The (anti-)spam world thread

[Triumph Of Steel]

grazie mille.. è la prima che mi arriva... per ora non faccio niente.. se dovesse succedera ancora.. allora utilizzerò l'email di abuse..

[zello]

Vai sereno anche alla prima. ME sta massacrando i coglioni di mezza italia, ma non finisce listato perché non tocca caselle al di fuori dell'Italia (le principali dnsbl sono straniere).

Un lart in più non è male. La prossima mi sa che comincio a postarla anche su news.admin.net-abuse.sightings (archivio usenet delle spam, serve a certificare che si è ricevuto spam e mandato il lart. Oltre che come prova, è probabile che alcune dnsbl si alimentino lì. Studiarsi bene la faq prima di postare)

Codice: Seleziona tutto

Received: from [209.216.151.8] (HELO canfence.canadianfence.lan)
  by infinito.it (CommuniGate Pro SMTP 3.5.9)


Sto cavolo di header non standard ha fregato il mio algoritmo!

[piercing]

Questo è un caso "simpatico"...

Mi è arrivata a distanza di due minuti la stessa mondezza su tre account differenti (libero, inwind e tiscali).
Oltre agli headers che ora posto (embratel.....by superzelloexe) l'interessante è l'allegato... un simpaticissimo EXE eseguibile che non oso sapere cosa faccia (sperando che almeno sia "solo" un dialer)...

E la mail esordisce così...

OGGETTO: Netcards - C'e' una cartolina virtuale per te! - Tema: AMORE Mittente: una tua amica
TESTO: Per leggere il messaggio a te diretto, apri il file "lettura-messaggio" allegato a questa e-mail. Grazie.
NOME ALLEGATO: lettura-messaggio-00025632474.exe

E non c'è manco una donnina nuda!!!

Come siamo caduti in basso... prevedo un bel pò di vittime!!!

E comunque confermo e sottoscrivo l'enorme impennata di SPAM a partire da ferragosto (almeno 5 volte di più...)

Ecco gli headers:

Codice: Seleziona tutto

Return-Path: <233439@393423.com>
Received: from smtp4.libero.it (193.70.192.54) by ims2b.libero.it (6.5.028)
        id 3D626796004A6ADC; Thu, 5 Sep 2002 05:35:31 +0200
Received: from eng.lisegainc.com (66.21.122.36) by smtp4.libero.it (6.5.028)
        id 3D4E4763048EE007; Thu, 5 Sep 2002 05:35:28 +0200
Received: from ME ([200.242.32.31]) by eng.lisegainc.com with Microsoft SMTPSVC(5.0.2195.4453);
    Wed, 4 Sep 2002 23:46:55 -0400
From: 233439@393423.com
Subject:Netcards - C'e' una cartolina virtuale per te! - Tema: AMORE Mittente: una tua amica
X-Priority: 1 (Highest)
Reply-To: youremail@email.com
X-Mailer: Microsoft Outlook Express 5.00.2615.200
MIME-Version: 1.0
Content-type: multipart/mixed; boundary="#MYBOUNDARY#"
Bcc:
Message-ID: <FTPSERVER7jYTdOSQzF00000096@eng.lisegainc.com>
X-OriginalArrivalTime: 05 Sep 2002 03:46:56.0534 (UTC) FILETIME=[E182F360:01C2548E]
Date: 4 Sep 2002 23:46:56 -0400

[Nicola]

Codice: Seleziona tutto

Received: from ME ([200.242.32.31]) by eng.lisegainc.com with Microsoft SMTPSVC(5.0.2195.4453);

Il solito Embratel..
Sono un caso raro o non mi arriva più spam ( ma oggi solo 3 virus , ma fortunamente è fuori media ) .... ? Mi arrivò tanto spam al forwarder di pc-facile, adesso niente (speram che continuoi) ma le caselle personali non vengono toccate.. Forse perchè sono state citate da poche parti ?
Ciao, Nicola.

[dado]

Ora non ho proprio tempo di guardare gli headers, quindi li posto qui....

Return-Path: <outsidexxx@jumpy.it>
Received: from ce3.time.net.my (203.151.38.4) by mail.tiscali.it (6.5.026)
id 3D6DC74C003C11DF for xxxx@tiscali.it; Fri, 6 Sep 2002 17:44:20 +0200
Message-ID: <3D6DC74C003C11DF@mail-5.tiscalinet.it> (added by postmaster@mail.tiscali.it)
From: PORTAL SEX <outsidexxx@jumpy.it>
To: Undisclosed Recipient
Cc:
Subject: OGGI NE PROPONIAMO 2, Ci roviniamo!!
Sender: PORTAL SEX <outsidexxx@jumpy.it>
Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Date: Fri, 6 Sep 2002 17.43.58 +0200
X-Mailer: The Bat! (v1.52f) Business

[BianConiglio]

X-Mailer: The Bat! (v1.52f) Business

Sto notando che veramente molti spamer lo utilizzano.....

[zello]

D:\Progetti\Abuse Project\DNSBL2\Release>dnsbl2 203.151.38.4 | more
opm.blitzed.org
Open proxy
Comments: [No comments found]

proxies.relays.monkeys.com
Open proxy
Comments: [No comments found]

relays.osirusoft.com
Open proxy
Comments: #(2002/09/02) Open Proxy: http(8080)

D:\Progetti\Abuse Project\DNSBL2\Release>

Direi che è un proxy aperto (d'altra parte l'host si chiama proxy1.nida.ac.th) . Lamentati di questo con ... vediamo un po' ....

inetnum: 203.151.38.0 - 203.151.38.255
netname: NIDA-TH
descr: National Institute of Development Admin
e-mail: athicha*at*inet.co.th
e-mail: chakrit*at*inet.co.th

e aggiungerei anche...
abuse*at*inet.co.th (for inet.co.th)
postmaster*at*inet.co.th (for inet.co.th)
[/quote]

[dado]

Ragazzi!!!! C'è una lettera d'amore per me con un simpatico dialer allegato... che dite? La leggo?!?!

Return-Path: <004002@024000.com>
Received: from mail.acol.net (66.121.13.2) by mail.tiscali.it (6.5.026)
id 3D6DC62F00579E3D; Tue, 10 Sep 2002 07:10:22 +0200
Received: from ME (nmns01-1169.dial.mns.embratel.net.br [200.242.32.169])
by mail.acol.net (8.11.0/8.11.0) with SMTP id g8A4MR430764;
Mon, 9 Sep 2002 21:22:31 -0700
Date: Mon, 9 Sep 2002 21:22:31 -0700
Message-Id: <200209100422.g8A4MR430764@mail.acol.net>
From: 004002@024000.com
Subject: Netcards - C'e' una cartolina virtuale per te! - Tema: AMORE Mittente: una tua amica
X-Priority: 1 (Highest)
Reply-To: youremail@email.com
X-Mailer: Microsoft Outlook Express 5.00.2615.200
MIME-Version: 1.0
Content-type: multipart/mixed; boundary="#MYBOUNDARY#"

[Nicola]

Noooo.. di nuovo Embratel:

Codice: Seleziona tutto

Received: from ME (nmns01-1169.dial.mns.embratel.net.br [200.242.32.169])
by mail.acol.net (8.11.0/8.11.0) with SMTP id g8A4MR430764;

Cmq
samspade.org/t IP whois di 200.242.32.169
abuse*at*EMBRATEL*dot*NET*dot*BR
tralascio l'altro inutile
ciao

[milvius]

Secondo me questa è l'email di spam più figa che ho mai ricevuto... il testo:

From: "Your Porn" <cids@theblazinghost.com>
Subject: ADV: These girls will BLOW for BLOW!! - Must Be 18 Years or Older
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="----=_NextPart_000_0014_01C0B338.48BF2200"
To: miaemail*at*libero*dot*it
Message-Id: <20020911090258.EC04818503@mail.reallyfakedomain.com>
Date: Wed, 11 Sep 2002 02:02:58 -0700 (MST)


This is a multi-part message in MIME format.

------=_NextPart_000_0014_01C0B338.48BF2200
Content-Type: text/html; charset=ISO-8859-1
Content-Transfer-Encoding: base64

CjxodG1sPgo8Ym9keSB0b3BtYXJnaW49IjAiIGxlZnRtYXJnaW49IjAiPgo8YSBocmVmPSJodHRw
Oi8vd3d3LnRoZWJsYXppbmdob3N0LmNvbS9jaWRzLzY3MjQ0OS8/YWlkPTY5MDYwNCIgdGFyZ2V0
PSJfYmxhbmsiPkNsaWNrIGhlcmUgdG8gb3BlbiB5b3VyIG1lc3NhZ2UgaW4gYSBuZXcgd2luZG93
IG9yIGlmIHRoZSBtZXNzYWdlIGRvZXMgbm90IGFwcGVhciBiZWxvdyE8L2E+Cgo8aWZyYW1l
IG9yIGlmIHRoZSBtZXNzYWdlIGRvZXMgbm90IGFwcGVhciBiZWxvdyE8L2E+IGhl
aWdodD0iNjIwIiB3aWR0aD0iMTAwJSIgc2Nyb2xsaW5nPSJhdXRvIiBmcmFtZWJvcmRlcj0iMCIg
bWFyZ2luaGVpZ2h0PSIwIiBtYXJnaW53aWR0aD0iMCIgc3JjPSJodHRwOi8vd3d3LnRoZWJsYXpp
bmdob3N0LmNvbS9jaWRzLzY3MjQ0OS8/YWlkPTY5MDYwNCI+CjwvaWZyYW1lPgo8aWxheWVyIHNy
Yz0iaHR0cDovL3d3dy50aGVibGF6aW5naG9zdC5jb20vNjcyNDQ5Lz9haWQ9NjkwNjA0Ij4KPC9i
b2R5Pgo8L2h0bWw+Cgk=


------=_NextPart_000_0014_01C0B338.48BF2200
Content-Type: text/plain; charset=ISO-8859-1
Content-Transfer-Encoding: 7bit

These whores will do anything for coke!

Watch thousands of hot trashy coke sluts!
Hours of hot video!
1 on 1 live hot chat! (if they're not passed out)
50,000 pics updated every day!

PLUS! ~~~~~ COMPLIMENTARY BONUS VIP MEMBERSHIP

PORN FOR A BUCK! Check it out!!


http: //www.theblazinghost.com/cids/672449/?aid=690604
http: //www.theblazinghost.com/cids/672449/?aid=690604
http: //www.theblazinghost.com/cids/672449/?aid=690604


Attention!

--------------------------------------------------------------------------------

This E-mailing has been sent to you as a person interested in the information enclosed. If this reached you by error, or you do not wish to receive this information or type of information in the future, please goto http://www.theblazinghost.com/cids/remo ... aid=690604 and you will be taken off our list immediately.

This E-mail is not SPAM under the Federal Regulatory laws of the United States. This message is being sent to you in compliance with the proposed Federal Legislation for commercial e-mail (H.R.4176-SECTION 101 PARAGRAPH (e) (1) (A)) and Bill s.1618 TITLE III passed by the 105th US Congress. We sincerely apologize for any inconvenience.

This message is not intended for residents of WA, NV, CA, & VA. Screening of address's has been done to the best of our technical ability. If you are a California, Nevada, Washington, or Virginia resident please follow the instructions above and you will be permanently removed from our list immediately.



------=_NextPart_000_0014_01C0B338.48BF2200--

TOKEN:690604

L'header:

Return-Path: <root@theblazinghost.com>
Received: from smtp6.libero.it (193.70.192.59) by ims2d.libero.it (6.5.028)
id 3D6267960065CE71 for miaemail*at*libero*dot*it; Wed, 11 Sep 2002 11:03:04 +0200
Received: from mail.reallyfakedomain.com (64.38.243.210) by smtp6.libero.it (6.5.028)
id 3D63CC7E03381491 for miaemail*at*libero*dot*it; Wed, 11 Sep 2002 11:03:04 +0200
Received: from heater (localhost [127.0.0.1])
by mail.reallyfakedomain.com (Postfix) with SMTP id EC04818503
for <miaemail*at*libero*dot*it>; Wed, 11 Sep 2002 02:02:58 -0700 (MST)
Received: Micro$oft Mailer 2.3

Fico il mailer! lo voglio anch'io! E voglio un account su reallyfakedomain.com!

[dado]

This E-mail is not SPAM under the Federal Regulatory laws of the United States. This message is being sent to you in compliance with the proposed Federal Legislation for commercial e-mail (H.R.4176-SECTION 101 PARAGRAPH (e) (1) (A)) and Bill s.1618 TITLE III passed by the 105th US Congress. We sincerely apologize for any inconvenience.


Ma quanto sono falsi qs spammer?! Li detesto... non esiste nulla di ciò che c'è scritto sopra, ne sono certo!

Ohhh, finalmente un pò di spam sull'indirizzo di pc-facile!!
Addirittura una falsa email...

Return-Path: <ashjlkdf9jnk_9@hotmail.com>
Received: from buddy.siteprotect.com ([64.26.0.87] verified)
by infinito.it (CommuniGate Pro SMTP 3.5.9)
with ESMTP id 14240940 for mymail@infinito.it; Wed, 11 Sep 2002 12:57:39 +0200
Received: from hotmail ([61.48.18.23])
by buddy.siteprotect.com (8.9.3/8.9.3) with SMTP id FAA27401
for <mymail@pc-facile.com>; Wed, 11 Sep 2002 05:53:43 -0500
Message-Id: <200209111053.FAA27401@buddy.siteprotect.com>
From: "droe1m239ve_e_so_1w" <droe1m239ve_e_so_1w@hotmail.com>
To: "dado" <mymail@pc-facile.com>
Subject: adv: Email Blaster....Newsletter
Date: Wed, 11 Sep 02 18:33:30 Öйú±ê׼ʱ¼ä
MIME-Version: 1.0
Content-Type: multipart/mixed;boundary= "----=_NextPart_000_00E9_A0A0AD2A.6BE78F5F"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2462.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2462.0000

[zello]

E voglio un account su reallyfakedomain.com

Con un nome così, non avrei MAI pensato potesse essere spam...

Codice: Seleziona tutto

Received: from mail.reallyfakedomain.com (64.38.243.210)


Osirusoft lo lista come open relay, ma si sbaglia (c'ho provato, mi rifiuta...)

Codice: Seleziona tutto

OrgName:    CWIE, LLC
OrgID:      CWIE
NetRange:   64.38.192.0 - 64.38.255.255
CIDR:       64.38.192.0/18
NetName:    CWIE-BLK-1
TechEmail:  hostmaster*at*cavecreek.net


Non ti so dire se cavecreek.net e CWIE sono la stessa rete. Aspe, facciamo un DNS

Codice: Seleziona tutto

cavecreek.net
64.38.245.17


Sì, è nello stesso IP space. Allora:
abuse*at*cavecreek.com (for cavecreek.net)
spamtool*at*level3.net (for cavecreek.net)
abuse*at*level3.net (for cavecreek.net)
postmaster*at*cavecreek.net (for cavecreek.net)
Ehilà, quanti! praticamente fai spamming anche tu

theblazinghost.com (sito pubblicizzato): l'Upstream è sempre level3.net (usa gli stessi *at*level3.net), per il downstream (che comunque mi sembra strano che non lo sappia...)prova charles*at*city-guide.com (city-guide.com non sembra responsabile, è solo "lì vicino" come IP).

Ciao, e divertiti con il dialer

[dado]

...e ancora...

Return-Path: <090910@libero.it>
Received: from smtp6.libero.it (193.70.192.59) by ims4c.libero.it (6.5.028)
id 3D7F2A460003C409; Thu, 12 Sep 2002 03:09:02 +0200
Message-ID: <3D7F2A460003C409@ims4c.libero.it> (added by postmaster@libero.it)
Received: from libero.it (210.58.98.201) by smtp6.libero.it (6.5.028)
id 3D63CC7E03582D6D; Thu, 12 Sep 2002 03:09:01 +0200
From: "download your free" <asia_service@pchome.com.tw>
Subject: Want to boost your sales with Internet Marketing? Try HiMailer.
Content-Type: text/html
Date: Wed, 11 Sep 2002 16:13:18 +0800
X-Priority: 3
X-Library: Indy 9.0.3-B

Nooooo, di nuovo Asia??!?!!?

[Triumph Of Steel]

zello tu sai niente di spam-fastweb??
ho notato, parlando anche con Nemok, che MailWasher (che utilizza i DB di BlackList di alcuni anche citati da te) mi indica QUALSIASI mail arrivata da fastweb come SPAM (da SpamCop)...
dovrebbe essere:
mailres*punto*fastwebnet*punto*it

pensavo fosse solo Nemok (magari il suo IP è listato per sbaglio) e invece anche se mi spedisco una mail a me stesso, mi dice che è SPAM!!

[zello]

Sì, lo so, è una sfiga non piccola. Il problema è che SpamCop inserisce in BL in base a percentuali del tipo (mail spammosa/mail totale). Ora, dato che la lista è americana, è probabile che le poche mail di provenienza Fastweb che arrivano in America siano soprattutto spam, Fastweb ha una certa tendenza a finirci dentro. Per fortuna, la bl di SpamCop è dinamicissima - ci si entra in un attimo, si esce l'attimo successivo. Per mailres*punto*fastwebnet*punto*it (IP 213.140.2.32, se nslookup non è impazzito), per esempio, al momento il listing non c'è:

Sample traffic: None recorded
Trap recipients: None recorded
Spam reports: None recorded
Relaying reports: None recorded
Relay closed: None recorded

213.140.2.32 not listed in bl.spamcop.net.
213.140.2.32 is not and should not be listed.

Come puoi vedere, nessuna mail è stata ricevuta dalla lista, né legittima né spam, e questo ha causato il delisting.

Ripeto: SpamCop è un'ottima lista, PER GLI AMERICANI. Per i non americani purtroppo respinge moltissima posta legittima - e infatti non la sto considerando per il progetto "Abuse", e consiglio di deselezionarla su SpamPal.

[zello]

Per dado:

Dal mio ultimo programmino (in cui è abilitato il cut and paste ):

Sender (or dispatching mailserver) IP:210.58.98.201
He/she/it has said to be :libero.it
Receiving mailserver [by]:smtp6.libero.it
Listed in:
* blackholes.five-ten-sg.com
* dnsbl.njabl.org
* dun.dnsrbl.net
* relays.osirusoft.com
* sbl.spamhaus.org

Praticamente manca solo la lista di Schindler...
Cmq, se sei in vena di buttare via una mail:

Codice: Seleziona tutto

person:       MAXNAV Electronics Corporation
address:      No.3,TzeChiang 1 Rd.,ChungLi Industrial Park, Taiwan
country:      TW
phone:        +886-3-4528200
e-mail:       norman*at*mec.com.tw


E scrivi proprio a norman, perché - come praticamente ogni volta che consulto APNIC - scopriamo che non c'è una mail interna al dominio registrato...

PS: qualcuno ha un IP fisso/la possibilità di sopportare un po' di traffico/un sistema unix-like/le capacita' di gestire un DNS per fare una DNSBL esclusivamente italiana (per gestire problematiche italiane: dato che ME spamma solo italiani, per dirne una, non è finito su nessuna blscklist)?

Fatemi sapere

[Triumph Of Steel]

ehm... io ho Windows XP e la DSL di FastWeb... va bene lo stesso???
su un altro PC ho Lindows installato (è un pentium vecchio cmq con poca ram) ... se basta questo posso installare Linux ...

p.s. grazie della risposta su FastWeb

[Nicola]

Lindows

Cos'è ?

[zello]

ToS, si può fare - se hai un IP statico e un dominio tuo. Mi sa che serve assistenza, ma si può fare.

Il meccanismo di una DNSBL è il seguente.
Mettiamo che io abbia un dominio zello.it (non ce l'ho, ma mettiamo). La blacklist la piazzo come bl.zello.it, e ci inserisco i range di IP da blacklistare - mettiamo per esempio 1.2.3.4

Quando qualcuno chiede al NS la risoluzione di 4.3.2.1.bl.zello.it, io devo fare in modo di rispondere 127.0.0.2 (convenzionale) per dire che è blacklistato.

Tutto qui.

[dado]

Lindows

Cos'è ?

Diciamo che è un miscuglio fra linux windows.
Non avevo mai sentito nessuno che ce l'avesse... complimenti TOS!!
http://www.lindows.com/lindows_products_lindowsos.php


X Zello: no, mi rifiuto di scrivere in Taiwan... tanto non capiscono una mazza! Ci dev'essere una strada + semplice e diretta, come bombardargli gli uffici di virus informatici...