🚀 go-pugleaf

W dniu 13.06.2019 o 02:53, KIKI pisze:
> Dzisiaj zablokowałem w iptables 80.211.0.0/16 należące do aruba.it i
> spam przestał przychodzić w ogóle. Miałem po tysiąc prób dziennie z
> różnych IP zaczynających się na 80.122. i pewna ilość przebijała się
> przez RBL-e.
> Czy nie za restrykcyjnie? Ale nie widziałem innej możliwości.
> 

Słusznie, to snowshoe - chmurowość usługi pozwala spamerom zmieniać IP 
wedle życzenia.

obecnie najładniej spamuje:
finansowanie-handlu.cloud

ja mam w RBLu:

80.211.239.20
80.211.156.73
80.211.203.200:127.0.0.5:spamerem jest 
biznesfinansowanie.pl/biznes-finansowanie.pl
80.211.196.155:127.0.0.5:spamerem jest biuroinformacji.cloud
80.211.231.165:127.0.0.5:spamerem jest b2bsup.com.pl
80.211.137.192:127.0.0.5:spamerem jest fly-biz.pl
80.211.141.212:127.0.0.5:spamerem jest work-smart.pl
80.211.34.154:127.0.0.5:spamerem jest honest-team.com.pl
80.211.139.195:127.0.0.5:spamerem jest proffesional-serv.com.pl
80.211.189.125:127.0.0.5:spamerem jest sportdlabiznesu.pl
80.211.174.35:127.0.0.5:spamerem jest auto-store.pl
80.211.205.198:127.0.0.5:spamerem jest keep-business.pl
80.211.100.246:127.0.0.5:spamerem jest wygodnykredyt.info
80.211.128.223:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.136.133:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.14.205:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.147.40:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.153.45:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.16.148:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.173.187:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.173.70:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.177.220:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.178.179:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.179.134:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.181.25:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.182.179:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.182.95:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.183.191:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.230.211:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.232.77:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.239.40:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.25.233:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.35.209:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.48.140:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.50.239:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.6.125:127.0.0.5:spamerem jest kredyty-msp.pl
80.211.100.169:127.0.0.5:spamerem jest yoursolution.com.pl
80.211.176.5:127.0.0.5:spamerem jest microfactor.com.pl
80.211.130.180:127.0.0.5:spam finansowanie-handlu.cloud/infinitysupport.pl
80.211.193.204
80.211.197.17
80.211.227.35
80.211.233.199
80.211.199.84
80.211.225.222
80.211.199.138
80.211.129.218
80.211.200.165
80.211.197.19
80.211.232.43
80.211.234.185
80.211.204.59
80.211.224.104
80.211.225.88
80.211.229.41
80.211.137.126
80.211.205.239
80.211.224.175
80.211.230.171
80.211.145.182
80.211.144.218
80.211.147.71
80.211.230.186
80.211.156.49
80.211.136.38
80.211.128.50
80.211.148.216
80.211.163.102
80.211.167.133
80.211.165.28
80.211.151.48
80.211.230.38
80.211.170.77
80.211.227.110
80.211.172.217
80.211.142.202
80.211.176.172
80.211.254.205
80.211.236.145
80.211.160.46
80.211.224.53
80.211.173.190
80.211.152.137
80.211.151.110
80.211.242.128
80.211.218.241
80.211.152.113
80.211.237.242
80.211.172.13
80.211.157.15
80.211.211.30
80.211.169.98
80.211.1.79
80.211.178.134
80.211.11.31
80.211.181.172
80.211.4.231
80.211.6.92
80.211.244.53
80.211.233.241
80.211.11.90
80.211.37.91
80.211.42.235
80.211.157.234
80.211.157.86
80.211.189.127
80.211.186.30
80.211.41.97
80.211.180.46
80.211.167.10
80.211.27.162
80.211.88.13
80.211.55.13
80.211.70.201
80.211.165.163
80.211.146.160
80.211.30.250
80.211.53.238
80.211.15.8
80.211.173.217
80.211.109.238
80.211.137.53
80.211.47.92
80.211.85.155
80.211.250.181
80.211.246.79
80.211.92.203
80.211.254.146
80.211.55.43
80.211.107.44
80.211.240.186
80.211.255.198
80.211.240.203
80.211.9.241
80.211.112.203
80.211.24.184
80.211.246.30
80.211.108.176
80.211.151.18
80.211.246.17
80.211.43.158
80.211.240.56
80.211.135.181
80.211.199.104
80.211.244.127
80.211.138.46
80.211.38.113
80.211.53.82
80.211.237.178
80.211.10.233
80.211.28.88
80.211.72.76
80.211.206.132
80.211.22.213
80.211.241.241




na FW:

80.211.181.25
80.211.173.70
80.211.153.45
80.211.16.148
80.211.230.211
80.211.50.239
80.211.179.134
80.211.183.191
80.211.48.140
80.211.136.133
80.211.130.180
80.211.182.179
80.211.173.187
80.211.14.205
80.211.232.77
80.211.182.95
80.211.177.220
80.211.239.40
80.211.178.179
80.211.6.125
80.211.25.233
80.211.128.223
80.211.35.209
80.211.147.40


uceprotect L1 listuje:
80.211.1.5
80.211.10.6
80.211.104.134
80.211.109.211
80.211.109.238
80.211.112.26
80.211.128.125
80.211.128.95
80.211.129.101
80.211.130.180
80.211.131.115
80.211.134.17
80.211.134.18
80.211.145.107
80.211.149.70
80.211.15.48
80.211.158.6
80.211.164.108
80.211.168.146
80.211.179.28
80.211.189.228
80.211.199.104
80.211.206.132
80.211.21.22
80.211.22.213
80.211.229.27
80.211.240.186
80.211.242.32
80.211.245.204
80.211.252.107
80.211.252.113
80.211.252.115
80.211.252.138
80.211.252.143
80.211.252.16
80.211.252.178
80.211.252.203
80.211.252.228
80.211.252.238
80.211.252.26
80.211.252.31
80.211.252.35
80.211.252.43
80.211.252.46
80.211.252.62
80.211.252.71
80.211.252.8
80.211.252.97
80.211.253.109
80.211.253.114
80.211.253.12
80.211.253.180
80.211.253.212
80.211.253.213
80.211.253.232
80.211.253.241
80.211.253.25
80.211.253.253
80.211.253.29
80.211.253.70
80.211.253.81
80.211.254.58
80.211.28.88
80.211.32.32
80.211.42.190
80.211.45.17
80.211.55.174
80.211.69.171
80.211.72.97
80.211.79.226
80.211.82.215
80.211.83.191
80.211.86.39
80.211.87.122
80.211.87.151
80.211.9.85
80.211.91.177

80.211.248.0/21 Net 80.211.248.0/21 is UCEPROTECT-Level2 listed because 
33 abusers are hosted by ARUBA, PL/AS205727 there.

-- 
Pozdrawiam
Lemat

W dniu 13.06.2019 o 06:44, Lemat pisze:
> W dniu 13.06.2019 o 02:53, KIKI pisze:
>> Dzisiaj zablokowałem w iptables 80.211.0.0/16 należące do aruba.it i
>> spam przestał przychodzić w ogóle. Miałem po tysiąc prób dziennie z
>> różnych IP zaczynających się na 80.122. i pewna ilość przebijała się
>> przez RBL-e.
>> Czy nie za restrykcyjnie? Ale nie widziałem innej możliwości.
>>
> 
> Słusznie, to snowshoe - chmurowość usługi pozwala spamerom zmieniać IP 
> wedle życzenia.
> 
> obecnie najładniej spamuje:
> finansowanie-handlu.cloud
> 

zapomniałbym o Infinity Support - spamują z OVH a strony/domeny hostują 
w Aruba


-- 
Pozdrawiam
Lemat

On 13.06.2019 06:44, Lemat wrote:
> W dniu 13.06.2019 o 02:53, KIKI pisze:
>> Dzisiaj zablokowałem w iptables 80.211.0.0/16 należące do aruba.it i
>> spam przestał przychodzić w ogóle. Miałem po tysiąc prób dziennie z
>> różnych IP zaczynających się na 80.122. i pewna ilość przebijała się
>> przez RBL-e.
>> Czy nie za restrykcyjnie? Ale nie widziałem innej możliwości.
>>
> 
> Słusznie, to snowshoe - chmurowość usługi pozwala spamerom zmieniać IP
> wedle życzenia.
> 
> obecnie najładniej spamuje:
> finansowanie-handlu.cloud

W RBL-u to mi za dużo obciążało moją wątłą maszynkę. Dopisałem do
iptables w routerze żeby w ogóle nie nawiązywało połączeń. I spam
dosłownie przestał przychodzić, dzisiaj drugi dzień bez spamu.

W dniu 13.06.2019 o 13:57, KIKI pisze:

>
> W RBL-u to mi za dużo obciążało moją wątłą maszynkę. Dopisałem do
> iptables w routerze żeby w ogóle nie nawiązywało połączeń. I spam
> dosłownie przestał przychodzić, dzisiaj drugi dzień bez spamu.
>

W ogóle zabroniłeś połączeń z tej klasy, czy na porty 25 i 587?

LFC

W dniu 13.06.2019 o 13:57, KIKI pisze:

>> Słusznie, to snowshoe - chmurowość usługi pozwala spamerom zmieniać IP
>> wedle życzenia.
>>
>> obecnie najładniej spamuje:
>> finansowanie-handlu.cloud
>
> W RBL-u to mi za dużo obciążało moją wątłą maszynkę. Dopisałem do
> iptables w routerze żeby w ogóle nie nawiązywało połączeń. I spam
> dosłownie przestał przychodzić, dzisiaj drugi dzień bez spamu.
>

O jakiej poziomie wątłości maszynki waść mówisz?
Popatrzyłem w maillogu na połączenia z 80.211.
Jest sporo, ale zen spamhausa znaczną część młóci
trochę się przedostaje, ale trzeba by się dokładnie przyjrzeć bo na 
pierwszy rzut oka wyglądają na adresy użyteczne.

LFC

W dniu 2019-06-14 o 08:31, LFC pisze:
> Jest sporo, ale zen spamhausa znaczną część młóci
> trochę się przedostaje, ale trzeba by się dokładnie przyjrzeć bo na pierwszy rzut oka wyglądają na adresy użyteczne.
>
> LFC

Też się zastanawiałem nad wycięciem tego na FW.
Na razie tnę na MTA, żeby mieć statystyki i zobaczyć, czy boty reagują na rejecty.

U siebie nie widzę nic przydatnego:

      26 from=<piotr.witkowski@greatservices.pl>,
      12 from=<wojtek.piecyk@themajoridea.com.pl>,
      11 from=<alicja.piasecka@advertisingpro.pl>,
       8 from=<k.modrzejewski@openplatform.pl>,
       7 from=<www-data@ad8.finansowanie-handlu.cloud>,
       7 from=<www-data@ad4.finansowanie-handlu.cloud>,
       7 from=<www-data@ad33.finansowanie-handlu.cloud>,
       7 from=<www-data@ad16.finansowanie-handlu.cloud>,
       6 from=<www-data@ad35.finansowanie-handlu.cloud>,
       6 from=<www-data@ad31.finansowanie-handlu.cloud>,
       6 from=<www-data@ad20.finansowanie-handlu.cloud>,
       6 from=<www-data@ad13.finansowanie-handlu.cloud>,
       5 from=<www-data@ad3.finansowanie-handlu.cloud>,
       5 from=<www-data@ad23.finansowanie-handlu.cloud>,
       4 from=<www-data@ad30.finansowanie-handlu.cloud>,
       4 from=<marcin.berent@energybss.com.pl>,
       3 from=<www-data@ad32.finansowanie-handlu.cloud>,
       3 from=<www-data@ad24.finansowanie-handlu.cloud>,
       3 from=<www-data@ad14.finansowanie-handlu.cloud>,
       3 from=<k.modrzejewski@b2bwinners.pl>,
       2 from=<www-data@ad9.finansowanie-handlu.cloud>,
       2 from=<www-data@ad34.finansowanie-handlu.cloud>,
       2 from=<www-data@ad29.finansowanie-handlu.cloud>,
       2 from=<www-data@ad27.finansowanie-handlu.cloud>,
       2 from=<www-data@ad22.finansowanie-handlu.cloud>,
       2 from=<rafal.bednarz@bestcorp.pl>,
       2 from=<p.wojcik@motoleasing-24.pl>,
       2 from=<p.wojcik@creating.com.pl>,
       2 from=<piotr.zielinski@goodtoknow.com.pl>,
       2 from=<marcin.szulc@monwiz.pl>,
       1 from=<www-data@ad7.finansowanie-handlu.cloud>,
       1 from=<tomek.ziemba@myvelocity.com.pl>,
       1 from=<p.wojcik@growing.com.pl>,
       1 from=<piotr.luczak@sisopt.pl>,
       1 from=<piotr.luczak@rozwojowy.com.pl>,
       1 from=<piotr.luczak@openplatforms.pl>,
       1 from=<krzysztof.bak@manage.com.pl>,
       1 from=<f.kucharz@behelthy.pl>,
       1 from=<ewa.rabczewska@exellenttax.pl>,

On 14.06.2019 07:53, LFC wrote:
> W dniu 13.06.2019 o 13:57, KIKI pisze:
> 
>>
>> W RBL-u to mi za dużo obciążało moją wątłą maszynkę. Dopisałem do
>> iptables w routerze żeby w ogóle nie nawiązywało połączeń. I spam
>> dosłownie przestał przychodzić, dzisiaj drugi dzień bez spamu.
>>
> 
> W ogóle zabroniłeś połączeń z tej klasy, czy na porty 25 i 587?
> 
> LFC

Zabroniłem
iptables -I WAN -s 80.211.0.0/16 -j DROP

I przeszło spamowanie prawie zupełnie.

On 14.06.2019 08:31, LFC wrote:
> O jakiej poziomie wątłości maszynki waść mówisz?

Raspberry pi :-)
Ale wszystko jak należy, dkim, dmarc, rbl-e, konfiguracja postfixa.
Maile są traktowane przez innych jak MTA 1 kategorii, wymieniamy się
raportami jak należy.

> Popatrzyłem w maillogu na połączenia z 80.211.
> Jest sporo, ale zen spamhausa znaczną część młóci
> trochę się przedostaje, ale trzeba by się dokładnie przyjrzeć bo na
> pierwszy rzut oka wyglądają na adresy użyteczne.

Ja miałem tego tysiące. Jest prawie zero spamu. Dziennie rejected
dochodzi mi do 1000 99%.
Wszystkie co mają dochodzić to dochodzą, z całego świata. Sporadycznie
nie dochodzi coś ale mają coś z MTA albo są po prostu w RBL-u

On 14.06.2019 12:54, Piotr Lechowicz wrote:
> W dniu 2019-06-14 o 08:31, LFC pisze:
>> Jest sporo, ale zen spamhausa znaczną część młóci
>> trochę się przedostaje, ale trzeba by się dokładnie przyjrzeć bo na
>> pierwszy rzut oka wyglądają na adresy użyteczne.
>>
>> LFC
> 
> Też się zastanawiałem nad wycięciem tego na FW.
> Na razie tnę na MTA, żeby mieć statystyki i zobaczyć, czy boty reagują
> na rejecty.
> 
> U siebie nie widzę nic przydatnego:

A co tam jest pożytecznego w ogóle? Ja zablokowałem INPUT na porcie WAN
routera. Czy są tam jakieś wartościowe firmy, które coś mogą od nas chcieć ?

Mam jeszcze inne MTA niejako pod opieką i tam też są 80.211.0.0/16 i też
je chyba wytnę.
Najpierw ćwiczę na sobie zanim komuś coś dopiszę ale z tym aruba.it to
się zdziwiłem. Niebiezpiecznik i zaufanatrzeciastrona reklamują
arubacloud, że ach i och i w ogóle oaza bezpieczeństwa i prywatności.
Artykuły sponsorowane. Jak zrobiłem whois tego 80.211 i widzę aruba.it
to mnie zmroziło. Klasa B 65k adresów IP i chyba jest jeszcze jedna klasa.
To obłęd i nonsens.

...ale...

Próbowałem im wysłać zgłoszenie tych około 150-200 adresów IP, które
nazbierałem i niestety nie da się przejść formularza zgłoszeniowego
abuse. Na końcu jest 404 i tyle.

On 14.06.2019 12:54, Piotr Lechowicz wrote:

> from=<www-data@ad8.finansowanie-handlu.cloud>,

To finansowanie to jakieś pojeby? Kto będzie to gówno czytał,
szczególnie że tyle wysyłają.
W ogóle finansowanie, kredyty ostatnio przodują. Jak taki uporczywy spam
przychodzi to warto ręcznie prześledzić kto jest jego zleceniodawcą, np
zadzwonić pod podany numer telefonu jako klient i ustalić inna domenę,
strony www i zgłosić do polspam.pl prawdziwego zleceniodawcę.

W dniu 14.06.2019 o 19:20, KIKI pisze:
> On 14.06.2019 07:53, LFC wrote:
>> W dniu 13.06.2019 o 13:57, KIKI pisze:
>>
>>>
>>> W RBL-u to mi za dużo obciążało moją wątłą maszynkę. Dopisałem do
>>> iptables w routerze żeby w ogóle nie nawiązywało połączeń. I spam
>>> dosłownie przestał przychodzić, dzisiaj drugi dzień bez spamu.
>>>
>>
>> W ogóle zabroniłeś połączeń z tej klasy, czy na porty 25 i 587?
>>
>> LFC
> 
> Zabroniłem
> iptables -I WAN -s 80.211.0.0/16 -j DROP
> 
> I przeszło spamowanie prawie zupełnie.
> 

jeśli cos Ci to pomoże to aruba.it gnije u mnie w FW na małym serwerku 
(rodzina i znajomi królika) od kilku lat i nikt nigdy mi nie zgłosił 
zastrzeżeń. A ja się nie certole i tnę całe klasy po kilku 
bezskutecznych zgłoszeniach do spamcopa i abuse@. Na serwerze firmowym 
troszkę ostrożniej ale tez tnę debili i marketoidy różnej maści bez 
miłosierdzia.


-- 
Arni

W dniu 2019-06-14 o 12:54, Piotr Lechowicz pisze:
>
> Też się zastanawiałem nad wycięciem tego na FW.
> Na razie tnę na MTA, żeby mieć statystyki i zobaczyć, czy boty reagują na rejecty.
>

Ciekawe:
nie całą dobę po włączeniu rejectów nastąpiła przerwa i od 14.06 mam zupełną ciszę - zero połączeń z 80.211.
Ciekawsze:
na zapasowym MXie, gdzie rejectów nie było, też nastała cisza od tej samej godziny.

Może ktoś potwierdzi
czy "coś po tamtej stronie" analizuje efektywność, czy to może jednak koniec fali spamu?

On 17.06.2019 08:27, Piotr Lechowicz wrote:

> Ciekawe:
> nie całą dobę po włączeniu rejectów nastąpiła przerwa i od 14.06 mam
> zupełną ciszę - zero połączeń z 80.211.
> Ciekawsze:
> na zapasowym MXie, gdzie rejectów nie było, też nastała cisza od tej
> samej godziny.
> 
> Może ktoś potwierdzi
> czy "coś po tamtej stronie" analizuje efektywność, czy to może jednak
> koniec fali spamu?
> 

Ja już nie sprawdzę, bo mam w FW całą klasę B na 3 MX-ach. Użytkownicy
pytali dzisiaj czy serwer działa, bo spamu nie ma.