The (anti-)spam world thread

[shellylost]

...Edited by Cazzatebuster V 0.2 beta

Io dico.. questa è educazione ?
Te lo do io Cazzatebuster
X l'aiuto ( che putroppo di + non ho potuto darti x la riabilitazione dell'account ) non esiste.. un ... GRAZIE ?
Il WM ha fatto fin troppo per poterti riabilitare l'account !
Scusate il tono...
Ciao,
Nicola.

Uffa ,
ti avro' ringraziato 20 volte per l'aiuto..io ringrazio sempre se qualcuno mi aiuta...il cazzatebuster e' in fase Beta...ha parecchi bugs ancora, non ti inka**are sempre ...

cmq ho notato con orrore che gli anon con fasweb non funzano, se qualcuno sa dirmi come farli funzionare lo considerero' un *GENIO*

[Kurosawa]

scusate è da un po' che non leggevo queso 3d... ora vado ad aggiornarmi intanto segnalo questo grandissimio figlio di una.... vabbè lasciamo perdere. Si nasconde dietro un servizio di postcard. Presente le cartoline virtuali?? ci ha messo tanto a creare questa mail oggetto :c'è una cartolina per te, immagini di un presunto sito di cartoline e chiacchiere varie, poi "per vedere la cartolina clicca qui: cartolina.exe" che gli si possa friggere il processore!!!


Return-Path: <100501@010510.com>
Received: from smtp8.cp.tin.it (192.168.70.235) by ims1a.cp.tin.it (6.5.028)
id 3D87464D000F0EBB; Tue, 24 Sep 2002 16:14:08 +0200
Received: from tux-matrix.no-ip.com (213.229.57.85) by smtp8.cp.tin.it (6.5.019)
id 3D9005B400073AEF; Tue, 24 Sep 2002 16:14:06 +0200
Received: from [200.242.32.226] (HELO ME)
by tux-matrix.no-ip.com (CommuniGate Pro SMTP 3.5.9)
with SMTP id 2166418; Tue, 24 Sep 2002 16:17:14 +0200
From: 100501@010510.com
Subject:Netcards - C'e' una cartolina virtuale per te! - Tema: AMORE - Mittente: una tua amica
X-Priority: 1 (Highest)
Reply-To: youremail@email.com
X-Mailer: Microsoft Outlook Express 5.00.2615.200
MIME-Version: 1.0
Content-type: multipart/mixed; boundary="#MYBOUNDARY#"
Date: Tue, 24 Sep 2002 16:17:15 +0200
Message-ID: <auto-000002166418@tux-matrix.no-ip.com>

[zello]

ME - dal Brasile, abuse@embratel.net.br (che ovviamente non serve, ma fallo lo stesso).
E' un vecchio amico - parte sempre da dialups del blocco 200.242.32/24, che io ho blacklistato su SpamPal. Su alla embratel o sono incapaci oltre ogni dire, oppure se ne fregano (possono essere vere entrambe). Passa sempre da qualche tonto che lascia aperto un relay. Sarebbe il caso di andare a vedere qual'è il numero pubblicizzato dal dialer, per vedere a chi fa capo (anche se un'ideuzza ce l'ho già).

Se non vi offendete per il termine, gli auguro che gli venga la caghetta, a lui e alle sue cartoline.

[piercing]

avevo già postato la stessa mail... e mi auguro... lo ripeto... che quell'exe sia solo un dialer!!

[zello]

Ho ricevuto una strana cosa (da un adsl tin):

Received: from mail.despammed.com (a-as1-26.tin.it [212.216.125.217])
by despammed.com (8.9.1/8.9.1) with SMTP id CAA28421
for <zello*at*despammed.com>; Wed, 25 Sep 2002 02:51:51 -0500 (EST)
Message-Id: <200209250751.CAA28421@techspex.com>
From: "info.shop"<info.shop@erositaliano.com>
To: zello*at*despammed.com
Subject: [despammed] lk
Date: Wed,25 Sep 2002 09:53:10 PM
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary=gvotglh
X-Despammed-Tracer: CAA284211032940319
Content-Length: 38769

Con un body stranissimo (HTML mal scritto, con links a tre o quattro siti porno e un delirio stranissimo del tipo

Epson Stylus Photo 810
Risoluzione max 2880 x 720 dpi

[e chissenefrega]
La cosa strana è l'allegato (non ho antivirus qui, ma sto leggendo via web).

Content-Type: application/octet-stream;
name=lk.zip .bat
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
filename="lk.zip .bat"

Si noti l'estensione .bat (eseguibile) nascosta dopo tre o quattro righe di spazi vuoti...
Nella pratica - non mi sembra un virus, mi pare più probabile che sia un dialer. Ma potrei sbagliarmi. La vostra opinione?

[BianConiglio]

Bè, se è un bat vero e prorpio è semplice da interpretare....qual'è il suo contenuto ?

Potrebbe essere un dialer...ma se è proprio un bat credo sia un virus..

Dimensioni ??

[Frengo78]

ha ragione il coniglietto, apri il bat con notepad e leggici il contenuto

[zello]

No, è un bat "fasullo". Credo che windows consideri il bat come un eseguibile, e lo faccia partire come tale anche quando in effetti è un exe (l'ho giusto aperto con notepad, e ci sono i magici MZ come caratteri iniziali...).

Ammetto, il comportamento è da virus. Ma i siti pubblicizzati esistono...

PS: non è che qualcuno ha pensato di "usare" un virus come mezzo di propagazione dello spamming? Un virus dove il payload non è altro che mandare in giro il messaggio? Sarebbe terribilmente geniale...

[BianConiglio]

Bè, in effetti un worm-spammer non sarebbe male per uno spammer

[dado]

No, è un bat "fasullo". Credo che windows consideri il bat come un eseguibile, e lo faccia partire come tale anche quando in effetti è un exe (l'ho giusto aperto con notepad, e ci sono i magici MZ come caratteri iniziali...).

Ammetto, il comportamento è da virus. Ma i siti pubblicizzati esistono...

PS: non è che qualcuno ha pensato di "usare" un virus come mezzo di propagazione dello spamming? Un virus dove il payload non è altro che mandare in giro il messaggio? Sarebbe terribilmente geniale...

Potrebbe essere, visto che mi stanno arrivando email a valanga con virus allegato e immagini porno nel corpo del msg...
Prova a veder se l'av te lo vede come virus...

[hexen]

scrivendo a postmaster at edisontel dot com la mail è tornata indietro.

Cmq per la cronaca oggi ho ricevuto uno spam *uguale* che mi ha fatto pensare: se il provider usato dallo spammer è del tipo spam-friendly come si fa? si manda lo stesso il reclamo? (e si viene "venduti" a qualche spammer?)

poi su arin.net, ripe.net devo andarci per sapere se l'ip è un dialup, un proxy o quellocheè?

(zello ti ho inviato la mail)


ciao a tutti

[hexen]

Ho ricevuto una strana cosa [cut] La vostra opinione?

forse è una vaccata, magari non ho capito nulla ma dato che l'hai ricevuta su despammed, quello strano bat non potrebbe essere un codice per aggirare i filtri antispam di despammed? (gioco di parole)


ciao

[zello]

No, despammed non filtra sui contenuti. Mi sono passati tranquillamente un sacco di virus. Filtra solo sugli headers.

Cmq, sa di virus da tutte le parti. Rinominandolo come exe, viene fuori un'icona a cuore verde che ho già visto (hybris?)

[zello]

Da un vecchio msg (dado?)

il W32.Yaha.F@mm !

Ecco l'header dell'email:

Return-Path: <capriccio.shop@capriccioshop.co>
Received: from buddy.siteprotect.com ([64.26.0.87] verified)
by infinito.it (CommuniGate Pro SMTP 3.5.9)
with ESMTP id 16817208 for ******@infinito.it; Sat, 21 Sep 2002 10:19:28 +0200
Received: from mail.pc-facile.com (a-as1-52.tin.it [212.216.125.243])

e i miei headers

Received: from mail.despammed.com (a-as1-26.tin.it [212.216.125.217])

Sono un idiota. E' ovviamente lo stesso. Chi è che ha un account adsl tin a IP variabile nel range 212.216.125.128/25? (cioè da 212.216.125.128-212.216.125.254)?


Chi fa l'annuncio?

Ciao,

--
zello
Sono - ovviamente - un idiota.

[Nicola]

Chi è che ha un account adsl tin a IP variabile nel range 212.216.125.128/25

io ho un accoun TIN ma gli IP datomi sono 80.116.xx.xx 80.117.xx.xx 62.211.xx.xx
gli IP da te citati vengono dati a connessioni dialups TIN/VIRGILIO ed ad ADSL VIRGILIO/TIN [ credo, dovrebbe essere troppe coincidenze fanno una regola... nuovo detto ]
ciao

[dado]

Eh no, qs è troppo. Mandarmi nella mailbox email 'Come and see massive cocks'!! Ma a me non me ne frega niente dei cock....

Return-Path: <bigcocksexxxx@hotmail.com>
Received: from smtp6.libero.it (193.70.192.59) by ims4c.libero.it (6.5.028)
id 3D7F2A4600515E24 for ******@libero.it; Thu, 26 Sep 2002 03:29:02 +0200
Message-ID: <3D7F2A4600515E24@ims4c.libero.it> (added by postmaster@libero.it)
Received: from hotmail.com (66.238.52.21) by smtp6.libero.it (6.5.028)
id 3D8B3C6300DBEEB8 for ******@libero.it; Thu, 26 Sep 2002 03:29:01 +0200
From: "Big Cock Sex" <bigcocksexxxx@hotmail.com>
To: ********@libero.it
Date: Wednesday, September 25, 2002 6:29 PM
Subject: Huge 18 Inch Cocks In Tight Tiny Pussies
X-Mime-Key: search words: suspensory finical rhematology bicornate saxicava laparotome
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_00E5_01C13B83.0D941E50"
Content-Class: urn:content-classes:message


La cosa strana di qs spammer, è che con il prg di Zello, ho ricavato ben meno info del solito...

Analyzing:
Sender (or dispatching mailserver) IP:193.70.192.59
He/she/it has said to be :smtp6.libero.it
Receiving mailserver [by]:ims4c.libero.it
For email: <*******@libero.it>
193.70.192.59 is a valid mx for ********@libero.it
**********
Analyzing:
Sender (or dispatching mailserver) IP:66.238.52.21
He/she/it has said to ********@libero.it>
66.238.52.21 is the last valid ip, probably the spammer?
******************
*****RESULTS******
******************
- 66.238.52.21([No rDNS configured]): Spam source

OrgName: XO Communications
OrgID: XOXO

NetRange: 66.236.0.0 - 66.239.255.255
CIDR: 66.236.0.0/14
NetName: XOX1-BLK-2
NetHandle: NET-66-236-0-0-1
Parent: NET-66-0-0-0-0
NetType: Direct Allocation
NameServer: NAMESERVER1.CONCENTRIC.NET
NameServer: NAMESERVER2.CONCENTRIC.NET
NameServer: NAMESERVER3.CONCENTRIC.NET
NameServer: NAMESERVER.CONCENTRIC.NET
Comment: ADDRESSES WITHIN THIS BLOCK ARE NON-PORTABLE
RegDate: 2002-02-20
Updated: 2002-07-09

TechHandle: DIA-ORG-ARIN
TechName: DNS and IP ADMIN
TechPhone: +1-408-817-2800
TechEmail: hostmaster*at*concentric*dot*net

# ARIN Whois database, last updated 2002-09-25 22:05
# Enter ? for additional hints on searching ARIN's Whois database.

-------------------

[dado]

A proposito, Zello: ti stanno facendo concorrenza!!
Tale guida è liberamente pubblicabile e si può rendere downloadabile ovunque (così c'è scritto)!

[zello]

Scusatemi, sono stato un po' assente...
Hexen

scrivendo a postmaster at edisontel dot com la mail è tornata indietro.

Le rfc dicono che sarebbe obbligatorio l'indirizzo postmaster, ma non tutti le rispettano (il sito http://www.rfc-ignorant.org ti permette di controllare, e infatti lista edisontel.com - non avevo controllato). Prova abuse*at*edisontel.com, ma mi stupirei. E manda ad abuse*at*na.nic.it per conoscenza (specificando nella mail che l'account postmaster non esiste).
Se il provider è spam-friendly, non c'è nulla da fare - lo si blacklista (per chi ha un server, a livello di server - per gli altri a livello di filtro, per esempio con SpamPal).
Dado
Lo so, è arin che ha ridotto sensibilmente il numero di informazioni disponibili (e infatti non so come fare nel programma per estrarre l'abuse...). Per Xo Comm, l'abuse è abuse*at*xo.com (valido anche per concentric).
Nota per i cocks - forse gli spammers prima ingoiano le famose pastiglie "enlarge your penis" e poi si fotografano.

Per la guida - lo so, dovrebbe essere luigi di inna. Ha avuto un buffo scontro con una pseudo-webmaster ospitata da medianetgroup (no comment) veramente demenziale. Prima di plonkarla nel mio killfile (una delle ultime cose che faccio, di solito) ci ho infilato un paio di posts anch'io.

[Frengo78]

Plonkare non l'ho trovato ne sullo zanichelli ne sul devoto-oli zello. Puoi sottotitolarti?

[Triumph Of Steel]

E' un po' che non seguo il 3d... scusate se è ripetuto...

Codice: Seleziona tutto

To: <*_thor_the_powerhead_*at*_inwind*un_bel_punto*it>
From: "Com.Info@libero.it" <Com.Info@libero.it>
Subject: Sconti fino al 50% sul Fitness - Libero Spot
Date: Fri, 27 Sep 2002 1:48:45 +0200
MIME-Version: 1.0
Content-Type: multipart/related;
   type="multipart/alternative";
   boundary="----=_NextPart_000_016F_01C2657C.994CC310"
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1
X-MimeOLE: Produced By Microsoft MimeOLE V5.50.4807.1700

questo è l'Header!! Nessun Received