi di un problema su Libero.


 dell'ipotesi di un problema su Libero.
 
 o forse un virus che ancora non si conosce.
 google dice nulla?
-- 
Franco (togli TOGLIMI se vuoi rispondermi)
"la guerra rimane / nel buco di un millennio speso a riparare ogni
frontiera artificiale / nell'odio sceso dentro le coscienze umane / 
la guerra chiede sempre il conto a chi rimane / e oggi faccio il mio
dovere: il sabotatore"				    Assalti Frontali

 sospetto a favore dell'ipotesi di un problema su Libero.
Magari una falla di sicurezza, ma l'ipotesi che fai tu è davvero ai
limiti della possibilità informatica.
--
p.bes
PC Action
vice caporedattore - deputy editor

 - scaricare un contenuto sul mio computer (es. in un'area temporanea),
...
perdona ma non mi torna
ripeto, professo le mie basse conoscenze, ma se il mio computer e'
"chiuso" correttamente non vedo come possa accadere quanto dici
-- 
ciao
chris

 dovuto reistallare tutto, 
posso chiederti come si buca, o meglio , come si controlla questo ?
-- 
ciao
chris

Attenzione, temo di essermi espresso male - vista anche l'ora tarda e le
energie dedicate a cercare di capirci qualcosa. Ora che ho la mente piu'
fresca provo a spiegarmi meglio.
Primo chiarimento: quando parlo di "meccanismo simile a ftp" non intendo
dire l'ftp stesso. Quindi, non ho inteso dire che il server apre una
connessione ftp verso di me.
Secondo chiarimento: e' chiaro che c'e' una porta in ascolto: ho aperto una
connessione PPPoE e questa e' bidirezionale. Il traffico che vedo e'
attestato sulla porta del mac usata per la connessione ADSL e non su altre
porte.
Considerazione: Quando si parla di pirateria o hacking spesso si pensa a
meccanismi complicati dimenticandosi che a volte sono proprio i meccanismi
piu' semplici e di base quelli che ci possono fregare (quelli che sono sotto
gli occhi di tutti).
Riprovo a spiegarmi:
Il punto chiave nella mia analisi e' la presenza nella transazione della
verifica del Magic Number (RFC1661): a link attivo, questa si usa proprio
quando si mette il link in loop-back. Questa e' una funzione base del
protocollo che non richiede virus per essere utilizzata perche' deve essere
supportata dal protocollo di comunicazione stesso.
Questo significa che il trasmettitore (supponiamo il server Libero) puo'
mandare un apposito messaggio di controllo al ricevitore (la porta del mac
usata per la connessione al server) che deve rispondere con il magic number
stesso e con l'eco pari pari di eventuali dati binari contenuti nel
messaggio stesso "senza doverne entrare nel merito".
In pratica, la porta che riceve questo messaggio lo deve rimbalzare indietro
al trasmettitore senza nemmeno analizzarne il contenuto ne' tantomento
passarlo ad altri processi - e tutto questo avviene localmente sulla porta
stessa. E i dati oggetto di transazione possono contenere qualsiasi cosa
(basta stare dentro la lunghezza della PDU).
Quel che mi ha fatto sorgere il sospetto che dietro al comportamento anomalo
ci sia in realta' un meccanismo di questo genere e' l'analisi del trace:
c'e' un'alternanza sistematica tra burst di dati inviati/trasmessi e il
messaggio di acknowledge del magic number, che cambia ad ogni sequenza a
indicare che sono stati usati messaggi di loop-back differenti (anche come
contenuto).
Ora, con il meccanismo descritto e' perfettamente possibile che il mio
computer sia immune e che il problema sia solo lato server.
Lato server, e' sufficiente che ci sia un daemon-pirata in ascolto per
l'attivazione di una nuova connessione PPPoE. A connessione stabilita, il
daemon-pirata invia verso la porta peer del mio computer un messaggio di
"loopback", contenente nel campo dati qualsiasi cosa (es. la codifica di un
messaggio e-mail di spam). La porta risponde secondo protocollo ossia
ributtando indietro il campo dati pari pari senza elaborarlo ne' analizzarlo
in alcun modo. A questo punto, il daemon-pirata lato server puo'
intercettare il messaggio di risposta (individuabile) e dirottarlo verso il
daemon smtp del server, per il quale *tutto avviene come se* questo
messaggio fosse stato inviato dal mio computer tramite es. un client di
posta. E il gioco e' fatto: a questo punto l'smtp del server puo' spedire il
messaggio, con tanto di autenticazione del mittente.
Sul mio computer: nessuna forzatura di ftp, nessuna forzatura di altre
porte, nessun utilizzo anomalo di altre applicazioni: solo un rimbalzo di
dati che rimangono sconosciuti.
Non mi sembra una cosa tanto fantascientifica, proprio perche' coinvolge
meccanismi di base del protocollo di connessione senza che sul mio computer
debbano essere presenti virus o trojan. E' sufficiente che l'elemento di
disturbo sia presente sul server.
Tecnicamente, non c'e' alcuna violazione di security lato computer mio e
mettere un firewall (comunque utile) probabilmente serve a poco per questa
specifica situazione, dato che questi messaggi vengono visti come originati
sempre dal server di Libero a cui sono connesso.


 sbattuto nel muso.
che firewall usi?!
so che su X ce n'è già uno, ma non so come s'imposta
mi chiariresti qualcosina in linguaggio semplice?! :-)
-- 
      ___
     ('v')
    ((   ))             Tiziana Pannunzio ©
---/-"---"------------- 
www.tizianapannunzio.it

 
|'o\| |/o \/o \/o \ |  On The aaria: 
http://OnTheaaria.webhop.org
|._/|_|\__/\__/\__/ | *An out of control ego will sometimes get in the
       /_/ /_/      |  way of your success.                  (Todd H.)

 iptables, il router e` linux
ahi...
per me è peggio del sanscrito :-/
ma si può utilizzare invece quello di X in modo acconcio, oppure è tempo
perso?
scusa l'attentato alla tua, peraltro grande, pazienza :-)


 ed ho scoperto una porta alta aperta dove non doveva esserci nulla.
aha, scusa se rompo ancora
ma se mi portscanno dalla lan ovviamente non fa testo, se invece uso
quei siti che ti scannano dall'esterno e' attendibile ?
-- 
ciao
chris

 "chiuso" correttamente non vedo come possa accadere quanto dici
Come dicevo prima, mi ero spiegato male.
Se leggi la descrizione del meccanismo che ho dato stamattina, la cosa e'
molto semplice:
in base al meccanismo descritto, il mio computer ritrasmette indietro
immediatamente i dati ricevuti senza memorizzarli da nessuna parte.
Il file system del mio computer non viene toccato e quindi non c'e'
violazione.
saludos


 molto semplice:
ho letto, grazie, ora e' "piu' chiaro" ma profeso la mia ignoranza in
merito
-- 
ciao
chris

 violazione.
io non ho la tua certezza che questa roba 'parta' (o rimbalzi)
effettivamente dal mio computer. Anche qui comunque affligge solo gli
indirizzi di libero, i due miei e uno di cecilia.
ho provato a togliere sendmail ma (probabilmente un caso) dopo averlo tolto
la connessione con il duo era diventata lentissima e mi bloccava il finder
di x. L'ho rimesso, senza nessun beneficio e stamattina funzionava di nuovo.
Boh.
comunque mi sembra che la logorrea spammatica si sia un attimino calmata
(3/4 messaggi)
f.

 computer dal server francese.
[snip]
Mah. mi sembra talmente complicata la tua ipotesi.. Senza considerare
che non si puo' scrivere sul tuo computer a meno che tu non abbia un
demon in ascolto.
Mandare una email con il tuo indirizzo e' la cosa piu' semplice del
mondo. Basta avere un server SMTP a disposizione che non faccia alcun
controllo particolare.
Le connessioni da te segnalati potrebbero essere semplici spider di
motori di ricerca. Provato a controllare il log di apache? Magari ti
ritrovi quegli IP e scopri che avevano contattato il tuo server web (nel
caso tu l'abbia attivo).
-- 
Bullets cannot be recalled. They cannot be uninvented.
But they can be taken out of the gun. (Martin Amis)
"ab_bar" is ROT13 encoded

 bucato), per cui nulla blocca una backdoor su porta alta.
ho il campanellino d'allarme che mi sta suonando...
un firewall non linux che offra una protezione più alta?!


 caso tu l'abbia attivo).
Potrebbe essere come dici tu se non fosse per due piccoli, trascurabili
particolari:
* non ho mai attivato il web server sul mio computer *
* fino a una settimana fa questo scambio di dati immediatamente all'avvio
del collegamento non era mai avvenuto *
Anche perche' i motori di ricerca chiedono accesso al file system e una
porta http aperta, cosa che nel mio caso non e' vera.
Saludos
Germano il GAtto Grigio


 un router
Marco, la mia airport (collegata a PC e Titanium tramite switch) fa da
router ?
-- 
GiGi


-- 
ciao
chris

 dipende da che regole hai sul firewall, ovviamente.
ah, ok, dovro' studiare un pelo meglio
in realta' ho un serverino che fa anche da firewall
-- 
ciao
chris

 un router
ehm... cos'è?! :-)
spiegami, se puoi, come ad un bimbo piccolo: davanti alle cose tecniche
il mio mononeurone arranca paurosamente...


 ehm... cos'è?! :-)
Grosso modo, l'equivalente informatico di un grosso centro di smistamento
postale (ma con molte piu' capacita') solo che invece di trattare lettere e
cartoline tratta pacchetti informativi a livello IP (traffico di rete).


Forse questo avvalora la tesi di Marco, dico forse perchè non ci capisco
onestamente niente, a voi:
Remote host said: 421 VS1-IP Excessive unknown recipients - possible Open
Relay 
http://help.yahoo.com/help/us/mail/spam/spam-18.html
 (#4.1.8)
I'm not going to try again; this message has been in the queue too long.

 Se ti connetti via modem e saltuariamente, eviterei troppe paranoie.
yes, per il momento il mio collegamento è via modem
quindi rimando paranoie ed assilli a quando avrò l'asdl :-)


 cartoline tratta pacchetti informativi a livello IP (traffico di rete).
ok :-)
grasssie


 bevendo e' vecchissimo e l'ho conservato male ed e' caldo.
:-)


 disturbo sia presente sul server.
Si, ma stiamo parlando di dispositivi dedicati al routing, non di pc. 
Senza considerare che tu hai generalizzato, saltando dal ppp (che nel 
nostro caso sta a layer2) al tcp/ip (che troviamo invece a layer 3). Non 
c'e' nessun legame diretto tra i protocolli.
Saluti,
Simone.

 Se non c'e' (non ho controllato...) servirebbe 'na FAQ.:-)
Se non erro, MacOS X dovrebbe usare ipfw per il packet filtering (ed è 
logico, il kernel è di derivazione FreeBSD). Qui trovate un po' di 
documentazione: 
http://www.freebsd.org/cgi/man.cgi?query=ipfw&sektion=8
Saluti,
Simone.