Spam e Virus: che bella accoppiata!

[pdbc]

Allora, ho un mega problema, e spero in un vostro aiuto perchè ormai mi fido solo di voi. Ho tenuto il computer in soffitta per tutta l'estate. Un giorno di agosto vado in un Internet Cafè per controllare la posta e cosa trovo? Decine di "Mail delivery service": la mia posta non era stata consegnata per svariati motivi..."Quale posta, che sono mesi che non accendo un computer?" Ottima domanda...controllo gli indirizzi a cui io avrei spedito la posta....persone completamente sconosciute....controllo che tipo di posta gli avrei inoltrato..."A nice Game" con virus..."have a nice day" con virus..."Hello, how are you?" con virus....porca zozza, come diavolo è possibile, se il mio computer è addirittura SCOLLEGATO dalla rete di alimentazione? Mmmm, non è possibile che qualcuno invii posta a chissachì utilizzando il mio indirizzo come mittente? Scrivo alla tiscali (provider della mia casella incriminata), e sai come mi rispondono? Ogni volta in modo diverso, ed ogni volta tramite uno dei soliti messaggetti pre-formattati, che non mi aiutano per niente: hai voglia a scrivergli "per favore leggete fino in fondo", ogni volta un messaggetto di risposta che non c'entrava nulla con quello che chiedevo io. Ho provato a leggere gli Header (grazie al tutorial di Pc-facile!), ma a dirla tutta non ho neanche capito se stavo leggendo quelli del messaggio del "mail delivery service" o quelli del messaggio incriminato...un aiuto è sicuramente ultra-gradito...se servono i mex che mi sono arrivati, ne conservo una ventina, pronti ad essere analizzati. Grazie.

[kadosh]

Manda manda

[pdbc]

Ok....dove li mando? O faccio un copia e incolla nel forum?

[kadosh]

Manda qui sì, che Zello-Magic non aspetta altro

[pdbc]

Alcuni hanno anche degli allegati....ti mando solo la versione testo di alcuni, per non ingombrare il forum.... (censuro la mia e-mail):

- These recipients of your message have been processed by the mail server:
adjnse@tin.it; Failed; 5.7.0 (other or undefined security status)





--------------------------------------------------------------------------------


Return-Path: <**********@tiscalinet.it>
Received: from mail.tiscali.it (195.130.225.154) by smtp8.cp.tin.it (6.5.029)
id 3DA451E3001928F9 for adjnse@tin.it; Thu, 10 Oct 2002 20:54:44 +0200
Received: from Dyudll (62.11.124.201) by mail.tiscali.it (6.5.026)
id 3D89715600D4518D for adjnse@tin.it; Thu, 10 Oct 2002 20:54:44 +0200
Date: Thu, 10 Oct 2002 20:54:44 +0200 (added by postmaster@mail.tiscali.it)
Message-ID: <3D89715600D4518D@mail-8.tiscalinet.it> (added by postmaster@mail.tiscali.it)
From: ******** <********@tiscalinet.it>
To: adjnse@tin.it
Subject: Background
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=YR212m3jg6Rgp1Y5E2693W319Tu



un altro....

- These recipients of your message have been processed by the mail server:
eygentil@tin.it; Failed; 5.7.0 (other or undefined security status)





--------------------------------------------------------------------------------


Return-Path: <********@tiscalinet.it>
Received: from mail.tiscali.it (195.130.225.151) by smtp5.cp.tin.it (6.5.029)
id 3DA5A21A00008239 for eygentil@tin.it; Thu, 10 Oct 2002 18:19:40 +0200
Received: from Hupserhqt (62.11.123.160) by mail.tiscali.it (6.5.026)
id 3D89715600B92EB7 for eygentil@tin.it; Thu, 10 Oct 2002 18:19:39 +0200
Date: Thu, 10 Oct 2002 18:19:39 +0200 (added by postmaster@mail.tiscali.it)
Message-ID: <3D89715600B92EB7@mail-5.tiscalinet.it> (added by postmaster@mail.tiscali.it)
From: ******* <********@tiscalinet.it>
To: eygentil@tin.it
Subject: E prodotti
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=If8784C3NE218j9T2jZ461ey9L92aa

[BianConiglio]

Pdbc, se ne è parlato a lungo.

Il worm ( virus worm trojan .... ) Klez infetta ( ad esempio ) me.
Il mio pc è scansito alla ricerca di mail alle quale il virus vuole automaticamente replicarsi.
Il virus trova ( ad esempio ) 30 mail.
Ne sceglie 1 e la usa come mittente.

In questo modo verranno spedite 30 mail a nome della mail scelta ( non la mia )

In poche parole qualcuno che ha la TUA mail è stato infettato e ha spedito messaggi ad ALTRE mail che sono state trovate sul SUO pc.

Tu sei ( dovresti, salvo coincidenze ) estraneo a tutto ciò.

[pdbc]

Mmmm...ti chiedo scusa come prima cosa....non ho fatto ricerche approfondite, ed in ogni caso non mi passava neanche per l'anticamera del cervello che si potesse inviare una mail con mittente a proprio piacimento...e poi ti chiedo: potrei risalire all'untore, ed avvertirlo di ciò che sta succedendo?

[BianConiglio]

[quote="pdbc"]Mmmm...ti chiedo scusa come prima cosa....quote]

Figurati !!


Cmq, risalire all'untore è teoricamente possibile, praticamente no ( troppo lungo, macchinoso , ricerca estesa ed incrociata ecc.. ).

Infatti il virus si spedisce a pippo, dal pc infetto di pallino, a nome di pinco in modo che pippo creda che pinco sia infetto, ma invece è pallino ad essere l'untore !!

E' un intelligente ( semplice ma geniale ) metodo per rendere più difficile la determinazione del ceppo virale

[dado]

Ma nel caso del Klez, che faceva qs giochetto, mi sembra che si potesse andando a vedere gli headers nelle proprietà del messaggio/dettagli. In pratica, guardando nelle semplici proprietà risultava ad es che l'email arrivasse da Frengo*at*zanichelli*it* (il falso unotre, in pratica), mentre andando nei dettagli (headers) si vedeva che il vero mittente era virus*at*ti-infetto*com*. Ecco, questo indirizzo era quello del vero untore.

[zello]

Che io sappia, il mittente rimane negli headers o no a seconda della variante di klez. E' sicuro che si può arrivare al provider - klez a volte passa da open relays, ma mai da open proxies.
Solo che l'abuse - giustamente, dato il volume delle segnalazioni - non ti aiuta, e quindi non riesci a risalire dal provider all'utente.

Ciao,

--
zello