The (anti-)spam world thread

[Frengo78]

Martella, cita le fonti, i link, riporta la pagina, faglielo leggere in qualche modo! è l'unica cosa da fare con gli utonti

[zello]

gia'.... ma lei non la capisce

Segnalala per spamming... D'altra parte è posta non sollecitata...
A parte gli scherzi, se sa l'inglese, falle leggere la faq di NANAE su perché lo spam è male - che peraltro è dopotutto un bel riferimento. Nota di colore: le faq di NANAE, che sono su http://www.spamfaq.net, sono in gran parte mantenute da James Farmer, autore di SpamPal.

Ciao,

[Giulio]

Ma quell'indirizzo email esistera' davvero? se ericsson non e' un provider com'e' la storia?

Si ma secondo voi come fa' questo spammer a mettere in piedi una cosa cosi' con un indirizzo ericsson.com?

[zello]

Non saprei, però ericcson.com farebbe meglio a prestare più attenzione nello scegliere il suo provider...

Codice: Seleziona tutto

Mail for www.ericcson.com is handled by m1.dnsix.com (1800) 64.85.73.31
64.85.73.31 (m1.dnsix.com) listed in OSIRUS(127.0.0.6) DORKZTL(127.0.0.2) FIVETEN(127.0.0.2) SBL(127.0.0.2)
Osirus Relays List (OSIRUS): http://spamhaus.org/SBL/sbl.lasso?query=SBL6211
Dorkslayers Zero Tolerance List (DORKZTL): 64.85.73.31 is listed by ztl.dorkslayers.com
Five Ten (FIVETEN): added 2002-04-09; on netlimited.net and exodus
Spamhaus Block List (SBL): Listed on SBL - see http://spamhaus.org/SBL/sbl.lasso?query=SBL6211


Complimentoni! Hanno il mailserver in sbl (e non in spews), oltre che in altre minori...
Mi sa che ericcson non ha ancora ben capito le problematiche della posta elettronica - per inciso, sul piano finanziario sta messa malino, per quanto ne so io...

[Giulio]

Ma la ditta di telefonia mobile e' "ericSSon.com" ho visto anche io ora che esiste un "eriCCson.com" e mi sa' che serve a trarre in inganno (comunque la mia email e' della ditta svedese, quella giusta)

[zello]

Ok, ho fatto una stupidaggine
Però mi sa che lo spam sta continuando a girare dal 2000: già se ne parla su NANAE nell'aprile di quell'anno.
Tra parentesi, si afferma anche che è un hoax ai danni della Ericcson, infatti, se si manda una mail a Anna Swetlund:

> ... while talking to gwu.ericy.com.:
> > >>> RCPT To:<Anna.Swelund@ericsson.com>
> > <<< 560 <Anna.Swelund@ericsson.com>... This is a hoax.See
> >

Ciao

[Giulio]

Gia', quello mi chiedevo....
Grazie ciao

[zello]

Pazzesco. Mi ha risposto l'amministratore di un open proxy in Vietnam. Mai successo (ma non ho controllato se l'ha anche chiuso).

> Hi,
> as you can see in the headers of the following
> unsolicited e-mail, you have a wide open proxy at IP
> 203.162.44.178, already abused by spammers.
> You're already on some openproxies'blacklist (BOPM).
> You can:
> [ ] restrict the access to the proxy to authorized
> users only
> [ ] disconnect it from the internet, if you ain't got
> the skills to fix it
> [ ] keep the proxy open, let the spammers flowing thru'
> it (and anonymizing theirselves) and end up in some
> more blocklists, probably forever.
>
> Feel free to choose the one you prefer.
>
> Thank you,
>
> --
> zello

thanks for your help
Rgds.
Spt

Non l'avrei veramente mai detto...

[dado]

Pazzesco. Mi ha risposto l'amministratore di un open proxy in Vietnam. Mai successo (ma non ho controllato se l'ha anche chiuso).

> Hi,
> as you can see in the headers of the following
> unsolicited e-mail, you have a wide open proxy at IP
> 203.162.44.178, already abused by spammers.
> You're already on some openproxies'blacklist (BOPM).
> You can:
> [ ] restrict the access to the proxy to authorized
> users only
> [ ] disconnect it from the internet, if you ain't got
> the skills to fix it
> [ ] keep the proxy open, let the spammers flowing thru'
> it (and anonymizing theirselves) and end up in some
> more blocklists, probably forever.
>
> Feel free to choose the one you prefer.
>
> Thank you,
>
> --
> zello

thanks for your help
Rgds.
Spt

Non l'avrei veramente mai detto...

Un vietnamita che risponde in inglese!! Qs è ancora più sorprendente!

[Nicola]

ho segnalato una mail passata tramite despammed.com e l'ho inoltrata a abue<at>despammed.com che aggiornera' i filtri e pensera lui a mandare agli abuse competenti (letto dal sito).

Sapete mica se despammed.com risponde o non devo aspettarmi una risposta?

Grazie.

[hexen]

e pensera lui a mandare agli abuse competenti (letto dal sito).

io ho scritto sia a despammed+at+despammed.com che all'isp dello spammer, non credo che i lart siano mai troppi

Sapete mica se despammed.com risponde o non devo aspettarmi una risposta?

a quanto ricordo non mi ha mai risposto

Scusa, per caso lo spam che hai ricevuto viene da tiscali e ha come oggetto "i siti piu' divertenti"

[Nicola]

Ciao hexen. Prima di tutto grazie della risposta.
Poi:

io ho scritto sia a despammed+at+despammed.com che all'isp dello spammer, non credo che i lart siano mai troppi

Io non sono troppo esperto e lascio mandare il lart a chi ne sa più di me

a quanto ricordo non mi ha mai risposto

Speriamo che aggiornino almeno i filtri anche se non rispondono.

Scusa, per caso lo spam che hai ricevuto viene da tiscali e ha come oggetto "i siti piu' divertenti"

No. Il subject era "Svendita DVD!" o qualcosa del genere.

Ciao.

[Kin]

ho un problemuccio, stasera ricevo sulla posta 40 Mail Returned per vari motivi: indirizzi non esistenti, caselle piene, ecc... e continuano ad arrivare... mail che ovvimente io non ho mai spedito, mail di spam...

qualche spammer pezzente ha avuto la bella pensata di inviare un bel po' di roba falsificando il campo "from" col mio indirizzo... bastardo!

in questo caso come mi posso comportare? analizzo gli header delle email e segnalo agli abuse come se fosse spam rivolto a me? ho già visto però che sono indirizzi ip già inclusi in più di una lista

che stress...

[zello]

Fossi in te contatterei il postmaster del tuo servizio, gli direi il problema e gli chiederei di filtrarmi i bounces.
Rimane la validità di segare gli account che inviano, ovviamente.

[Kin]

scusa l'ignoranza, ma puoi spiegarmi meglio la faccenda di filtrare i bounces? in che consiste e come può essermi utile?

quanto a segare gli account che inviano, non tutte le mail che mi sono arrivate contenevano l'header originale, ma alcune sì ed analizzandole con tuo software lo spam è partito da:

- 218.22.121.98([No rDns configured]): Open proxy
- 217.131.4.149([No rDns configured]): Open proxy

entrambi open proxy uno cinese e l'altro turco se ho capito bene, non credo ci siano grandi speranze di segarli e comunque lo spammer può continuare a spammare da altre fonti continuando ad utilizzare il mio indirizzo come copertura.. (almeno credo sia così)

[Kin]

emh... già che ci siamo mi aiutereste con sto header?
lo spammer è 63.226.138.7 o 216.63.84.228 ???
(miosito.it sta al posto del mio vero indirizzo)

From - Sun Jan 26 21:59:34 2003
X-UIDL: 3e344b920000001d
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <MAILER-DAEMON@miosito.it>
Received: from dns26.dnshostserver.com (root@localhost)
by miosito.it (8.11.6/8.11.6) with ESMTP id h0QKdH101279
for <seaton3@miosito.it>; Sun, 26 Jan 2003 21:39:17 +0100
X-ClientAddr: 63.231.195.36
Received: from mpls-mailin-05.inet.qwest.net (mpls-mailin-05.inet.qwest.net [63.231.195.36])
by dns26.dnshostserver.com (8.11.6/8.11.6) with SMTP id h0QKdGU01198
for <seaton3@miosito.it>; Sun, 26 Jan 2003 21:39:16 +0100
Message-Id: <200301262039.h0QKdGU01198@dns26.dnshostserver.com>
Received: (qmail 95938 invoked for bounce); 26 Jan 2003 20:34:43 -0000
Date: 26 Jan 2003 20:34:43 -0000
From: MAILER-DAEMON@mpls-mailin-05.inet.qwest.net
To: seaton3@miosito.it
Subject: failure notice
Status:
X-SpamPal: PASS

Hi. This is the qmail-send program at mpls-mailin-05.inet.qwest.net.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

<leerob25@mail-slkc.uswest.net>:
Disk Quota Exceeded.
Sorry, your message cannot be delivered because the recipient has
exceeded their disk space limit for email.

--- Below this line is a copy of the message.

Return-Path: <seaton3@miosito.it>
Received: (qmail 95933 invoked by uid 0); 26 Jan 2003 20:34:43 -0000
Received: from unknown (HELO mail7.uswest.net) (63.226.138.7)
by mpls-mailin-05.inet.qwest.net with SMTP; 26 Jan 2003 20:34:43 -0000
Received: (qmail 34227 invoked by uid 0); 26 Jan 2003 20:25:56 -0000
Received: from unknown (HELO miosito.it) (216.63.84.228)
by mail7.uswest.net with SMTP; 26 Jan 2003 20:25:56 -0000
Received: from miosito.it by 8F0GBQ71PM0J.miosito.it with SMTP for charlut@qwest.net; Sun, 26 Jan 2003 15:41:57 -0500
Date: Sun, 26 Jan 2003 15:41:57 -0500
Message-Id: <31SH9K926W3WM3K52.38R3YM5631UL8VY.seaton3@miosito.it>
From: seaton3@miosito.it
To: charlut@qwest.net
Subject: IT'S EASY, USE YOUR EMAIL AND MAKE MONEY
Reply-To: charlut@miosito.it
X-MSMail-Priority: Normal
X-Sender: seaton3@miosito.it
Importance: Normal
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable

[zello]

Per i bounce: potresti dire a chi gestisce il tuo mailserver di fare - per un po' - il drop di tutte le mail destinate a te e con envelope-from uguale a <> (di solito i bounce sono così)

Received: from mpls-mailin-05.inet.qwest.net (mpls-mailin-05.inet.qwest.net [63.231.195.36])
by dns26.dnshostserver.com (8.11.6/8.11.6) with SMTP id h0QKdGU01198
for <seaton3@miosito.it>; Sun, 26 Jan 2003 21:39:16 +0100
From: MAILER-DAEMON@mpls-mailin-05.inet.qwest.net
OK, è un bounce da qwest.net

Dalla mail originale

Received: from unknown (HELO mail7.uswest.net) (63.226.138.7)
by mpls-mailin-05.inet.qwest.net with SMTP; 26 Jan 2003 20:34:43 -0000

Da uswest.net a qwest.net (sempre loro, credo)

Received: from unknown (HELO miosito.it) (216.63.84.228)
by mail7.uswest.net with SMTP; 26 Jan 2003 20:25:56 -0000

da 216.63.84.228 (Southwestern Bell [abuse<at>swbell.net] subaffittato (/25) a MAX2 BUMTTX Dial Pool [che se vuoi la mia opinione, è lo spammer che si finge ISP, e quindi non gli scriverei]) a qwest.net

E' in qualche blacklist minore (SpamCop, FiveTen, DorkSlayers), nessuna segnalazione di questa spamrun in NANAS, altre segnalazioni dallo stesso indirizzo (che mi pare sulla buona strada per finire in spews).

[Nicola]

Codice: Seleziona tutto

Received: (qmail 703 invoked from network); 27 Jan 2003 10:13:52 -0000
Received: from unknown (HELO buddy.siteprotect.com) (64.26.0.87)
  by mail.supereva.it with SMTP; 27 Jan 2003 10:13:53 -0000
Received: from tin.it ([217.147.41.3])
   by buddy.siteprotect.com (8.9.3/8.9.3) with SMTP id EAA13419
   for <nicola*pc-facile*com>; Mon, 27 Jan 2003 04:13:49 -0600
From: Ingbtqr@tin.it
Message-ID: <001110d7bc50$ecd71812$78607078@uebdadf.twe>
To: Ing@tin.it
Subject: Meravigliosi sms!                                                                        7399XEUP6-847Dvzj517-19
Date: Mon, 27 Jan 2003 04:14:16 +0600
MIME-Version: 1.0
Content-Type: text/html;
   charset="iso-8859-1"
X-Priority: 3
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
Importance: Normal

Come faccio a sapere se è un proxy o è proprio l'indirizzo dello spammer?

Grazie..

Ciao...

[zello]

http://samspade.org/t/rbl?a=217.147.41.3&r=on
Qua puoi fare il test sulle dnsbls di proxies (fondamentalmente blitzed).
Oppure usi http://cache.jp.apan.net/proxy-checker/, magari dopo che hai fatto un portscan (forse era meglio non dirlo?) per vedere se la 1080, la 8080, la 8081, la 1080, la 3128, la 80 o la 23 (lo so, lo so, http e telnet - non è colpa mia se molti hanno proxies su porte destinate ad altri servizi) sono aperte.

[Nicola]

ok grazie l'ho segnalato come open-proxy..

riceverò mai risposte dalla Lituania???


Ciao...