Newsgroup: it.fan.marco-ditri
Titolo: [MONOURL] correlazione spaziotemporale dello spam

http://www.sophos.com/security/blog/2008/01/1005.html
-- 
ciao, | Those people who think they know everything
Marco | are a great annoyance to those of us who do. (Isaac Asimov)

--> "Md" == Marco d'Itri <m...@Linux.IT> writes:
Md> 
http://www.sophos.com/security/blog/2008/01/1005.html
I miei grafici (Mailgraph) mostrano picchi di "spam" (RBL e greylisting)
ad intervalli  di circa  due ore, soprattutto  dalle 16 alle  24, mentre
quando  cala leggermente  lo spam,  di mattina  e nel  primo pomeriggio,
aumentano i reject da contenuti (exe vari, zip cifrati, virus, ecc.)  in
sincro  con picchi  "minori" di  spam: differenze  di stile  tra spammer
american-europei  e cinesi, con  questi ultimi  piu` propensi  a inviare
anche contenuti "attivi" ?
Il traffico  e` aumentato molto  a partire dalla mezzanotte  di martedi`
22, tornando ai livelli che registravo a partire dalla fine dello scorso
giugno (quando di colpo lo spamming respinto e` aumentato di 4-5 volte),
con un  picco a cavallo di Natale  e Capodanno e dopo  che sembrava aver
rallentato nelle  scorse due  settimane. Forse e`  proprio Storm  che si
prepara a S. Valentino...
Non noto apprezzabili variazioni  nel traffico consentito, se non quelle
legate agli orari  di lavoro, ai weekend e  alle chiusure prolungate (ad
es. Ferragosto e Natale/Capodanno).
Saluti,
Luca Polo.
-- 
Luca...@gest.unipd.it
 --- 
http://www.gest.unipd.it/~jake
----------------------------------------------------------
One Ping to rule them all. One Ping to find them.
One Ping to bring down them all.
And in the darkness crash them.         [The Lord of the Pings]

 anche contenuti "attivi" ?
Qualcosa di simile, sì (anche se spam effettivamente pilotato da cinesi, 
da noi, ne arriva davvero poco, tutto sommato: hanno un mercato quasi 
solamente interno). Penso che quello che vedi tu è perlopiù dovuto allo 
spostamento di bersaglio da parte di un numero limitato di spammer, e 
non è direttamente collegato ad una visione più "globale" come quella 
descritta lì.
Se ben interpreto quel che descrivi, penso che tu, in misura magari 
minore o diversa, stia vedendo una cosa di questo genere qui...
http://www.skullkrusher.net/images/spam/Picture%202.png
...che fino alla mezzanotte di oggi era molto più regolare, sottoforma 
di N ripetizioni dei primi 3 picchi a sinistra (Furio l' ha chiamati 
"l'inviluppo generato da un suonatore di conga").
Questa la vista su scala più ampia:
http://www.skullkrusher.net/images/spam/Picture%204.png
Non so a quale attività specifica quella roba sia correlata (leggasi: 
chi è lo spammer, perchè è indubbio che per ottenere quella regolarità 
le sorgenti sono controllate da una unica entità...), ma la vista 
riportata qui sopra è quella ottenuta su una macchina che fa da MX per 
un singolo dominio.
Da me, con tanti domini, vi è una evidenza abbastanza marcata del fatto 
che una "primitiva" con la stessa frequenza è presente, ma che è 
replicata N volte con offset ed ampiezze diversi, cosìcchè il grafico 
diviene più confuso...
http://www.skullkrusher.net/images/spam/Picture%205.png
Se la mia ipotesi è coretta, il grafico qui sopra è il risultato del 
fatto che il bersaglio dello spam si muove da un dominio all'altro 
ciclicamente, e quindi produce quell'effetto lì, strettamente locale.
Dato un numero sufficiente di domini target, probabilmente l'effetto 
sparisce...

 sparisce...
Dimenticavo: se vuoi trovare correlazioni temporali anche in questo...
http://spamecola.spin.it/pages/images/blstats/blstats_1.png
...l'andazzo simil-sinusoidale c'è da almeno 4 anni (da quando misi in 
piedi quel grafico)... ;-)

 writes:
S> Qualcosa di simile, sì (anche se spam effettivamente pilotato da
S> cinesi, da noi, ne arriva davvero poco, tutto sommato: hanno un
S> mercato quasi solamente interno). Penso che quello che vedi tu è
S> perlopiù dovuto allo spostamento di bersaglio da parte di un numero
S> limitato di spammer, e non è direttamente collegato ad una visione più
S> "globale" come quella descritta lì.
In effetti  i grafici Sophos e i  miei non sono comparabili:  i loro ri-
guardano un solo specifico agente, i miei aggregano tutto.
I grafici che riporti tu sono praticamente la replica dei miei (relativi
al mio  server, singolo dominio):  evidentemente il grosso  del traffico
pomeridiano e` appannaggio di una o poche entita` "ben affiatate".
I picchi, assai piu` irregolari, della mattina/primo pomeriggio, assieme
al numero  di reject  da contenuti mi  fanno comunque  sospettare l'area
dell'Estremo Oriente:  dire "Cina"  magari e` un  po' restrittivo,  ma a
giudicare dal phishing che riesce a passare (con "traduzioni" in "Cinese
o quel che e`"  -> Inglese -> Italiano fatte con Google  o giu` di li`),
il mercato interno mi sa che si sta rapidamente internazionalizzando...
S> ...che fino alla mezzanotte di oggi era molto più regolare, sottoforma
S> di N ripetizioni dei primi 3 picchi a sinistra (Furio l' ha chiamati
S> "l'inviluppo generato da un suonatore di conga").
Piu` fantasiosa e allegra  della mia definizione che tentava penosamente
di richiamare  concetti ormai piuttosto arrugginiti  di Distribuzioni di
Erlang  e Teoria delle  Code...  La  sostanza, comunque,  e` che  non si
tratta piu` solo di semplici zombie che operano in "fire and forget", ma
ci sono veri e propri server (che magari stanno a Postfix come un SQLite
sta  a MySQL/PostgreSQL),  piazzati strategicamente  e che  ritentano le
connessioni se  la prima  non va  a buon fine  per qualche  motivo (RBL,
greylisting...).
Prima o  poi dovro` decidermi ad  analizzare meglio i log  per vedere se
saltano fuori  dati interessanti, tipo  quali e quanti sono  'sti server
(dubbio: saranno mica zombie evoluti che si scambiano le informazioni su
chi, dove e quando in P2P ?).


 writes:
S> ...l'andazzo simil-sinusoidale c'è da almeno 4 anni (da quando misi
S> in piedi quel grafico)... ;-)
Vabbe', quello ce l'ho anch'io da un paio di anni (ossia da quando tengo
i grafici :-)):  fondamentalmente vuol dire che il  grosso degli spammer
stanno  in USA  e Europa  (oppure che  gli orientali  si  alzano *molto*
presto e/o vanno a letto *molto* tardi :-)).
BTW, e l'India? Dove la mettiamo, l'India? E Osama bin Laden? :-)


 chi, dove e quando in P2P ?).
Lo sono quasi certamente (se non lo fanno in P2P, lo fanno con un master 
centrale, ma sposta di poco la cosa...).