Newsgroup: it.comp.sicurezza.windows
Titolo: client Win98 chiama smtp.mail.ru e diventa spammer

Ciao, 
da qualche  giorno mi  sono accorto  che il client  Win98 della  mia LAN
casalinga, ogni volta che apro  il collegamento ad Internet, contatta un
server mail russo (
smtp.mail.ru
) dopodiche` comincia ad inviare messaggi
riguardanti giochi sesso  ed altro (almeno nel subject  leggo questo) ad
indirizzi prelevati dalla  mia cartella di messaggi spediti.  Per ora ho
imbavagliato il client con la firewall del server Linux, ma vedo che lui
continua a tentare il collegamento.
Per "pulire" la macchina mi  server un antivirus (vedro` di procurarmene
uno) o posso fare qualche altra manovra?
Secondo voi  il virus  e` arrivato, come  sospetto, attraverso  la posta
(che ancora non sono riuscito a filtrare a sufficienza)?
Grazie in anticipo!
-- 
         _                 _    -----------------------------------
      __(_)__ __   __ __  (_)  | Dio ha fatto la neve; ma  c'è chi |
     / / / _ `_ \/ _ `_ \/ /   | la scioglie: cane, lupo e catena! |
   _/ /_/_//_//_/_//_//_/_/    |                        (7Girello) |
  (__/ ==# 
bglug.linux.it
 #==   -----------------------------------

...
oops! mi scuso, ringrazio e mi sposto!
Ciao


(che ancora non sono riuscito a filtrare a sufficienza)?
Un Postfix recente su quel server Linux puo' fare meraviglie.
IFRAME ed eseguibili loschi battono certe tronate che rimbomba il
pavimento :-)
N.B. Questo *non* sostituisce l'antivirus: aiuta e basta.
Leonardo

...
Ho  gia` installato  postfix 0.0.20011217.  Non capisco  in che  modo mi
avvisa  del  contenuto  delle  mail  (senza  usare  un  visrus  scan  od
equivalente)
Ciao


equivalente)
Postfix supporta la 'scansione' mediante espressioni regolari in fase di
mail delivery.
In pratica, devi fare in modo che la posta in ingresso venga spedita per
SMTP.
A quel punto, in 
main.cf
body_checks = regexp:/etc/postfix/body_checks
e nel file body_checks, per esempio
/name=.*\.(bat|pif|com|exe|scr|lnk|vbs)"?$/   REJECT No executables
...io ci ho messo anche il primo pezzo di tre MIME-encodings di files di
tipo EXE per Windows. Dato che tutti gli eseguibili, per esserlo, devono
avere uno header EXE, e per esempio cominciare per "MZ", l'encoding deve
a sua volta cominciare sempre nello stesso modo.
Ugualmente, se il file contiene la sequenza IFRAME oppure istruzioni per
il de-offuscamento di codice vbScript o JavaScript...
Postfix rimbalza poi i messaggi impestati in una casella tenuta a questo
scopo (/dev/null, volendo).
Leonardo

...
Scusa  per i  ringraziamenti un  po` in  ritardo ma  sono dovuto  andare
all'estero  per lavoro  per  un po`,  e non  avevo  un accesso  decente.
Un'ultima domanda  ,se posso: cosa  intendi con "spedita per  SMTP"?. Io
per ritirare la posta contatto un server pop3.
Se siamo OT puoi rispondermi su it.comp.sicurezza.unix
Grazie ancora


per ritirare la posta contatto un server pop3.
Si', ma poi la posta viene 'delivered' in locale. Questo lo si puo' fare
in due modi:
a) il MRA agisce da MDA aprendo direttamente /var/spool/mail/$USER, e in
   questo caso ciccia
b) il MRA agisce da MTA contattando Postfix su 
127.0.0.1:25
, e questo si
   occupa di tutto il resto
La seconda versione e', credo, piu' diffusa. In quel caso, Postfix legge
la mail al secondo giro:
Server esterno <--------- fetchmail
			Buffer locale
	Postfix <--------- <---
	   |
	   +--------> /var/spool/mail/$USER
e puo' intervenire, controllando se i messaggi rispettano i parametri.
I messaggi contenenti IFRAME, oppure l'encoding di file eseguibili, non
passano.
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

...
Esattamente! ringrazio e procedo :-)
Ciao


Esattamente! ringrazio e procedo :-)
A parte che qui siamo off topics (ci vorrebbe uno dei due ICSV), f/up
impostato:
in /etc/postfix/
main.cf
:
content_filter = avcheck	# Per chi ha NOD32/AVP/DrWeb...
body_checks = regexp:/etc/postfix/body_checks
 
# File body_checks
/name=".*\.(com|exe|bat|cmd)"/              REJECT Filetype not
permitted, please ZIP them
/name=".*\.(hta|vb[esx]|wsf|wsh|js|jse)"/   REJECT Filetype not
permitted
/name=".*\.(shb|shs|lnk|chm|pif|scr)"/      REJECT File type not
permitted
/^TVqQAAMAAAAEAAAA\/\/8AALgAAAAAAAAAQAAA/   REJECT Possible virus
attachment
In fondo a 
master.cf
 (se si vuole usare l'antivirus)
localhost:8449  inet    n       -       y       -       -       smtpd -o
content_filter
avcheck   unix  -       n       n       -       5       pipe
        flags=q user=avclient argv=/usr/local/bin/avcheck
        -d /var/spool/nod32/test -s NOD32:
127.0.0.1:8448
        -h Checked_by_NOD32
        -i /usr/local/bin/infected
        -f ${sender} -S 
127.0.0.1:8449
 -- ${recipient}
La porta 8449/tcp va almeno schermata via ipchains su tutte le
interfacce tranne lo.
A questo punto i virus piu' ovvi vengono stroncati da Postfix,
quelli piu' furbi dall'antivirus.
Attenzione: chi usasse NOD32 per Linux avra' bisogno d'una fix
per AVCHECK che e' tuttora in beta.
