spammer folli!!!!!

[annamex]

ciao ragazzi!
premetto che sono sono qui per chiedere il vostro aiuto, di computer, internet, annessi e connessi non ci capisco niente, e non so neanche se sono nel posto giusto.
Questo il punto: odio lo spam, mi sono scaricata alcuni consigli x individuare i provider degli spammer e informarli che il tal utente fa dello spam. Solitamente i provider sono tenuti a togliere il servizio al perditempo di turono...ma non so cosa sia successo nel mio caso, probabilmente avrò sbagliato qualcosa, cmq il giorno successivo a questa operazione il mio spam è cambiato, non è più pubblicità di viagra o consimili, ma e-mail oscene, a sfondo sessuale... Insomma, pur essendo adulta e vaccinata, potete immaginare che non sia carino ricevere questo tipo di proposte da indirizzi e luoghi sempre diversi.
La prima e-mail aveva queste proprietà:

Return-Path: <Annika@sealtek.ru>
X-Cloudmark-Score: 100.000000 [XXXXXX]
X-Alert: possible spam!
Received: from [151.57.13.66] (HELO [151.57.7.19])
by mailfe11.swip.net (CommuniGate Pro SMTP 5.1.10)
with ESMTP id 479809903 for mio indirizzo; Sat, 13 Oct 2007 10:55:13 +0200
Received: from PC1 ([109.175.106.83] helo=PC1)
by [151.57.7.19] ( sendmail 8.13.3/8.13.1) with esmtpa id 1vCYvj-000TJS-Pu
for mio indirizzo; Sat, 13 Oct 2007 11:01:33 +0200
Message-ID: <000d01c80d77$9858b9c0$13073997@PC1>
From: "Annika LaGaipa" <Annika@sealtek.ru>
To: <mio indirizzo>
Subject: reclip
Date: Sat, 13 Oct 2007 11:01:08 +0200


Io che non ci capisco un'acca sono andata su ARIN e inserendo l'IP del PC1 mi dice che il "proprietario è IANA". sono sulla giusta strada?
devo chiedere a loro?

[annamex]

Inserisco anche gli header delle altre due e-mail da decifrare
1_
Return-Path: <gantmanrmvf@friendsofthefamily.com>
X-Cloudmark-Score: 100.000000 [XXXXXX]
X-Alert: possible spam!
Received: from bzq-84-110-136-178.red.bezeqint.net ([84.110.136.178] verified)
by mailfe09.swip.net (CommuniGate Pro SMTP 5.1.10)
with ESMTP id 483559250 for mio indirizzo; Tue, 16 Oct 2007 10:24:35 +0200
Received: from zana ([199.198.120.14]:18850 "EHLO zana"
smtp-auth: <none> TLS-CIPHER: <none> TLS-PEER-CN1: <none>)
by bzq-84-110-136-178.red.bezeqint.net with ESMTP id S22BSYKPDPNAZYAB (ORCPT
<rfc822;mio indirizzo@mailgw.swip.net>);
Tue, 16 Oct 2007 10:25:51 +0200
X-Mailer: QUALCOMM Windows Eudora Version 7.1.0.9
Date: Tue, 16 Oct 2007 10:25:23 +0200
To: me
From: "asdf gantman" <gantmanrmvf@friendsofthefamily.com>
Subject: etkeokeo
qui ARIN mi da che 199.198.120.14 è di proprietà di PARAXAI-1 che non è un provider e non lo trovo nel web.

2_
Return-Path: <aranbil@ehv-westfalen-mitte.de>
X-Cloudmark-Score: 100.000000 [XXXXXX]
X-Alert: possible spam!
Received: from [71.110.236.26] ([71.110.236.26] verified)
by mailfe08.swip.net (CommuniGate Pro SMTP 5.1.10)
with ESMTP id 651827707 for mio indirizzo; Wed, 17 Oct 2007 08:25:44 +0200
Received: from Lopez ([185.156.180.195] helo=Lopez)
by [71.110.236.26] ( sendmail 8.13.3/8.13.1) with esmtpa id 1rXUAT-000JZA-eR
for mio indirizzo; Tue, 16 Oct 2007 23:27:45 -0700
X-Mailer: QUALCOMM Windows Eudora Version 7.1.0.9
Date: Tue, 16 Oct 2007 23:27:14 -0700
To: mio indirizzo
From: "Cristen aranbil" <aranbil@ehv-westfalen-mitte.de>e qui secondo la mia logica improvvisata posso pensare che sia sempre IANA quello da contattare (185.156.180.195 è suo).

Ho il dubbio di dover verificare anche le e-mail ma non son sicura circa il metodo da utilizzare, e cmq per quello che è provato, sembrano esulare completamente da tutti i miei ragionamenti precedenti...

Mi sono rivolta a voi prima di sentirmi costretta a cambiare indirizzo o a procedere per vie legali e denunciare il fatto alla polizia postale perchè sono convinta che se tutti i provider si adoperassero per eliminare lo spam, o cmq rendergli la vita difficile, sarebbe meglio per tutti, e per la nostra posta.

[zello]

(uh, quanto tempo che non facevo più un po' di header scanning).
Premessa, IANA è l'ente che gestisce l'assegnazione degli ip, se ti viene fuori come responsabile hai fatto qualche errore. Non contattare lo IANA per nessun motivo, loro non c'entrano sicuramente.

Codice: Seleziona tutto

Received: from [151.57.13.66] (HELO [151.57.7.19])
by mailfe11.swip.net (CommuniGate Pro SMTP 5.1.10)
with ESMTP id 479809903 for mio indirizzo; Sat, 13 Oct 2007 10:55:13 +0200
Received: from PC1 ([109.175.106.83] helo=PC1)
by [151.57.7.19] ( sendmail 8.13.3/8.13.1) with esmtpa id 1vCYvj-000TJS-Pu
for mio indirizzo; Sat, 13 Oct 2007 11:01:33 +0200


Ve' che per me il secondo Received è falso, e l'origine è 151.57.7.19 (Infostrada, cerca su http://www.ripe.net):
- per cominciare, un mailserver che si presenta all'helo con l'indirizzo IP è estremamente sospetto (e comunque non ha un ptr record assegnato, tra l'altro); qualche blocking list tra l'altro mi dice che l'ip è dinamico.
- la seconda riga dovrebbe essere più vecchia, ma riporta un orario successivo (la prima è delle 10:55, la seconda è delle 11:01). Non so perché ma gli spammers questa fanno fatica a capirla.

La seconda mail (Subject: etkeokeo) ha anche lei il secondo Received falso, e viene da 84.110.136.178 (in questo caso è facile, è listato come macchina troianizzata su xbl), nell'ip space di bezeqint.net (direi provider israeliano, abuse<at>bezeqint.net).

Il terzo è identico, viene da 71.110.236.26 (verizon).
L'idea è che sia stato usato lo stesso troiano per tutte e tre le mail, dato che gli headers si assomigliano moltissimo (il riferimento a sendmail, l'indicazione 'helo=...' che non è caratteristica - per quanto mi ricordo - di sendmail "standard").

[annamex]

da oggi ho un nuovo mito!! grazie!!