The (anti-)spam world thread

[zello]

Ne avevo sentito parlare, in effetti.
Mi meraviglio che sia consigliato da bCentral. Qualcuno su NANAE dice che bCentral spamma niente male (ma non so se crederlo, è di M$).

Ciao.

[pjfry]

mi viene il sospetto che:
[::ffff:64.123.54.177]
possa non essere riconosciuto correttamente come indirizzo IP

ho cercato gli header da me postati contenenti quell'ffff nell'ip, tutti hanno a che fare con inet.it e tutti c'hanno un X-Spampal: PASS.
Questa ricerchina mi ha fatto pensare che queste f ci siano proprio per gabbare programmi antispam.

se può essere utile (ma probabilmente lo saprete già...) quel formato con le ffff si usa in IPv6 per indicare un host che supporta solo IPv4

[zello]

Lo sospettavo (tra parentesi, bisogna proprio che mi metta a studiare un po' di rfc sull'IPv6). Nel frattempo verifico la cosa "forgiandomi" una mail e usando un finto pop-server per recuperarla (vediamo un po' cosa dice spampal).

Grazie, ciao

[dado]

Ma Zello per caso sai se in qs giorni hanno liberalizzato lo spam? In 4 giorni che non mi sono collegato mi sono arrivate una trentina di email spammose.... ma diamo i numeri???

[Nicola]

Dado.. segnala tutto !! E per semplificare la divisione dell'email (se non lo fai gia) usa SpamPal

Cmq forze gli spammers ti hanno messo KO la connessione per accentrare lo spam..

Ciao

[zello]

La mia spamtrap è quasi inutilizzabile, mi arrivano una 50ina di spam al giorno, quasi tutti openproxy->openrelay->spamtrap, quasi tutti dal terzo mondo informatico (Corea, Cina, Thailandia, un po' di paesi dell'est, Argentina). Noto con piacere che embratel.net.br non mi manda più schifezze.

Ovviamente segnalo tutto

[dado]

Ovviamente segnalo tutto

Ma anche in Cina? Ma quelli non capiscono una cippa se non è in cinese...

quasi tutti openproxy->openrelay

Ma quando sono openproxy a chi segnali lo spam? A volte non viene dato l'indirizzo dell'abuse...

[Nicola]

Se sono open proxy le segnali all'abuse competente.

Se non lo dice il programma prendi l'ip vai su
http://www.geektools.com whoissi l'ip e prendi le email dell'abuse.. e lo segnali come Open Proxy

Ciao

[tonizzo]

mi aggiungo anch'io a questo post con una richiesta, nella speranza sia ancora controllato

Mediaworld persevera a spedirmi pubblicità. Svariate volte ho cercato di rimuovermi dalla lista, seguendo le loro istruzioni, senza successo alcuno.
L'ultima volta li ho minacciati di rivolgermi al loro provider, ma nulla.

Ora, una ricerca sugli headers mi da:

Final results obtained from whois.ripe.net.
Results:
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See http://www.ripe.net/ripencc/pub-service ... right.html

inetnum: 81.114.57.176 - 81.114.57.191
netname: MEDIAMARKET-S-P-A
descr: MEDIAMARKET S.P.A.
country: IT
admin-c: CB1540-RIPE
tech-c: CB1540-RIPE
status: ASSIGNED PA
mnt-by: TIG-MNT
notify: network@cgi.interbusiness.it
changed: network@cgi.interbusiness.it 20030213
source: RIPE

route: 81.114.0.0/16
descr: DATACOM
origin: AS20959
notify: network@cgi.interbusiness.it
mnt-by: TIG-MNT
changed: datacomnet@telecomitalia.it 20021007
source: RIPE

person: Claudio Bortolotti
address: MEDIAMARKET SPA
address: VIA ENRICO FERMI 4
address: 24035 CURNO BG
address: Italy
phone: +39 0352023109
fax-no: +39 0352023150
nic-hdl: CB1540-RIPE
changed: domain@cgi.interbusiness.it 20030213
source: RIPE

A chi scrivereste voi?

Grazie a tutti, ciao

[Nicola]

per tonizzo:

prima di tutto non disiscriverti dalle lista, facendo così può solo aumentare spam

Circa l'indirizzo io manderei i LARTs all'indirizzo in notify:

notify: network*at*cgi*dot*interbusiness*dot*it

Cmq quando l'indirizzo sono tuoi, di altri, o degli abuse desks mascherali con (at) (dot) o qualcosa di simile.

Ciao.

[zello]

Sei sicuro che MediaWorld==MediaMarket? Mi pare una rete assai piccolina (una HDSL su Interbusiness, probabilmente, 15 indirizzi).
Puoi notificarlo a abuse<at>interbusiness.it (e non otterrai perfettamente nulla), oppure puoi agire legalmente contro MediaMarket (ai sensi della legge sulla privacy), ma non chiedermi di più perché non sono un esperto di diritto.
Non ho trovato hits di MediaMarket su NANAS, né mi sembra che sia blacklistata (non ho controllato sull'archivio del nic.it, troppo lento). Se insistono, gira qui la mail con tanto di headers, che vediamo se si riesce a fare qualcosa di più serio.

[tonizzo]

Innanzitutto grazie.
Ora, rispondendo sia a Nicola che a Zello, sono sicuro che Mediaworld=Mediamarket, perchè a quella lista mi iscrissi io volontariamente un paio d'anni fa quando feci un acquisto presso di loro. C'era un concorso, e mi iscrissi al negozio dando la mia mail. Ciò non toglie che ora sia impossibile togliersi da questa lista, in alcun modo. Ecco perchè (rispondendo a Nicola) ho risposto loro, solo perchè inizialmente non era spam, ma ora lo è in un certo senso diventato! Non rispondo mai agli unsubscribe di sconosciuti.
E mi scuso per aver messo alcuni indirizzi "in chiaro"

Eccovi gli headers dell'ultima:

Return-Path: <servizioclientiMWM(AT)mediaw.it>
Received: from smtp4(dot)libero(dot)it (193.70.192.54) by ims4b(dot)libero(dot)it (6.5.028)
id 3E6268CA00022026 for mioindirizzo(AT)libero(dot)it; Mon, 3 Mar 2003 10:21:54 +0100
Received: from s1wanbg0(dot)mediaw(dot)it (81.114.57.183) by smtp4(dot)libero(dot)it (6.7.015)
id 3E4CEE700293DBFD for mioindirizzo(AT)libero(dot)it; Mon, 3 Mar 2003 10:21:54 +0100
Received: from bg0pl1s(dot)saturn(dot)it ([172.30.1.11]) by s1wanbg0(dot)mediaw(dot)it with Microsoft SMTPSVC(5.0.2195.5329);
Mon, 3 Mar 2003 10:21:52 +0100
Subject: Media World e LaRinascente: un mese di sconti.
To: mioindirizzo(AT)libero(dot)it
Message-ID: <OF5ACF47A0.164D9B6B-ONC1256CDE.00336E67(AT)saturn(dot)it>
From: "Servizio ClientiMWM"<servizioclientiMWM(AT)mediaw(dot)it>
Date: Mon, 3 Mar 2003 10:21:45 +0100
X-MIMETrack: Serialize by Router on Server1Centrale/Saturn/IT(Release 5.0.8 |June 18, 2001) at
03/03/2003 10.21.50
MIME-Version: 1.0
Content-type: text/plain; charset=iso-8859-1
Content-transfer-encoding: quoted-printable
X-OriginalArrivalTime: 03 Mar 2003 09:21:52.0536 (UTC) FILETIME=[539AC180:01C2E166]

[Nicola]

Allora:

172.30.1.11 è un IP locale, cioe' passaggio di e-mail tra una LAN verso s1wanbg0.mediaw.it (metti dot e at sono per indirizzi e-mail, non per gli hosts )

81.114.57.183 è:

Codice: Seleziona tutto

netname:      MEDIAMARKET-S-P-A
descr:        MEDIAMARKET S.P.A.

E come al solito network(at)cgi(dot)interbusiness(dot)it.

s1wanbg0.mediaw.it è un host fake:

Codice: Seleziona tutto

C:\>nslookup s1wanbg0.mediaw.it
Server:  host171-70.pool8021.interbusiness.it
Address:  80.21.70.171

*** host171-70.pool8021.interbusiness.it non trova s1wanbg0.mediaw.it: Non-exist
ent domain

L'indirizzo è il solito... se vuoi manda a abuse(at)interbusiness.it come dice zello

Bye

[zello]

Proviamo con le buone:

a info<at>mediaw.it, postmaster<at>mediaw.it
Subject: rimozione dalla lista
Salve,
Con la presente sono a richiederVi di volermi rimuovere dalla Vs.mailing list, e revoco l'autorizzazione da me a suo tempo data per l'uso a scopo promozionale dei miei dati personali.
Faccio presente che non è la prima volta che lo chiedo. Nel caso ricevessi ancora da Voi ulteriori comunicazioni promozionali, mi riservo eventualmente di ricorrere al Garante della Privacy per uso non autorizzato di dati personali.
Grazie per la collaborazione, e cordiali saluti.

--
<firma, con nome e cognome>

Vediamo un po' che succede.

[tonizzo]

Proviamo con le buone:

a info<at>mediaw.it, postmaster<at>mediaw.it
Subject: rimozione dalla lista
Salve,
Con la presente sono a richiederVi di volermi rimuovere dalla Vs.mailing list, e revoco l'autorizzazione da me a suo tempo data per l'uso a scopo promozionale dei miei dati personali.
Faccio presente che non è la prima volta che lo chiedo. Nel caso ricevessi ancora da Voi ulteriori comunicazioni promozionali, mi riservo eventualmente di ricorrere al Garante della Privacy per uso non autorizzato di dati personali.
Grazie per la collaborazione, e cordiali saluti.

--
<firma, con nome e cognome>

Vediamo un po' che succede.

Giuro che già scrissi a loro più volte intimandoli di rimuovermi dalla lista, senza successo. Ecco perchè ho pensato di rivolgermi a chi in qualche modo fa loro da provider, nel caso esista nella gerarchia qualcuno sopra.

Grazie ciao

[Nicola]

A proposito di Interbusiness.. ho segnalato proprio oggi ad network(at)cgi(dot)interbusiness(dot)it lo spam di un fesso che trattava di guadagni con il proprio sito.. anche se so già che NON riceverò mai risposte.. meglio segnalare .

Ciao

[tonizzo]

a info<at>mediaw.it, postmaster<at>mediaw.it

Appena spedito un'altro "tentativo" di rimozione con il testo da te scrittomi ma tali username non esistono!

Grazie ciao

[hexen]

ho lartato inet.it (quelli dell'ffff), ecco la risposta:

hello,

sorry but we are not able to stop this spammer as our servers are not open
relays, but are configured as secondary MX (relay) for the domain
infinito.it because infinito.it is a customer of ours, so the spam you
received was seen as a normal e-mail by our systems.

spam filtering is done at local mx level (smtp.infinito.it) and not on
secondary MX, as the mail usually transit on the secondary only when the
primary is not avaiable

L'ip dell'open relay è 213.92.5.23
Però Abuse non mi ha parlato di MX validi per infinito.it, ma solo di open relay conosciuto.

Mah!

[zello]

hexen, il problema è che:
1) l'estrazione degli MX non è affidabilissima (e difatti segnalo solo se c'è anche un listing x open relay in qualche blacklist)
2) purtroppo in questo caso c'era anche un listing... 127.0.0.5 da five-ten-sg, che significa:

multistage - The output server from multi-stage open relay chains that have sent spam to users here

Multistage open relay: è un server che, assieme ad altri, funge da open relay. E' un problema che si verifica piuttosto spesso, prendiamo questo caso:

Spammer->Open relay interno a inet.it->Mailserver di inet.it->target

Il vero open relay è il primo, ma il secondo "partecipa" alla distribuzione dello spam (dal suo punto di vista, prendere mail dal primo mailserver è legittimo, visto che è interno alla sua rete).
Potremmo togliere 127.0.0.5 dai valori validi per five-ten-sg. Apri regedit, vai su HKCU/Software/!pc-facile/Abuse/dnsbls/five-ten-sg e sostituisci la chiave 127.0.0.5, che attualmente ha valore "OPENRELAY", con "NOTLISTED" (in maiuscolo) - in questo modo il valore di 127.0.0.5 sarà ignorato.


Per tonizzo:
P.Bernasconi<at>mediaw.it
Pinuccia.Algeri<at>mediaw.it
Sono nelle whois info di mediaworld.it, e quindi dovrebbero essere attivi. Fagli presente che sarebbe meglio che creassero l'account postmaster<at>mediaw.it, come previsto dalle RFC.

[tonizzo]

Per tonizzo:
P.Bernasconi<at>mediaw.it
Pinuccia.Algeri<at>mediaw.it
Sono nelle whois info di mediaworld.it, e quindi dovrebbero essere attivi. Fagli presente che sarebbe meglio che creassero l'account postmaster<at>mediaw.it, come previsto dalle RFC.

Ciao e grazie come sempre.

Il primo pare non esistere, ma almeno la mail indirizzata al secondo non è tornata indietro, e già parrebbe essere un buon segno.
Ho fatto anche presente quanto hai detto circa le RFC, ti terrò aggiornato.

Grazie ancora, ciao