🚀 go-pugleaf

Bronek Kozicki napisał:
> dostałem odbitkę poniższej wiadomości i nie wiem co z tym zrobić. Jakieś
> sugestie ?
[...]

zaraportować do SpamCOP-a?

K.

In news:458qg2bq4h8t.12hqv35w9uh55$.d...@40tude.net, Bronek Kozicki typed:

> dostałem odbitkę poniższej wiadomości i nie wiem co z tym zrobić.
> Jakieś sugestie ?

A czy to była pojedyncza wiadomość, czy też przchodzą stale odbitki, tzn.
spam z twoim adresem zwrotnym idzie w setki lub tysiące? Bo jak pojedyncza
to bym olał, za duzo tego, a jak tysiące to już należałoby znaleźć winnego,
co i tak najczęściej niewiele daje, bo jego provider i tak to olewa. Ale
wtedy są pewne metody nacisku, żeby co najmniej przełączył się na
joejobowanie kogo innego.

PiK

On Sat, 13 Mar 2004 21:38:17 +0100, PiK wrote:
> A czy to była pojedyncza wiadomość, czy też przchodzą stale odbitki, tzn.
> spam z twoim adresem zwrotnym idzie w setki lub tysiące? Bo jak pojedyncza
> to bym olał, za duzo tego, a jak tysiące to już należałoby znaleźć winnego,
> co i tak najczęściej niewiele daje, bo jego provider i tak to olewa. Ale
> wtedy są pewne metody nacisku, żeby co najmniej przełączył się na
> joejobowanie kogo innego.


właśnie przyszła druga. Co do IP nadawcy, to z pewnością jest to zwykły
zombie i trucie dupy odpowiedniemu abuse nic nie da. Druga przyszła z
innego IP, ale ta sama treść. Sprawdziłem adresy w treści wiadomosci -
Korea :/// i coś czego nie jestem pewny (zobacz sam wizporno.com). 


B.


-- 
Popieram program obniżenia podatków: www.odpowiedzialnosc.org

In news:1v8lob4lm1t8...@40tude.net, Bronek Kozicki typed:

> właśnie przyszła druga. Co do IP nadawcy, to z pewnością jest to
> zwykły zombie i trucie dupy odpowiedniemu abuse nic nie da. Druga
> przyszła z innego IP, ale ta sama treść. Sprawdziłem adresy w treści
> wiadomosci - Korea :/// i coś czego nie jestem pewny (zobacz sam
> wizporno.com).

Ja się przy dwóch raczej nie przejmuję. Ani przy dziesięciu. Kilkadziesiąt
już mnie wkurza. Kilka razy mialem wieleset. Oczywiście do administratorow
zombie nie ma co pisać. Winni są beneficjenci czyli ci, co utrzymują domenę.
Niestety, to Koreańczycy. Ale trochę kłopotów można spróbować im narobić.

wizporno.com otwiera na poczatek

window.open("https://secure.paymentsky.com/Reter.asp?cppid=&cpid=B11369&lang
uage=kor",

więc ewentualnie mozna się do paymentsky poskarżyć, że ich klient spamuje.
Ale pewnie to nic nie da bo tego typu instytucje to nie interesuje, byle
klient płacił. Tym bardziej, że ze strony http://www.paymentsky.com/ wynika,
ze choć to fimra umieszczona w Los angeles to specjalizuje się w rynku
azjatyckim 9strony po angielsku, Chinsku i Koreansku).

Co do stron to wizporno.com jest na serwerach Blacksun Technologies
(146.82.75.237) i do nich należałoby napisać. Jesli cię oleją to mozna im
przypomniec http://www.spews.org/html/S1829.html i napisać na nanae,
najlepiej zaznaczając że chodzi o uzupełnienie S1829 - to moze ich trochę
zaboli, tym bardziej że w styczniu probowali się ze spews wypisac, przy
okazji także z S875. Ale skoro sa w spews to też już o czyms swiadczy, w
każdym razie towja sprawa być może doprowadzi do eskalacji listingu w spews.

No i ostateczna sprawa to rejestracja domeny wizporno.com. Bez watpienia

 Organization:
      asdfas
      asdfasd fasdfafd
      fadfadf
      San Francisco, CA 123124
      AS
      Phone: 213-888-8888
      Email: sayt...@yahoo.com

Nie wygląda dobrze. Nie wiem jak naprawdę na to reaguje register.com ale
przynajniej ze strony
http://www.register.com//service-agreement.cgi#9
wynika jasno, ze za takie numery powinien im domenę wykasowac (p. 8.c)

W przypadku joejobów zazwyczaj ustawiam automat, ktory wszelkie skargi i
zwrotki forwarduje do właściwego abuse (tu: abuse/blacksun.net) z dopiskiem,
ze to joe-job, kto jest naprawde odpowiedzialny itp. Zazwyczaj kiedy zwrotki
szły w setki to po paru setkach takich forwardów przynajmniej dranie
przełączały się joejobując kogoś innego. Ale jeśli to beda pojedyncze maile
to moga nie zauwazyć.

PiK

PiK napisał(a):
> W przypadku joejobów zazwyczaj ustawiam automat, ktory wszelkie skargi i
> zwrotki forwarduje do właściwego abuse (tu: abuse/blacksun.net) z dopiskiem,
> ze to joe-job, kto jest naprawde odpowiedzialny itp.

Możesz rozwinąć to zagadnienie??
Może jakiś przykład takiego automatu??


-- 
pozdrawiam
Adam
http://www.abkom.tk

> > W przypadku joejobów zazwyczaj ustawiam automat, ktory wszelkie skargi i
> > zwrotki forwarduje do właściwego abuse (tu: abuse/blacksun.net) z
dopiskiem,
> > ze to joe-job, kto jest naprawde odpowiedzialny itp.
>
> Możesz rozwinąć to zagadnienie??
> Może jakiś przykład takiego automatu??

Hm, trochę to zależy od rodzaju joejoba, tzn. np. czy wszystkie zweroty
przychodza na konkretny adres czy np. do konkrentej domeny na zmyslone
adresy. W pierwszym przypadku jest prosciej, w drugim dodatkowo trzeba
rozpoznawać zwroty takiego joejobu na podstawie zawartości. Zazwyczaj wymaga
to napisania indywidualnego skryptu. Np. jden z ostatnich masowych joejobów
powodował że przychodziły do mnie zwroty maili na zmyślone adresy w
konkretnej domenie. Adresy były generowane losowo. Treść wysyłanego spamu
wyglądala mniej więcej tak:

<html><body>
<center><!--7aykhq3dqo--><a
href="http://www.eibs3.com/host/default.asp?ID=omni"><img
src="http://purchasese.com/pics/gv1.gif" height="270"
width="405"></a></center>
</html></body>

dodatkowo dla utrudnienia spamerzy zarejestrowali kilkadziesiąt domen z
ktorych ciagniete były obrazki oraz do ktorych kierował href. Jednakże
wszystkie te domeny wisialy na pojedynczym IP oraz na szczęście wszystkie
maile miały ten sam format pomijając randomizowany komentarz i rózne nazwy
domen. W szczególności "/host/default.asp?ID=omni" był stały. Na tej
podstawie odbijałem te wszystkie zwroty przy okazji forwardując je do abuse
firmy hostującej. Oczywiście przy pustym return-path zwrotow już nie
odbijałem, jedynie był forward, ale trafiały się też maile od odbiorcow
ktorzy oburzeni pisali zeby ich nie spamowac - i ci otrzymywali wyjasnienie.
Do każdego zwrotu/forwardu dopisywany był tekst wg wzoru na koncu postu.
Niestety w tym konkretnym wypadku niewiele to dało bo Chiny... Atak trwał
prawie 2 miesiące (9-11.2003) i otrzymalem w tym czasie ponad 1400 zwrotów.
Ale np. w innym przypadku udało mi się doprowadzić do tego ze spamer zmienił
ofiare joejobu (nie zaprzestał wysyłania spamu, sprawdziłem na nanas) już po
tygodniu i przeforwardowaniu mu "tylko" ok. 400 zwrotów. W tamtym wypadku
jednak udalo mi się częściowo "włamac" do serwera www na Syberii (wywalic
kiespko napisany skrypt w asp) i uzyskac adres email spamera (z USA) zaszyty
w formularzu, który zawarłem w opisie joejobu, więc spamerowi było to bardzo
nie na rękę, tym bardziej ze widział, że odbiorcy jego spamu dostają te
informacje.

PiK


przykładowy opis doklejany do zwrotu (sorry, chyba nie jest poprawny
gramatycznie, ale taki był wysyłany...)


The mail you returned to us was not sent by us.
Spammer forged return path that never existed
to harm us by receiving thousands of bounces.
This mail was sent by open proxy server to hide
real origin IP of spammer.

You should comply to provider of a web site advertised
in spam. It is registered by

Registrant:
guang zhou
 1799  huang pu rd
Administrative and Technical Contact:
gui zhou
 guang zhou
 1799  huang pu rd
 guangzhou Guangdong 510735
 China
 tel: 86 020 82061321
 fax: 86 020 82061321
 liuqi...@yahoo.com.cn
 Registration Date: 2003-09-06
       Update Date: 2003-09-06
   Expiration Date: 2004-09-06
    Primary DNS:  ns0.nicmtg.com  211.163.115.35
  Secondary DNS:  ns1.nicmtg.com  61.183.17.114

You can also complain to Chinanet abuse department where
this website (219.153.0.215) is hosted:
              anti...@ns.chinanet.cn.net


---------------- Details of your message: -------------------
Unknown } original-recipient {
---------------- returned message: --------------------------
} msg {

PiK napisał(a):

> Hm, trochę to zależy od rodzaju joejoba, tzn. np. czy wszystkie zweroty
> przychodza na konkretny adres 

przychodzą na konkretny adres, provider nic nie wie o innych przypadkach.

Do tej pory wszelki spam w automacie kierowałem do spamcopa, ale ze
zwrotami jest dużo gorzej bo jedne zwracają treść spamu w wiadomości, a
inne w załącznikach itd.
Poza tym, wysyłane są z różnych adresów IP, prawdopodobnie część to zombie,
a część to OP.


> dodatkowo dla utrudnienia spamerzy zarejestrowali kilkadziesiąt domen z
> ktorych ciagniete były obrazki oraz do ktorych kierował href.

w tym wypadku sprawa jest prosta, gdyż wszystkie zawierają odnośnik:
<a href="http://www.zeater11.info/p1/?id=pharm">

host znajdujący się pod IP: 220.175.8.33
skrócony wyciąg ze śledzenia:
sl-china1-2-0.sprintlink.net             20%     4    5 
202.97.33.177                            40%     3    5  
p-13-0-r1-c-shsh-1.cn.net                20%     4    5 
202.97.39.102                            20%     4    5  
218.65.118.6                             20%     4    5  
218.65.118.30                            20%     4    5 
220.175.8.33                             20%     4    5  

czyli chiny :((((

na zeater11 w katalogach p1, p2 i p3 są odnośniki jeszcze do domen
natural-herb.info [220.175.8.39] oraz enhance-u.info [220.175.8.39]

I co z tym fantem dalej zrobić??


> wszystkie te domeny wisialy na pojedynczym IP oraz na szczęście wszystkie
> maile miały ten sam format pomijając randomizowany komentarz i rózne nazwy
> domen. W szczególności "/host/default.asp?ID=omni" był stały. Na tej
> podstawie odbijałem te wszystkie zwroty przy okazji forwardując je do abuse
> firmy hostującej. Oczywiście przy pustym return-path zwrotow już nie
> odbijałem, jedynie był forward, ale trafiały się też maile od odbiorcow
> ktorzy oburzeni pisali zeby ich nie spamowac - i ci otrzymywali wyjasnienie.

forwardowałeś je do abuse firmy hostującej?? To po co ci było potrzebne
return-path??



> W tamtym wypadku jednak udalo mi się częściowo "włamac" do serwera www na Syberii (wywalic
> kiespko napisany skrypt w asp) i uzyskac adres email spamera (z USA) zaszyty
> w formularzu, który zawarłem w opisie joejobu, więc spamerowi było to bardzo
> nie na rękę, tym bardziej ze widział, że odbiorcy jego spamu dostają te informacje.

A tak bardzo nie chciałem zostawać hakerem :(



-- 
pozdrawiam
Adam
http://www.abkom.tk

Wszystkie są zarejestrowane na tę samą osobę, poniżej wyciąg:

Domain ID:D5717210-LRMS
  Domain Name:ZEATER11.INFO
  Created On:07-Mar-2004 23:58:11 UTC
  Last Updated On:08-Mar-2004 00:05:41 UTC
  Expiration Date:07-Mar-2005 23:58:11 UTC
  Sponsoring Registrar:R152-LRMS
  Status:ACTIVE
  Status:CLIENT LOCK
  Status:OK
  Registrant ID:C4356560-LRMS
  Registrant Name:Charles Delrosario
  Registrant Organization:Swanson Ltd
  Registrant Street1:1147 Ashford
  Registrant Street2:Apt 22
  Registrant City:San Juan
  Registrant State/Province:PR
  Registrant Postal Code:00907
  Registrant Country:PR
  Registrant Phone:+1.3472742603
  Registrant FAX:+1.3472742603
  Registrant Email...@swanson-ltd.biz
  Admin ID:C4356560-LRMS
  Admin Name:Charles Delrosario
  Admin Organization:Swanson Ltd
  Admin Street1:1147 Ashford
  Admin Street2:Apt 22
  Admin City:San Juan
  Admin State/Province:PR
  Admin Postal Code:00907
  Admin Country:PR
  Admin Phone:+1.3472742603
  Admin Email...@swanson-ltd.biz
  Billing ID:C4356560-LRMS
  Billing Name:Charles Delrosario
  Billing Organization:Swanson Ltd
  Billing Street1:1147 Ashford
  Billing Street2:Apt 22
  Billing City:San Juan
  Billing State/Province:PR
  Billing Postal Code:00907
  Billing Country:PR
  Billing Phone:+1.3472742603
  Billing Email...@swanson-ltd.biz
  Tech ID:C4356560-LRMS
  Tech Name:Charles Delrosario
  Tech Organization:Swanson Ltd
  Tech Street1:1147 Ashford
  Tech Street2:Apt 22
  Tech City:San Juan
  Tech State/Province:PR
  Tech Postal Code:00907
  Tech Country:PR
  Tech Phone:+1.3472742603
  Tech Email...@swanson-ltd.biz
  Name Server:NS1.ZZ-DNS.INFO
  Name Server:NS2.ZZ-DNS.INFO


a domena SWANSON-LTD.BIZ

 Domain Name: SWANSON-LTD.BIZ
  Domain ID: D6431108-BIZ
  Sponsoring Registrar: INTERCOSMOS MEDIA GROUP, INC. D.B.A.
DIRECTNIC.COM
  Registrant ID: IMG-571217
  Registrant Name: Charles Delrosario
  Name Server: NS0.DIRECTNIC.COM
  Name Server: NS1.DIRECTNIC.COM
  Created by Registrar: INTERCOSMOS MEDIA GROUP, INC. D.B.A.
DIRECTNIC.COM
  Last Updated by Registrar: INTERCOSMOS MEDIA GROUP, INC. D.B.A.
DIRECTNIC.COM
  Domain Registration Date: Mon Mar 08 00:29:24 GMT 2004
  Domain Expiration Date: Mon Mar 07 23:59:59 GMT 2005
  Domain Last Updated Date: Sun Mar 14 06:26:32 GMT 2004

i ścieżka do www.swanson-ltd.biz [204.251.10.217]:
0.so-6-0-0.CL1.NOL1.ALTER.NET             0%     5    5 
517.ATM7-0.GW3.NOL1.ALTER.NET             0%     5    5 
ndcr3-oc3-nospr1.datasync.net            20%     4    5
dn7.directnic.com                        40%     3    5

i co proponujesz dalej??

-- 
pozdrawiam
Adam
http://www.abkom.tk

Użytkownik "adamb" <znajdziesz...@www.abkom.tk> napisał w wiadomości
news:y22ldq5rdv0o$.1g2i8xg2qhr51$.dlg@40tude.net...
>
> host znajdujący się pod IP: 220.175.8.33
>
> czyli chiny :((((
>
> I co z tym fantem dalej zrobić??

no cóż, pozostaje słać do chinanet ale oni to oleją.

> forwardowałeś je do abuse firmy hostującej?? To po co ci było potrzebne
> return-path??

ponieważ jeśli było to odsyłałem takze informację o faktycznym winowajcy do
nadawcy. Po prostu traktowalem takie maile jako zgłoszenie naduzycia i
odpowiadałem zgłaszającemu, dokąd ma się skierować - m. in. do firmy
hostującej. Zależało mi na tym, żeby tam mieli swiadomość że joejob jako
próba rzucenia podejrzeń na kogo innego nic im nie daje bo wszyscy ktorzy
się zgłaszają są informowani o tym kto jest faktycznym spamerem.

> A tak bardzo nie chciałem zostawać hakerem :(

Nikt ci nie każe. Jesli jest mozliwość dotarcia do danyc faktycznego
winowajcy to dobrze, jeśli nie - to pozostaje nadzieja ze hoster mu te
informacje przekaże. Ale nie ma się co czarować, Chiny jedynie są tanim
"narzędziem" dla amerykańskich spamerów, więc Chinanet jest bardzo "odporny"
na wszelkie skargi. W tym wypadku prawdopodobieństwo że coś się uda załatwić
jest niewielkie. Możesz też poskarżyć się na NANAE ale akurat 220.175.8.33
siedzi już na tylu czarnych listach że nic więcej im nie zrobisz.

PiK

Użytkownik "adamb" <znajdziesz...@www.abkom.tk> napisał w wiadomości
news:fsnu6owo6lx0$.9u3payucp4wn.dlg@40tude.net...
> Wszystkie są zarejestrowane na tę samą osobę, poniżej wyciąg:
> i co proponujesz dalej??

odpowiadac na zwroty podając te informacje (adres, email, telefon) i
forwardując je przy okazji zarówno do chinanetu jak i na adres właściciela
tych domen - w koncu to sa maile przeznaczone dla niego a nie dla ciebie.
Jak zobaczy że wszystkich informujesz ze to on a nie ty to moze sobie da
spokój z joejobowaniem właśnie ciebie.

PiK

PiK napisał(a):

> odpowiadac na zwroty podając te informacje (adres, email, telefon) i
> forwardując je przy okazji zarówno do chinanetu jak i na adres właściciela
> tych domen - w koncu to sa maile przeznaczone dla niego a nie dla ciebie.
> Jak zobaczy że wszystkich informujesz ze to on a nie ty to moze sobie da
> spokój z joejobowaniem właśnie ciebie.

Do chinanetu wysyłam, wysyłam też na adres ad...@swanson-ltd.biz.
Postanowiłem również zainteresować się ich produktami, aby uzyskać jakiś
ciekawszy adres zwrotny, aby im wysłać całą zawartość skrzynki.
Wysłałem też info do DIRECTNIC.COM, ale Ci udają greka, że to nie ich
problem, choć w regulaminie jak byk pisze coś innego.
I jeszcze jedno, ustawiłem w automacie wysyłanie ze strony info do spamera
(taki przekaż ode mnie) co 1 minutę, tak że do jutra będzie tego miał w
skrzynce koło tysiąca, może zauważy.

Niestety, większość (prawie wszystkie) zwrotów pole Return-Path ma puste.


-- 
pozdrawiam
Adam
http://www.abkom.tk

PiK napisał(a):

> no cóż, pozostaje słać do chinanet ale oni to oleją.

no niestety.


> Możesz też poskarżyć się na NANAE ale akurat 220.175.8.33
> siedzi już na tylu czarnych listach że nic więcej im nie zrobisz.

Też to zauważyłem.
I dzięki za pomoc i dobre słowo.


-- 
pozdrawiam
Adam
http://www.abkom.tk

Dnia Sat, 13 Mar 2004 18:57:50 +0100, Bronek Kozicki <br...@rubikon.pl> 
napisał:

> dostałem odbitkę poniższej wiadomości i nie wiem co z tym zrobić. Jakieś
> sugestie ?
>
>
> B.

To tak jak z OpenKontakt które zawsze ma w swoich spamach from:adres email 
odbiorcy.
Podobno zabezpiecza spamera przed dopisaniem z from albo automatycznym 
mailbombingiem ze strony niedoświadczonego odbiorcy spamu (czasem sam się 
bombarduje bo nie spojrzał kto jest from:).


-- 
Pozdrawiam

Marian K.

Bronek Kozicki napisał(a):

> dostałem odbitkę poniższej wiadomości i nie wiem co z tym zrobić. Jakieś
> sugestie ?

Mnie martwi, że z kilkuset odbitek tylko 2 nadawały się do bezpośredniego
wysłania do SPAMCOPa
Reszta była w tylu dziwnych formatach, że aż dziw bierze, iż komuś takie
coś może przyjść do głowy.
Po prostu administratorzy sami utrudniają życie użytkownikom.

-- 
pozdrawiam
Adam
http://www.abkom.tk

Dnia Mon, 15 Mar 2004 19:02:50 +0100, adamb 
<znajdziesz...@www.abkom.tk> napisał:


> I jeszcze jedno, ustawiłem w automacie wysyłanie ze strony info do 
> spamera
> (taki przekaż ode mnie) co 1 minutę, tak że do jutra będzie tego miał w
> skrzynce koło tysiąca, może zauważy.

Fajna zabawa?

>
> Niestety, większość (prawie wszystkie) zwrotów pole Return-Path ma puste.
>
>

Nie dziwne.


-- 
Pozdrawiam

Marian K.