Newsgroup: it.fan.marco-ditri
Titolo: DNS contorto

tutti i nameservers con gli IP che iniziano per 200, a 
Quasi. A scopo didattico, ecco qualche dato in più sul meccanismo...
Facciamo le cose un passo per volta, dando per noti solo i TLD:
dig +norec 
www.scaricalamusica.com
. @
g.gtld-servers.net
ci dice che i name server sono ns[12].
transzamba.biz
 e
ns[12].
south-waters.biz
. Chiediamo i loro IP a un gTLD server:
dig +norec 
ns1.south-waters.biz
. @
e.gtld.biz
ns1.south-waters.biz
.   7200    IN      A       200.43.83.180
I gTLD server conoscono il nome perché si tratta di un glue record
(whois nameserver 
ns1.south-waters.biz
 -h 
whois.nic.biz
), gli altri IP
sono:
ns2.south-waters.biz
.   7200    IN      A       200.45.225.158
ns1.transzamba.biz
.     7200    IN      A       200.43.50.252
ns2.transzamba.biz
.     7200    IN      A       200.43.81.89
Però non è dato sapere da chi sono stati registrati.
ns1.south-waters.biz
 non c'entra niente e infatti a una query
(dig +norec 
www.scaricalamusica.com
. @
200.43.83.180
) risponde con un
referral a .com.
Nonostante l'importanza di questi server in tutto il meccanismo, non ci
sono listing dedicati a loro (puoi fare aggiornare tu SBL e ROKSO?):
http://openrbl.org/ip/200/45/225/158.htm
 (listing obsoleti o generici)
http://openrbl.org/ip/200/43/81/89.htm
 (idem)
http://openrbl.org/ip/200/43/50/252.htm
 (SBL8972, ma è generico)
Stranamente 
ns2.transzamba.biz
 corrisponde a 
www.estudioingaramo.com.ar
.
Questo sembra il sito di uno studio legale, ma il dominio è registrato
da Mp3 NEA S.A., che dichiara come propria attività principale "vendita
e distribuzione di musica digitale". Il sito è opera di
http://www.jargon.com.ar/
 che sembra una società legittima, e quindi mi
chiedo se uno dei loro dipendenti per caso non lavora per conto terzi
installando name server sulle macchine dei clienti a loro insaputa.
Ancora più strano: il sito è raggiungibile tramite un CNAME a un
hostname dinamico di 
no-ip.com
, potrebbe quindi essere una DSL.
Si veda anche 
http://mp3nea.hypermart.net/
 (apparentemente abbandonato,
fa riferimento a un 
mp3nea.com
 che non esiste e indica (c) 1999).
Nessuna di queste macchine usa BIND, ma djbdns. Osservando i suoi
hostname si può notare come 
jargon.com.ar
 sia un seguace fedele della
parola di DJB.
Tutte hanno ssh attivo, una webmin e per il resto non ho notato altro di
interessante.
Interessante il tentativo di sviare le ricerche, i name server a cui
sono effettivamente delegati 
transzamba.biz
 e 
south-waters.biz
 sono
208.249.126.3[6789], IP di Media3 che non c'entrano niente, *ma* sono
già in parecchie blacklist per altri motivi.
Continuiamo ripetendo la query a quelli che sappiamo essere i server
autorevoli per il dominio:
dig +norec 
www.scaricalamusica.com
. @
200.45.225.158
;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 4
;; ANSWER SECTION:
www.scaricalamusica.com
. 600    IN      A       210.220.73.5
;; AUTHORITY SECTION:
scaricalamusica.com
.    600     IN      NS      
ns1.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns2.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns3.catramina.com
.
scaricalamusica.com
.    600     IN      NS      
ns4.catramina.com
.
;; ADDITIONAL SECTION:
ns1.catramina.com
.      600     IN      A       200.43.50.252
ns2.catramina.com
.      600     IN      A       66.96.85.49
ns3.catramina.com
.      600     IN      A       200.45.225.158
ns4.catramina.com
.      600     IN      A       200.45.225.158
catramina.com
 funziona esattamente come 
transzamba.biz
: ha una delega
falsa (a una macchina di Eddy Marin, che non c'entra niente) con
hostname DNSn.*, e glue record tipo NSn.* provenienti da un altro
dominio.
Secondo il SOA, il master è ns1 (AKA 
ns1.transzamba.biz
). ns[34] è
ns2.south-waters.biz
, mentre ns2 non risponde alle query ed è un IP
della banda di Hivelocity, di nuovo un tentativo di sviare le indagini
implicando un altro spammer.
Per completezza, questo è il record di ROKSO su superzonda (è piuttosto
datato):
http://www.spamhaus.org/rokso/search.lasso?evidencefile=2499
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery
-- 
ciao, | (Ri)scoprire fidonet: | Chissa` cosa si prova a liberare
Marco | 
http://bbs.bofh.it/
   | la fiducia nelle proprie tentazioni. (F.D.A.)

Salve ragazzi, ho contattato a proposito Furio per email la scorsa
settimana.
Io sono frateralph in firma alla pagina in questione: ho realizzato il
sito per un cliente l'anno scorso, il sito è stato copiato al mio
cliente, e purtroppo ora ricevo email accusatorie di essere l'autore
dello spamming.
Per ora non intendo mettere in mezzo avvocati (e come li pago???), ma
vi prego di adoperarvi per quanto nelle vostre possibilità e nei
vostri interessi (didattici o nel senso di hobby) affinchè l'infame
sia smascherato.
grazie.